XDR データと手法

このトピックでは、Carbon Black Cloud コンソールで取得できる netconn データについて説明します。また、netconn トラフィックを識別して分類する侵入検知システム (IDS) と、アノマリを判断するためのネットワークトラフィック分析 (NTA) も導入されています。

Netconn データ

XDR はネットワーク接続 (netconn) を分析し、これらの分析を脅威ハンティングと調査に対して表示します。検索できる netconn フィールドのリストについては、XDR 検索フィールドを参照してください。

観測データタイプは、フィルタリングおよび並べ替えに使用できます。観測タイプの詳細については、調査 - 観測を参照してください。

MicroIDS ネットワーク分類エンジンは netconn イベントで実行され、IP パケットを使用して接続を分類します。このエンジンは、Carbon Black Cloud 3.9 以降の Windows センサーに組み込まれています。

IDS には以下の利点があります。

[侵入検知システム] は、[アラート]、[プロセス]、[観測] 画面のフィルタオプションです。

ネットワークトラフィック分析 (NTA) は、ネットワークの可用性とアクティビティを監視して、アノマリを特定します。NTA のメリットは次のとおりです。

ネットワークパケットから抽出されたデータは、使用状況を追跡し、疑わしい動作を監視するのに役立ちます。

例：

[調査] > [観測] 画面で取得された NTA データの例

Carbon Black は、次の 3 種類の NTA 検出器を示しています。


アラートタイプ	説明
IP プロファイラ	通常ホストが接続するリモート IP アドレスとは異なるリモート IP アドレスを持つローカルホストとの接続を探します。
ユーザーエージェントプロファイラ	以前のデバイスアクティビティと比較して、ローカルデバイスから行われた接続で異常な HTTP ユーザーエージェントを探します。
ポートプロファイラ	ネットワーク接続のいずれかの側で異常なポートアクティビティを探します。このアラートタイプには、次の 4 つのバリエーションがあります。外部ポートプロファイラ内部ポートプロファイラ外部サーバポートプロファイラ内部サーバポートプロファイラ

[ネットワークトラフィック分析] は、[アラート]、[プロセス]、[観測] 画面のフィルタオプションです。

MITRE ATT&CK^® は、Carbon Black Cloud コンソール全体および XDR に表示されます。XDR 固有ではありません。

MITRE ATT&CK は、敵対的な戦略と技術のナレッジベースとして、セキュリティ業界によって広く採用されています。MITRE ATT&CK の詳細については、MITRE ATT&CK（外部リンク）を参照してください。

戦略は、技術の背後にある目的を表します。たとえば、TA0001 の MITRE ATT&CK 戦略 ID は、攻撃者がネットワークに侵入しようとしていることを示します。

技術は、攻撃者がどのように攻撃しているかを表します。たとえば、T1548.003 の MITRE ATT&CK 技術 ID は、攻撃者が権限を昇格するために sudo キャッシュを実行していることを示します。

[観測]、[アラート]、[プロセス]、[プロセス解析] 画面の Tactic フィールドと Technique フィールドをフィルタリング、検索、並べ替えできます。例：

ヒント:

[観測] 画面と [アラート] 画面の表に [戦略] 列と [技術] 列の両方を表示するには、表の左下にある [表の構成] をクリックします。
[情報] アイコンをクリックして、戦略または技術の概要を表示します。[情報] ペイン内で、[詳細] をクリックして MITRE Web サイトに移動して詳細を確認できます。
[観測]、[アラート]、[アラートのトリアージ] 画面の [観測の詳細] ペインに MITRE ATT&CK 戦略と技術が表示されます。