このプレイブックは、ストーリーワークベンチを使用して、イベント異常プロデューサーによって検出された異常行動に関連するストーリーを調査する方法を説明します。
イベント異常を分析するためのストーリーワークベンチの使用方法の詳細については、使用状況およびイベント異常のためのXOps UEBAストーリーの分析を参照してください。
概要
このプレイブックは、SOCエンジニアが異常な数のイベントを引き起こす異常行動に関連する可能性のあるセキュリティインシデントを調査するための体系的なアプローチを概説しています。 これは、初期情報の収集、ネットワークトラフィックの分析、脅威の性質についての結論を引き出すためのフレームワークを提供します。
これは、エンジンがボリュームスパイク（短時間での多数のイベント）や初見の行動（以前に観測されていないイベントまたはアプリケーション）を表面化させる場合に適用されます。 これらの指標は、同じ基礎的な行動分析モデルから発生します。以下のワークフローでは、それらをまとめた形でカバーし、追加のコンテキスト収集が必要となる可能性がある場所を示します。
何を探すべきか
イベント異常ストーリーは、異常なトラフィックパターンを生み出す脅威を特定したり、セキュリティのリスクを伴う可能性があるネットワークの誤った設定を見つけるのに役立ちます。 これらのタイプの潜在的な脅威の例は次のとおりです：
異常なトラフィックパターンに関連する脅威活動：
データ流出試み
ネットワーク内の横方向の動き
悪意のある感染試み
セキュリティリスクをもたらす可能性があるネットワークの誤った設定
ポリシーの違反 - 例: 不正アクセス試行、予期しないデータ移転、または設立されたセキュリティコントロールを回避する接続
オープンポートとプロトコルの誤用 - 特定のポートまたはプロトコルに関連する異常なトラフィックスパイクは、これらの設定がベストプラクティスと一致していないことを示している場合があり、誤設定を示している可能性があります
ネットワークセグメンテーション障害 - 誤設定されたネットワークセグメンテーションは、不正アクセスやセグメント間の移動を許可する可能性があり、異常として検出されることがあります
ステップ1 - 脅威に関する初期情報の収集
ストーリー内の詳細ウィジェットを使用して、潜在的な脅威に関する基本情報を収集し、さらなる調査が必要かどうかの初期評価を行います。 これらの主要なフィールドをレビューしてください：
説明 - 異常の種類（特定のアプリケーション、エンジン、または行動を含む）を理解し、特定のサイトまたはユーザーに焦点を当てるかどうかを確認します
学習期間 - エンジンが異常のためにベースラインデータを収集している期間を示します。 長い学習期間は十分に確立されたベースラインを示し、短い場合はデータが限られていることを示す可能性があります
ソースタブ - トラフィックを生成したサイトまたはユーザーをリストします。 スコープが全体のサイトである場合、複数のホストが関与することが期待されます。
ヒント：
異常がサイトに影響を与えた場合、単一のソースホストを特定するのは困難である可能性があり、異常は複数のホストにわたる可能性があります。
ステップ2 - 異常なイベントの起源の解析
異常の分布
異常の分布グラフは、異常ストーリーを引き起こしたイベントを生成したファイアウォールルール、IPSシグネチャ、またはアンチマルウェアルールを特定するのに役立ちます。 複数のルールが関与している場合は、イベントのスパイクを引き起こしたものを優先します。
イベントベースの異常ストーリーは、Catoログソース、ファイアウォール、IPS、DNS保護、CASB、DLP、アプリケーションセキュリティ、NGAMなど、どのソースからでも発生する可能性があるため、可能性のある攻撃ベクトルや調査アプローチを具体的なイベントタイプに合わせて調整する必要があります。
異常の正確なタイムスタンプに注意してください。 これは、後の調査ステップで関連イベントを分析するために重要です。
ステップ3 - 追加のウィジェットを確認する
追加のコンテキストを得るためにこれらのウィジェットを確認してください。 ウィジェットは、異常に関与するトップアプリケーション、サーバー、ホスト、ターゲットを表示します。 データは、異常ストーリーに至るまでの14日間の期間にわたって集約されています。
トップアプリケーション - 最も多いイベント数を示すアプリケーションを表示します。
トップサーバー/宛先 - 最もアクセスされたサーバーまたはネットワークを表示します。
トップホスト - トラフィックを生成するトップソースIPアドレスを表示します。
ターゲット - 異常なトラフィックのターゲットの宛先を表示します。
注意：
これらのウィジェットは、高水準の概要を提供しますが、異常の正確な原因を示すわけではありません。 例えば、ウィジェットはTORトラフィックが異常に関与していると示していますが、特定の宛先IPは示されていません。 これは、単一の悪意あるターゲットではなく、より広範なTORアクティビティを示している可能性があります。
ステップ4 - 関連ストーリーを分析
このステップは、同じ行動や観察されたホスト/サイトに関連する追加の検出を特定することによって貴重なコンテキストを提供します。 類似のストーリーをレビューすることは、同じ検出を引き起こしたかを判断し、環境に影響を及ぼしている可能性のある広範な現象を明らかにするのに役立ちます。
ステップ5 - アプリケーション分析とイベントの調査
個々のイベントを分析することは、調査において最も重要なステップです。 これにより、異常の原因を理解するための詳細な調査が可能になります。
ストーリーに関連するデータを相関させるため、関連するイベントをレビューします。 特定のソースIP、ドメイン、およびアプリケーションなどの再発する要素を探して、調査に焦点を当ててください。 例として、異常がTORトラフィックによって引き起こされ、特定のソースIPまたはドメインが繰り返し活動を示している場合、そのエンティティをさらに調査します。
イベント異常ストーリーに関連するイベントを分析する例の手順は以下の通りです。 フィルタリングやイベントページでの作業についての詳細は、ネットワーク内のイベントの分析を参照してください。
ストーリーページでView Allをクリックすることで、ストーリーに関連するイベントがプリフィルタされた状態でイベントページを表示します。
イベントページで、時間範囲フィルタを設定するか、異常な数のイベントを明確に示す時間範囲をマウスで選択します。
関連するフィールドをイベントページに追加します。 これにより、異常に関与するイベントのよりよい視点が提供されます。 以下の例では、これらのイベントフィールドがページに追加されました: シグネチャーID、アプリケーション、ドメイン名、送信元IP。
追加されたフィールドを確認し、異常の原因を特定しようとします。 この例では、追加されたイベントフィールドが、異常の原因が特定のドメインであることを明確に示しています。
追加されたフィールドを確認し、異常の原因を特定しようとします。 再発する要素を探します：
繰り返し発生するソースIP / ユーザー
複数のイベントにわたる同じドメインや宛先
見慣れないアプリケーションや国の突然の出現。
組織のトラフィックと比較：
他のユーザーに類似のトラフィックパターンがありますか？
疑わしい行動が初めての場合、それは組織内で一般的なものですか？ この行動は、組織内の他のホストでも引き起こされましたか？
次のステップで、ウィジェットとイベントに基づいてTorネットワークが最も使用されているアプリケーションであると特定し、二つの主要なIPS脅威がイベントのスパイクを持っていることが確認された後、特定のアプリケーションと脅威名にフィルターが追加されます。
追加されたフィルタは、この異常なトラフィックが特定のソースIPアドレスに関連していることを明らかにします。
今後の調査ステップをとることができます：
この活動に関連するデバイス名またはユーザー名を確認します。
ターゲットを調査し、それが悪意のある活動に関連しているかどうかを確認します。
同じサイトまたはネットワーク内の他のユーザーのために、同じ特性を持つトラフィックを調査して、より広範な文脈を確認します。
ファイル共有対 SMB の異常
XOpsエンジンは、ファイル転送イベントを単一の傘の下にグループ化しますが、クラウドファイル共有アプリ（例: Dropbox、SharePoint、S3）とSMBベースのファイルアクセスでは異なる調査データが公開されます：
クラウドアプリケーション - イベントはアプリケーションとボリュームのみを示します。オブジェクトレベルの詳細はクラウドプラットフォームに存在します
SMBトラフィック - イベントには、ファイル名やパスなどの詳細なメタデータが含まれており、より深い法医学的レビューが可能です。
調査のヒントおよびユースケース
サイトベースの異常では、特定のホストや宛先がなく、サイト全体にわたる広範な現象が異常である場合があります。
異常を引き起こしたアプリケーションが、異常なイベントを生成するトップ5アプリケーションの中にない場合があります。
異常が脅威インテリジェンス（レピュテーション）IPSイベントに基づいている場合があります。 そのような場合、調査はよりターゲットに焦点を当てるべきであり、次のプレイブックを使用してください: XOps セキュリティプレイブック - 疑わしいターゲット通信。
特定の異常がセキュリティの脅威をもたらすかどうか確信が持てない場合、そのトラフィックが過去に同じサイトまたは異なるサイトで発生したかどうかを観察してみてください。 これにより、異常が単に新しいデバイスによって引き起こされるかどうかを特定することができます。
調査から得られる結論
これらは、イベント異常ストーリーに関連する結論の例の一部です：
異常なトラフィック
ブロックされたファイルの異常
ブロックされたIPSトラフィックの異常
{app name}アプリケーションを使用したエクスフィルトレーション試行
悪意のあるターゲットトラフィックの異常
推奨されるアクション
完全なエンドポイント保護スキャン（アンチウイルス、EPP、EDRなどを含む）を実施し、感染したマシンから不明なプログラムやブラウザの拡張機能を削除してください。
削除プロセスが詳細で、関連するすべてのコンポーネントが特定されて削除されることを確認してください。
異常のソースとして特定のホストまたはユーザーを特定した場合、さらなる潜在的な損害やデータ流出を防ぐため、すぐにネットワークから隔離してください。
必要に応じて、より制限的なセキュリティポリシーのためのルールを更新または作成してください。特に、異常が許可されるべきでなかったアプリケーションやトラフィックによって引き起こされた場合。
ストーリーが偽陽性である場合、それを良性/情報として分類し、ミュートされたストーリーのルールにも追加することができます。 ストーリーが合法的なスキャンや侵入テストの結果である場合、特定の時間範囲のためにミュートされたストーリーのルールに追加することをお勧めします。