Cato XOps サービスへようこそ

この文書では、Cato XOpsプラットフォームのセキュリティおよびネットワーク運用機能と、異なるXOpsライセンス階層に含まれる要素を説明します。

概要

Cato XOpsプラットフォームは、セキュリティオペレーションとネットワーク運用チームに AI と自動化を利用して、組織のネットワークをセキュリティの脅威やネットワークパフォーマンスの問題に対して監視することを可能にします。 XOps は、管理不能な量の生のセキュリティとネットワークイベントを、消費可能で、クロスファンクショナルかつアクション可能なストーリーに変換します。

このプラットフォームには、多様な種類の高度な相関エンジンが含まれており、脅威活動やネットワークの課題に関する特定の指標に一致するトラフィックデータを分析します。 エンジンが一致を見つけると、それは Cato 管理アプリケーション（CMA）内でレビューと調査が可能なストーリーを生成します。 CMAはこれらのエンジンを「プロデューサー」として参照します。

各XOpsストーリーには、同じ脅威またはネットワークの問題に関連する共通のプロパティを持つトラフィックフローのデータが含まれています。 このストーリー作業台ページでは、各ストーリーの詳細を表示し、理解し、分析するのに役立ちます。 ストーリーをソートおよびフィルタリングして、最も重要な潜在的攻撃を見つけ、詳細をさらに調査することができます。

XOpsプロデューサーの理解

以下は、さまざまなXOpsストーリープロデューサーの名前と説明です：

• 脅威防止 - Cato XOps 脅威防止プロデューサーは、Catoのリアルタイムセキュリティサービスによって生成されたイベントにおける特定の攻撃行動を検出します。 脅威防止ストーリーは、アナリストが即時の高信頼性の脅威に集中するのを助けます。

  脅威防止ストーリーは通常、セキュリティサービスによってブロックされたトラフィックイベントを意味する相関されたブロックイベントに基づいています。 しかし、トラフィックがすでにブロックされていても、そのトラフィックが進行中の脅威に関連している可能性があります。 XOpsストーリーを使用して、疑わしいトラフィックのコンテキストと詳細を調査することで、さらなる対策が必要な脅威が存在するかを判断できます。

  脅威防止ストーリーの詳細については、XOpsセキュリティストーリーのドリルダウンと分析を参照してください。

• 脅威ハンティング - 脅威ハンティングプロデューサーは、データレイクに保存されている大量の過去のトラフィックデータを継続的にスキャンして、潜在的な脅威を示すトラフィックパターンを検出します。 脅威防止プロデューサーとは異なり、直近のイベントに集中するのではなく、脅威ハンティングプロデューサーは、保存されているトラフィックデータの時間を超えた相関を探します。 相関は、正確さを確保するために一週間のデータに基づいて特定されます。 さらに、脅威防止プロデューサーがイベントログ内のデータを見るときに、脅威ハンティングプロデューサーはトラフィックフローからのより広範なデータセットを分析します。 これは、従来の方法では識別しにくい、より隠れた脅威を検出することを可能にします。これにより、識別が困難な低い署名を生成します。

  以下は、サイバースクワッティングフィッシング脅威に関連する40の異なるトラフィックフロー（シグナル）を特定した脅威ハンティングストーリーの概要ページです：

  

  脅威ハンティングストーリーの詳細については、XOpsセキュリティストーリーのドリルダウンと分析を参照してください。

• 使用量の異常 - Cato のユーザーとエンティティ行動分析 (UEBA) 機能の一部であるこのプロデューサーは、ユーザーとサイトのネットワーク活動を機械学習によって計算されたベースラインと比較し、ベースライン使用レベルからの疑わしい逸脱に関するストーリーを生成します。 例えば、特定のユーザーが通常よりも多くのアップストリーム帯域幅を使用している場合。

  使用量の異常ストーリーの詳細については、使用量とイベント異常のためのXOps UEBAストーリーの分析を参照してください。

• イベント異常 - CatoのUEBA機能のもう一つの要素であり、このプロデューサーは、ネットワーク上のエンティティが通常以上の数のセキュリティイベントをトリガーするインディケーションを検出します。 例えば、ユーザーが特定の方向へのトラフィックに対する多数のIPSブロックイベントに関連付けられる場合は、そのユーザーのデバイスに潜在的感染があることを示す可能性があります。

  イベント異常ストーリーの詳細については、使用量とイベント異常のためのXOps UEBAストーリーの分析を参照してください。

• エクスペリエンス異常: 特定のサイトおよびアプリケーションのアプリケーションエクスペリエンスの異常な変化を検出します。 アプリケーションを14日間監視した後、TTFB（Time to First Byte）を使用してベースラインを作成します。 その後、プロデューサーはトラフィックを 1 日 1 回チェックし、アプリケーションのエクスペリエンスがベースラインと大幅に異なる場合にストーリーを生成します。 ストーリーは、影響を受けるサイト、アプリケーション、トラフィックフロー、および可能性のあるパフォーマンスの問題を確認するのに役立ちます。

• アカウント操作: ユーザー、サイト、サービスに影響を与える可能性のあるアカウントレベルの問題を検出します。 これには、ディレクトリ同期の失敗、ライセンスの枯渇、期限切れの証明書、コネクタの問題、その他の構成または運用問題が含まれます。 プロデューサーは、問題を理解し、その範囲と影響を確認し、通常の操作に復元するためのガイド付きの緩和ステップに従う手助けをするストーリーを生成します。

• 予測的洞察: サービスに影響を及ぼす前に、パフォーマンスと可用性のリスクを潜在的に検出します。 ネットワークトレンド、リソース使用、構成コンテキストを分析して、発展中の問題を予測します。 例えば、サイトソケットが許容可能なCPU使用率を超えると予想される場合にストーリーを生成することができます。 ストーリーは、予測を確認し、問題がいつ重大になる可能性があるかを理解し、ガイド付きの緩和手順に従うのを助けます

• Microsoft エンドポイントアラート - Microsoft Defender for Endpoint を使用するお客様は、Defenderアラートデータを Cato XOps と統合して、エンドポイントデバイスのストーリーを生成できます。 Microsoftエンドポイントアラートプロデューサーは、24 時間以内の同じデバイスで発生したDefenderアラートからデータを相関させてストーリーを作成します。 エンドポイント アラート ストーリーには、Defender によって検出されたアラートのすべての関連する証拠が含まれています。 焦点をエンドポイントに広げることで、これらのストーリーがネットワーク内の潜在的脅威の完全な把握を支援します。

  Defender for Endpoint と Cato XOps の統合に関する詳細は、Microsoft Defender for Endpoint アラート: XOps 統合の設定を参照してください。

• Microsoft Entra ID アラート - Microsoft Entra ID Protection からのアラートデータを統合して Cato XOps ストーリーを生成できます。 これにより、アナリストはXOps調査の広範なコンテキスト内でリスキーなサインインからのデータを含めることができます。 Cato Entra Identity Alert エンジンは、24 時間以内に同じユーザーに発生したEntra ID Protection アラートデータを相関させてストーリーを作成します。

  Entra ID Alertsと Cato XOps の統合に関する詳細は、Microsoft Entra ID: XOps 統合の設定を参照してください。

• クラウド検出と応答: Wiz の問題を使用して、クラウド環境のリスクを検出します。 これには、安全でない設定、脆弱なアプリケーション、公開されている資格情報、および脅威検出が含まれます。 プロデューサーは、ほぼリアルタイムでWizの問題を処理し、ストーリーワークベンチでストーリーを生成します。 これらのストーリーは、Wiz のクラウドインテリジェンスとCatoのコンテキストを組み合わせて、クラウドリスクを調査し、潜在的なクロス環境攻撃を特定するのに役立ちます。

• Cato エンドポイントアラート - Cato EPP ソリューションは、Cato XOps と統合してエンドポイントデバイスのストーリーを生成します。 Cato エンドポイントアラートプロデューサーは、24時間以内に同じデバイスで発生したCato EPPアラートからデータを相関させてストーリーを作成します。 Cato Endpoint Alerts ストーリーには、Cato EPP によって検出されたすべての関連証拠が含まれています。

  Cato エンドポイントアラートストーリーに関する詳細は、Cato エンドポイントプロテクション (EPP): XOps 統合の設定を参照してください。

• SentinelOne アラート - SentinelOne を使用するお客様は、SentinelOne EDR からのデータを統合してエンドポイントデバイスのストーリーを生成できます。 SentinelOne プロデューサーは Agent UUID (デバイスID) と脅威ファイルハッシュに基づいて SentinelOne EDR インシデントデータを相関させてストーリーを作成します。 これらのストーリーには、SentinelOne によって検出されたインシデントのすべての関連する証拠が含まれています。 ストーリーは、オリジナルのアラートが生成された後、ほぼリアルタイムで作成されます。

  SentinelOneアラートの統合に関する詳細は、SentinelOne EDR: XOps 統合の設定を参照してください。

• CrowdStrike アラート - CrowdStrike を利用するお客様は、インシデントIDに基づいたCrowdStrikeの検出からデータを統合できます。 これらのストーリーには、CrowdStrike によって特定された検出のすべての関連する証拠が含まれています。 ストーリーは、オリジナルのアラートが生成された後、ほぼリアルタイムで作成されます。

  CrowdStrikeのアラートの統合に関する詳細は、CrowdStrike: XOps 統合の設定を参照してください。

• サイトオペレーション - Cato XOps は、ネットワーク運用とセキュリティ運用を1つのプラットフォームに統合する、独自のAIOpsプロデューサーであるSite Operations（正式にはネットワークXDRとして知られる）を特長としています。 このプロデューサーは、接続性とパフォーマンスに関連するインディケーションとメトリクスを検出し、ネットワークに関する問題のデータを相関してストーリーを生成します。 例えば、WANリンクが断続的に高いパケットロスを経験している場合、プロデューサーはリンクのすべての関連するデータを含むストーリーを作成します。

  Cato XOps のネットワークストーリーに関する詳細は、サイトオペレーションストーリーのレビューを参照してください。

ユースケース

このセクションでは、各プロデューサーのユースケースを提供します：

XOps ライセンス層についての理解

XOpsライセンスは、アカウントに使用可能なプロデューサーとそのサービスがCatoによって管理されているかどうかを決定します。 すべてのライセンス層は、Cato管理アプリケーション内のXOpsプラットフォームツールから恩恵を受けます：

• ストーリー作業台

• XOps対応ポリシー

• ストーリーミュートポリシー

以下の表は2025年8月6日から適用されるXOpsライセンス層を示しています。 そして、各層で利用可能なプロデューサーを説明します。 XOpsライセンスの購入について詳細は、Catoの代表または公式リセラーにお問い合わせください。