関連トピック

# TDR インジケータを管理する

Threat Detection and Response では、インジケータ とは、ネットワークの Host Sensor と Firebox から送信され、ThreatSync 分析エンジンにより採点されたイベントを指します。オペレータは インジケータ ページで、システムのすべてのインジケータを表示し、簡単に棒グラフと円グラフを作成し、そしてホスト全体で手動アクションを完了することができます。

## インジケータを表示する

TDR Web UI の ダッシュボード ページで、インジケータの概要を表示し、インジケータ ページのフィルタリングされた表示にすばやく移動することができます。詳細については、次を参照してください：TDR ダッシュボードインジケータ ページに直接アクセスして、すべてのインジケータを表示することもできます。

1. ThreatSync > インジケータ の順に選択します。
   過去 24 時間内に特定されたスコアで 6 以上のすべてのインジケータが表示されるようにフィルタが設定されているインジケータ ページが表示されます。

1. ページ上部の制御を選択して、リストにフィルタを適用します。
   - データ範囲を増やすには、ページ上部の範囲を選択します。
   - インジケータ リストにフィルタを適用するには、列ヘッダーの制御を選択します。
   - インジケータを検索するには、検索 テキスト ボックスに、検索する単語または値を入力します。
     ファイル名、MD5 値、IP アドレス、DNS 名、および URL で検索することができます。
   - すべてのフィルタをクリアするには、 をクリックします。

インジケータ リストには、このステータス情報と各インジケータで要求されたアクションが表示されます。

- スコア — このインジケータの脅威スコア。
  詳細については、次を参照してください：TDR 脅威スコアについて。
- ソース — インジケータのソース：Host Sensor () または Firebox ()。
- インジケータ — インジケータの説明。詳細を表示するには、追加情報をクリックします。次のセクションで説明されているように、インジケータの種類でこの列をフィルタリングすることができます。
- 直近の通信日 — Host Sensor から前回にインジケータが送信された日付。
- Sensor ステータス — Host Sensor のステータス。
  詳細については、次を参照してください：TDR ホストおよび Host Sensor を管理する。
- ホスト/IP — ホスト システムのホスト名または IP アドレス。
- 要求されたアクション — Host Sensor からのインジケータに対して Threat Detection and Response により推奨されるアクション。
- 結果 — 実行された修正アクション (これがある場合)。ポリシーなし は、この脅威に対処するためのポリシーがないことを意味します。
- ユーザー — 修正アクションを完了したユーザー。Threat Detection and Response によりアクションが完了された場合は、ユーザーは システム となります。
- アクション日 — 修正アクションが行われた日時。
- 詳細調査 — リンクが含まれており、それをクリックすると、Google、VirusTotal、MetaScan で MD5 を検索することができます。

### インジケータの種類

インジケータ 列にフィルタを適用して、インジケータの種類別にインジケータを表示することができます。

Host Sensor から報告されるホスト インジケータ () の場合は、インジケータの種類は以下のようになります。

- ファイル(F)
- プロセス
- レジストリ
- Host Ransomware Prevention

Firebox から報告されるホスト インジケータ () の場合は、インジケータの種類は以下のようになります。

- ボットネットによりブロックされたサイト
- FQDN によりブロックされたサイト
- IP によりブロックされたサイト
- DNS 質問の一致
- HTTP APT でブロック
- HTTP APT で検出
- HTTP 不正評判
- HTTP 要求カテゴリ
- HTTP ウイルス検出
- SMTP APT でブロック
- SMTP APT で検出
- SMTP ウイルス検出

また、ネットワーク イベント ページで、Firebox により生成された各ネットワーク イベントの完全なログ メッセージを表示することができます。ネットワーク インジケータでは、各インジケータが異なるイベント の種類に対応します。詳細については、次を参照してください：TDR のネットワーク イベントを表示する。

### インジケータ スコア

ThreatSync 分析では、脅威の重大度に基づいて各インジケータにスコアが割り当てられます。最高レベルの脅威が 10 で、最低レベルの脅威は 2 となります。ThreatSync では、インジケータが正常に修正された場合はスコア 1 が、インジケータがホワイトリストにある場合はスコア 0 が割り当てられます。

インジケータ脅威スコアの詳細については、次を参照してください：TDR 脅威スコアについて。

修正アクションおよび脅威スコアの詳細については、次を参照してください：TDR 修正アクションおよび脅威スコア

### アクション

各インジケータはホストに関連付けられています。インジケータは、ホストのファイルやプロセス、Host Sensor () で検出されたファイルやプロセス、ホストを行き来するトラフィックのネットワークイベント、または Firebox () で検出されたファイルやプロセスに関連している可能性があります。Firebox から報告されたインジケータについては、Firebox 構成に基づいて、Firebox で修正アクションを完了することができます。たとえば、APT Blocker、IPS、またはゲートウェイ AV によりファイルへのアクセスがブロックされる可能性があります。また、WebBlocker により Web サイトへのアクセスがブロックされる可能性があります。Host Sensor から報告されたインジケータについては、構成されている TDR ポリシーに基づいて、Host Sensor で自動的に修正アクションを実行することができます。または、要求されたアクションを実行して、インジケータ ページで脅威を修正することができます。

### アクション ログおよび修正履歴

各インジケータについて、そのインジケータのアクション リストがアクション ログに表示されます。修正済みのインジケータの場合は、アクション ログに修正履歴が含まれています。これには、正常に修正される前のインジケータの元のスコアが示されています。

インジケータのアクション ログを表示するには、以下の手順を実行します：

1. インジケータ ページで、インジケータを見つけます。
2. インジケータの 要求されたアクション 列で、 をクリックします。

1. 閉じる をクリックして、アクション ログを閉じます。

### インジケータの詳細

インジケータの詳細を表示するには、以下の手順を実行します：

1. ThreatSync > インジケータ の順に選択します。
2. インジケータ 列で、追加情報 をクリックします。
   追加情報のダイアログ ボックスが表示されます。

表示される追加情報は、インジケータ ソースが Host Sensor か Firebox かによって異なります。

Host Sensor からのインジケータ —

Host Sensor によって報告されたインジケータの場合は、追加情報 ダイアログ ボックスに、ThreatSync 分析でどのようにインジケータ スコアが計算されたかに関する情報が表示されます。脅威フィード、マルウェア検証サービス、ヒューリスティックというスコアの 3 つのコンポーネントに関する情報が表示されます。各インジケータのステータスが強調表示されます。

脅威フィード ステータス オプション：

- 不一致 — ファイルまたはプロセスが脅威フィードのものと同じではない
- 一致 — ファイルまたはプロセスが脅威フィードのものと同じである

マルウェア検証サービス (MVS) ステータス オプション：

- 無害 — MVS により、ファイルまたはプロセスが既知の脅威ではないことが確認された
- 新着 — MVS には、ファイルまたはプロセスに関する情報がない
- 潜在的 — MVS により、ファイルまたはプロセスが既知の潜在的脅威であることが確認された
- 悪意 — MVS により、ファイルまたはプロセスが既知の脅威であることが確認された

ヒューリスティック ステータス オプション：

- しきい値未満 — このファイルまたはプロセスの動作は既知の不審ではないことが確認された
- 不審 — このファイルまたはプロセスの動作は不審であることが確認された

不審なイベントの詳細を表示するには、詳細 をクリックします。

このインジケータのハッシュが他のホストで検出された場合は、追加情報 ダイアログ ボックスの右上に、そのインジケータを特定する他の Host Sensor の数字が表示されます。このインジケータを特定するすべてのホスト リストを表示するには、他のホストで検出されたハッシュ をクリックします。

Host Sensor から ファイルのサンドボックス アクション要求が発せられると、追加情報 ダイアログ ボックスに APT Blocker による Sandbox 分析のステータスに関する情報が含まれます。

詳細については、次を参照してください：APT Blocker による TDR Sandbox 分析。

Firebox からのインジケータ —

Firebox によって報告されたインジケータの場合は、追加情報 ダイアログ ボックスに、Firebox から報告された脅威に関する情報が表示されます。

ネットワーク イベント ページに、Firebox で特定されたネットワーク イベントの詳細が表示されます。詳細については、次を参照してください：TDR のネットワーク イベントを表示する。

### 詳細調査

インジケータをより詳しく調べるには、Google、VirusTotal、または MetaScan でインジケータの MD5 値を検索することができます。

インジケータの MD5 値を検索するには、詳細調査 列で、以下のいずれかのリンクをクリックします。

- Google で MD5 を検索する
- VirusTotal で MD5 を検索する
- MetaScan で MD5 を検索する

### インジケータ グラフを作成およびエクスポートする

インジケータは、棒グラフ、円グラフ、または積み重ね時系列グラフで表すことができます。グラフは、.PNG、.JPG、.GIF、または .PDF ファイルにエクスポートすることができます。

グラフを作成するには、以下の手順を実行します：

1. 生成するグラフの種類をクリックします。
   - — 棒グラフ
   - — 円グラフ
   - — 積み重ね棒グラフ

選択したグラフが表示されます。

2. グラフに表示されている期間を変更するには、一番上の期間を選択します。
3. グループ基準 ドロップダウン リストから、グラフでどのようにデータをグループ化するかを選択します。
4. 表示 ドロップダウン リストから、グラフに表示するインジケータの数を選択します。
5. グラフをエクスポートするには、 をクリックして、エクスポート ファイル形式 (.PNG、.JPG、.GIF、.PDF) を選択します
   選択した形式でファイルがダウンロードされます。

## 手動アクションを実行する

インジケータを修正するアクションを手動で選択することができます。要求されたアクション 列には、Host Sensor から報告されたインジケータに関して推奨される修正方法が示されます。要求されたアクションを実行すると、これが、TDR ダッシュボード ページの 修正 ウィジェットで 手動 修正として分類されます。

アクション ドロップダウン リストには、各アクションが適用できる選択インジケータの数が表示されます。以下のいずれかのアクションを選択することができます。

外部修正

システム自体の脅威を修正した場合は、このアクションを選択します。たとえば、ファイルを手動で削除した、またはインジケータで指定されたプロセスを終了した場合などです。

ホワイトリストに登録

既知の安全なファイルまたはプロセスとして、このインジケータをホワイトリストに追加する場合は、このアクションを選択します。このアクションを選択すると、インジケータの MD5 でホワイトリストの署名上書きが作成されます。ホワイトリストの詳細については、次を参照してください：TDR の署名上書きを構成する

プロセスの強制終了

Host Sensor により、インジケータで指定されたプロセスを終了する場合は、このアクションを選択します。このアクションは、URL 一致、プロセス、または Host Ransomware Prevention インジケータに適用されます。Host Sensor で通信ポートが特定されると、Host Sensor ではネットワーク ポートへの通信をサポートするプロセスが終了します。

ファイルの検疫

Host Sensor により、インジケータで指定されたファイルを検疫する場合は、このアクションを選択します。このアクションでは、XOR を使用して、ファイル コンテンツが暗号化されます。したがって、ファイルは実行不可能となります。検疫済みファイルの保存期間 設定で指定されている日数の間、検疫済みファイルがホストに留まります。詳細については、次を参照してください：検疫済みファイルの保存期間を構成する。

Host Sensor で検疫されたファイルが、後から脅威ではないと判明した場合は、インシデント ページに移動して、そのファイルを検疫から削除することができます。詳細については、次を参照してください：検疫からファイルを削除する。

レジストリ値の削除

Host Sensor により、インジケータで指定されたファイルまたはプロセスのレジストリ値が削除されるようにするには、このアクションを選択します。このアクションにより、悪意のあるファイルを参照するレジストリ値が削除されます。

Sandbox ファイル

Host Sensor により、不審なファイルをサンドボックスにアップロードして分析が行われるようにするには、このアクションを選択します。詳細については、次を参照してください：APT Blocker による TDR Sandbox 分析。

プロセスの強制終了、ファイルの検疫、レジストリ値の削除、およびファイルのサンドボックス アクションは、ポリシーで構成できる同じアクションです。インジケータ または インシデント ページでこれらのアクションを選択すると、これらのアクションは手動アクションとして分類されます。

ファイルの検疫が正常に完了したインジケータについては、検疫されたファイルを元に戻すアクションを選択することもできます。詳細については、次を参照してください：検疫からファイルを削除する。

手動アクションを実行するには、以下の手順を実行します：

1. 1 つまたは複数のインジケータのチェックボックスを選択します。
2. アクション ドロップダウン リストから、完了するアクションを選択します。
   選択したアクションが適用されるインジケータのリストが表示された確認ダイアログ ボックスが表示されます。

1. アクションの実行 をクリックします。

Host Sensor で修正アクションが正常に完了すると、インジケータのスコアが 1 に下げられ、インジケータ ページの 結果 列に、アクションが成功したことが示されます。

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索