概観
SaaS アプリケーションにアクセスした攻撃者は、マルウェアをほとんど必要としない。彼らは盗まれた資格情報やセッションでサインインし、アクセスを維持する手段を設定し、データを静かに搬出します。これらの各ステップは、アプリケーションの監査ログに記録が残ります。
SaaS アラートは、App Activities コネクタによって収集された監査ログに基づいて、Cato が実行する検出です。それらは、実際の攻撃で使用される技術に関連する活動を識別し、攻撃が進行中の間に対応できるようにします。各アラートには、アプリケーション、関与するユーザーまたはアカウント、それをトリガーしたアクティビティ、およびその重大度が含まれます。
他のベンダーが生成したセキュリティアラートを SaaS アラートコネクタで取り込むこともできます。詳しくは、以下のベンダーアラートの理解をご参照ください。
SaaS アラートは、各アプリケーションに対して App Activities コネクタが必要です。詳しくは、App Activities Connectors を参照してください。
SaaS アラートには CASB ライセンスが必要です。 CASBライセンスの購入に関する詳細は、Cato の担当者にお問い合わせください。
SaaS アラートの理解
SaaS アラートは、これらの種類の活動をカバーします。これらの例は Microsoft 365 のアラートです。
種類 | 検出する内容 | 例 |
|---|---|---|
永続性 | 攻撃者がユーザーのパスワード変更後もアクセスを維持する方法 | Entra ID サービスプリンシパル資格情報が追加され、Entra ID ドメインフェデレーションが設定されました |
同意フィッシング | 組織のデータへの広範なアクセスを許可された OAuth アプリ | Entra ID 高特権管理者の同意が付与されました |
権限昇格 | サイトとその中身に管理者権限を取得するアカウント | SharePoint サイトコレクション管理者が追加されました |
データの流出 | 組織外に送信されたメールまたはデータ | Outlook 外部受信ボックス転送ルールが作成され、外部受取人との Outlook 転送ルールが作成されました |
防御回避 | 攻撃をユーザーまたはセキュリティチームから隠す活動 | Outlookメール受信トレイルール作成 |
マルウェア | アプリケーションに保存されている悪意のあるファイル | SharePointでのマルウェアファイル検出 |
MFAの無効化や管理者ロールの割り当てなど、セキュアな設定を弱める設定変更は、ポスチャードリフトとして表示されます。詳細については、ポスチャードリフトの検出と修正を参照してください。
SaaSアラートの表示
これらの場所でCMAからSaaSアラートを表示できます:
クラウドアプリダッシュボード: ハイセキュリティSaaSアラートタイルと、SaaSイベントセクションのアラートレビューウィジェット。タイルをクリックして、高セベリティのSaaSアラートにフィルタリングされたイベントページを開きます。詳細は、クラウドアプリダッシュボードの使用を参照してください。
イベントページ: アラートはイベントページに可視なイベントを生成します。
SaaSアラートの調査
SaaSアラートに関連するアクティビティをレビューしてそれが許可されているか判断し、関連する侵害の兆候を特定します。
SaaSアラートを調査するには:
セキュリティ > クラウドアプリケーションダッシュボード に移動し、強いセベリティ SaaS アラート ウィジェットからアラートを開くか、イベント ページを SaaS アラート用にフィルターします。
アプリケーション、アクティビティを実行したユーザー、対象アカウントまたはオブジェクト、およびアクティビティの時間を確認します。
アクティビティが予想されるものであるかを確認します。たとえば、変更が承認された変更ウィンドウの一部であるかをアプリケーション所有者に確認してください。
アカウントによって実行された他のアクティビティをレビューします。イベントページで、アラートの前後の時間に同じユーザーとアプリケーションのアクティビティをフィルタリングします。関連するサインイン、管理設定の変更やダウンロードを確認します。
同じアカウントまたはアプリケーションに関連するSaaSアラートがあるかどうかを確認してください。短期間での複数のアラートは、侵害の強い兆候です。たとえば、新しいアプリケーションの資格情報に続く外部転送ルールを探します。
アカウントがセキュリティ設定を弱化させ、それによりポスチャードリフトが発生したかどうかを確認します。詳細については、「ポスチャードリフトの検出と修正」をご参照ください。詳細については、ポスチャードリフトの検出と修正をご参照ください。
活動が許可されていない場合は、SaaSアプリケーションで該当する対応措置を実施してください。
アカウントを無効化する
セッションとトークンを取り消す
攻撃者によって追加された受信トレイルール、アプリケーション資格情報、権限を削除します
変更された設定を元に戻す
攻撃者がどのようにアクセス権を得たかを調査します。
ベンダーアラートの理解
CatoのSaaSアラートに加えて、他のベンダーからのセキュリティアラートをCatoに取り込むことができます。
SaaSアラートコネクタは、Synkのようなサポートされているベンダーからセキュリティアラートをインポートします。詳細については、Synk：SaaSアノマリーコネクタの設定をご覧ください
Microsoft Entra ID Protectionからの不可能な旅行やパスワードスプレーのようなサインイン異常は、アクティビティタブのSSOサインインセクションに表示されます。詳細情報は、サインイン異常データ向けの Microsoft Entra ID 保護コネクタの設定を参照
ベンダーアラートは、ベンダー自身の検出ロジックと重大度を使用します。 CatoのSaaSアラートは、Catoのリサーチチームによって定義された検出ロジックを使用します。