---
title: "SaaS アラートのレビューと調査"
slug: "reviewing-and-investigating-saas-alerts"
updated: 2026-11-05T00:09:05Z
published: 2026-11-05T00:09:05Z
canonical: "knowledge.catonetworks.com/reviewing-and-investigating-saas-alerts"
---

> ## Documentation Index
> Fetch the complete documentation index at: https://knowledge.catonetworks.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SaaS アラートのレビューと調査

## 概観

SaaS アプリケーションにアクセスした攻撃者は、マルウェアをほとんど必要としない。彼らは盗まれた資格情報やセッションでサインインし、アクセスを維持する手段を設定し、データを静かに搬出します。これらの各ステップは、アプリケーションの監査ログに記録が残ります。

SaaS アラートは、App Activities コネクタによって収集された監査ログに基づいて、Cato が実行する検出です。それらは、実際の攻撃で使用される技術に関連する活動を識別し、攻撃が進行中の間に対応できるようにします。各アラートには、アプリケーション、関与するユーザーまたはアカウント、それをトリガーしたアクティビティ、およびその重大度が含まれます。

他のベンダーが生成したセキュリティアラートを SaaS アラートコネクタで取り込むこともできます。詳しくは、以下のベンダーアラートの理解をご参照ください。

SaaS アラートは、各アプリケーションに対して App Activities コネクタが必要です。詳しくは、[App Activities Connectors](https://knowledge.catonetworks.com/docs/app-activities-connectors) を参照してください。

SaaS アラートには CASB ライセンスが必要です。 CASBライセンスの購入に関する詳細は、Cato の担当者にお問い合わせください。

### SaaS アラートの理解

SaaS アラートは、これらの種類の活動をカバーします。これらの例は Microsoft 365 のアラートです。

| 種類 | 検出する内容 | 例 |
| --- | --- | --- |
| 永続性 | 攻撃者がユーザーのパスワード変更後もアクセスを維持する方法 | Entra ID サービスプリンシパル資格情報が追加され、Entra ID ドメインフェデレーションが設定されました |
| 同意フィッシング | 組織のデータへの広範なアクセスを許可された OAuth アプリ | Entra ID 高特権管理者の同意が付与されました |
| 権限昇格 | サイトとその中身に管理者権限を取得するアカウント | SharePoint サイトコレクション管理者が追加されました |
| データの流出 | 組織外に送信されたメールまたはデータ | Outlook 外部受信ボックス転送ルールが作成され、外部受取人との Outlook 転送ルールが作成されました |
| 防御回避 | 攻撃をユーザーまたはセキュリティチームから隠す活動 | Outlookメール受信トレイルール作成 |
| マルウェア | アプリケーションに保存されている悪意のあるファイル | SharePointでのマルウェアファイル検出 |

MFAの無効化や管理者ロールの割り当てなど、セキュアな設定を弱める設定変更は、ポスチャードリフトとして表示されます。詳細については、[ポスチャードリフトの検出と修正](/v1/docs/detecting-and-remediating-posture-drift)を参照してください。

## SaaSアラートの表示

これらの場所でCMAからSaaSアラートを表示できます:

- **クラウドアプリダッシュボード**: ハイセキュリティSaaSアラートタイルと、SaaSイベントセクションのアラートレビューウィジェット。タイルをクリックして、高セベリティのSaaSアラートにフィルタリングされたイベントページを開きます。詳細は、[クラウドアプリダッシュボードの使用](/v1/docs/using-the-applications-dashboard)を参照してください。
- **イベントページ:** アラートは**イベント**ページに可視なイベントを生成します。

## SaaSアラートの調査

SaaSアラートに関連するアクティビティをレビューしてそれが許可されているか判断し、関連する侵害の兆候を特定します。

**SaaSアラートを調査するには:**

1. **セキュリティ > クラウドアプリケーションダッシュボード** に移動し、**強いセベリティ SaaS アラート** ウィジェットからアラートを開くか、**イベント** ページを SaaS アラート用にフィルターします。
2. アプリケーション、アクティビティを実行したユーザー、対象アカウントまたはオブジェクト、およびアクティビティの時間を確認します。
3. アクティビティが予想されるものであるかを確認します。たとえば、変更が承認された変更ウィンドウの一部であるかをアプリケーション所有者に確認してください。
4. アカウントによって実行された他のアクティビティをレビューします。**イベント**ページで、アラートの前後の時間に同じユーザーとアプリケーションのアクティビティをフィルタリングします。関連するサインイン、管理設定の変更やダウンロードを確認します。
5. 同じアカウントまたはアプリケーションに関連するSaaSアラートがあるかどうかを確認してください。短期間での複数のアラートは、侵害の強い兆候です。たとえば、新しいアプリケーションの資格情報に続く外部転送ルールを探します。
6. アカウントがセキュリティ設定を弱化させ、それによりポスチャードリフトが発生したかどうかを確認します。詳細については、「ポスチャードリフトの検出と修正」をご参照ください。詳細については、[ポスチャードリフトの検出と修正](/v1/docs/detecting-and-remediating-posture-drift)をご参照ください。
7. 活動が許可されていない場合は、SaaSアプリケーションで該当する対応措置を実施してください。
  - アカウントを無効化する
  - セッションとトークンを取り消す
  - 攻撃者によって追加された受信トレイルール、アプリケーション資格情報、権限を削除します
  - 変更された設定を元に戻す
8. 攻撃者がどのようにアクセス権を得たかを調査します。

## ベンダーアラートの理解

CatoのSaaSアラートに加えて、他のベンダーからのセキュリティアラートをCatoに取り込むことができます。

- SaaSアラートコネクタは、Synkのようなサポートされているベンダーからセキュリティアラートをインポートします。詳細については、[Synk：SaaSアノマリーコネクタの設定](/v1/docs/synk-configuring-the-saas-anomalies-connector)をご覧ください
- Microsoft Entra ID Protectionからの不可能な旅行やパスワードスプレーのようなサインイン異常は、アクティビティタブのSSOサインインセクションに表示されます。詳細情報は、[サインイン異常データ向けの Microsoft Entra ID 保護コネクタの設定](/v1/docs/configuring-the-microsoft-entra-id-protection-connector-for-sign-in-anomaly-data)を参照

ベンダーアラートは、ベンダー自身の検出ロジックと重大度を使用します。 CatoのSaaSアラートは、Catoのリサーチチームによって定義された検出ロジックを使用します。