関連トピック

# TDR 脅威スコアについて

Host Sensor または Firebox から報告されたイベントが TDR に届くと、ThreatSync 分析エンジンによりイベントが分析され、イベントの重大度に基づいて脅威スコアが割り当てられます。脅威スコアが割り当てられたその報告イベントがインジケータとなります。スコアが高いほど、そのイベントまたはオブジェクトが脅威である可能性が高いということになります。

## Host Sensor イベント

Host Sensor では、ファイル、プロセス、およびレジストリ エントリの変更に関してホストが監視されます。Host Sensor では、以下のイベントの種類が監視されます。

- ファイルの作成および削除 — PE (Portable Executable) ヘッダーを持つファイルの場合
- プロセスの作成および終了
- レジストリの変更

Host Sensor からイベントが送信されると、ThreatSync では以下のいずれかの方法でインジケータ スコアがイベントに割り当てられます。

- 脅威フィード — ThreatSync で、観察されたファイルまたはプロセスの MD5 と、Threat Detection and Response 脅威フィードにおける既知の脅威の MD5 値が比較されます。
- マルウェア検証サービス — それが既知の脅威かどうかを判断するために、観測されたファイルまたはプロセスの MD5 が、ThreatSync からクラウドベースのマルウェア検証サービスに送信されます。
- ヒューリスティック — ファイルまたはプロセスで観察された動作や特性に、不審であることが示されている可能性があります。
- Sandbox 分析 — Sandbox 分析の結果により、TDR でイベントの脅威スコアが調整される可能性があります。

Sandbox 分析の詳細については、次を参照してください：APT Blocker による TDR Sandbox 分析。

## ネットワーク イベント

Reputation Enabled Defense、Gateway AntiVirus、APT Blocker、WebBlocker、ボットネット検出、ブロックされたサイト、または Firebox の他の構成オプションによって脅威が検出されると、Firebox からネットワーク イベントが送信されます。Firebox でネットワーク インジケータが特定および送信されるようにするには、Firebox でプロキシ ポリシーとサービスを構成して、Firebox から TDR にアクションのレポートがインジケータとして送信されるようにログ記録を有効化する必要があります。推奨されるプロキシ ポリシーの構成については、次を参照してください：TDR のプロキシ ポリシーを構成する。

イベントに関係するホストの IP アドレスが Host Sensor がインストールされているホストの IP アドレスと同じ場合にのみ、Firebox から報告されたネットワーク イベントに ThreatSync でインジケータ スコアが割り当てられます。

## インジケータ脅威スコア

インジケータは 0 〜 10 のスケールで採点されます。スコア 10 が最高の脅威となります。

スコア | 説明
--- | ---
10 | 重大 - ホスト インジケータの脅威フィード、マルウェア検証サービスの確認、またはその両方、および重大なネットワーク アラートに基づいて付けられたスコアです。このスコアは、Host Ransomware Prevention がトリガーされたこと、およびそれを防止する Host Sensor アクションが失敗したことを示すものでもあります。
9 | 重大 - APT Blocker Sandbox 分析の結果に基づいて付けられたスコアです。
8 | 深刻 — インジケータの脅威フィード、マルウェア検証サービスの確認、または同じオブジェクトに対する複数の動作のヒューリスティック識別に基づいて付けられたスコアです。APT Blocker Sandbox 分析の結果として、インジケータにこのスコアが割り当てられる可能性があります。
7 | 高 — ネットワーク アクティビティ、同じオブジェクトに対する複数の動作のヒューリスティック識別、またはサードパーティのネットワーク アクティビティに基づいて付けられたスコアです。APT Blocker Sandbox 分析の結果として、インジケータにこのスコアが割り当てられる可能性があります。
6 | 高 — ネットワーク アクティビティまたは同じオブジェクトに対する複数の動作のヒューリスティック識別に基づいて付けられたスコアです。Firebox の APT Blocker により既知の脅威がブロックされたときに、ネットワーク インジケータにこのスコアが割り当てられる可能性があります。
5 | 調査 — 複数の潜在的な悪意のあるプロセス動作のヒューリスティック識別に基づいて付けられたスコアです。Firebox の APT Blocker により既知の脅威がブロックされたときに、ネットワーク インジケータにこのスコアが割り当てられる可能性があります。
4 | 中 — サードパーティ ベンダーのスコア (主にネットワーク アクティビティ インジケータ) などの中程度の優先度のインジケータです。Firebox の APT Blocker により既知の脅威がブロックされたときに、ネットワーク インジケータにこのスコアが割り当てられる可能性があります。
3 | 低 — サードパーティ ベンダーのスコア (主にネットワーク インジケータ) などの低度の優先度のインジケータです。
2 | 不審 - 他の相関がない低忠実性のファイル ヒューリスティックです。
1 | 修正済み - 特定されたホスト インジケータがホストで修正済みです。
0 | 既知の正常な状態 - ホストに検出されたインジケータがない、またはオブジェクトがホワイトリストに入っています。

修正されたインジケータに関して TDR で脅威スコアが更新される方法の詳細については、次を参照してください：TDR 修正アクションおよび脅威スコア。

TDR で Host Ransomware Prevention インジケータに脅威スコアが割り当てられる方法の詳細については、次を参照してください：TDR Host Ransomware Prevention について。

Sandbox 分析の結果に基づいて TDR で脅威スコアが割り当てられる方法の詳細については、次を参照してください：APT Blocker による TDR Sandbox 分析。

## インシデント脅威スコア

インシデントとは、エンドポイントにおけるアクティブ インジケータのグループです。ThreatSync では、ホストのインジケータのスコアが相関され、そのホストに対する脅威の全体的な重大度を反映する全体的なスコアがインシデントに割り当てられます。インシデントの脅威スコアは、インシデントの複数のインジケータの相関関係に基づいて組み合わせられた脅威スコアです。ThreatSync > インシデント ページのインジケータのインシデント リストには、インシデントの合計脅威スコアを計算するために使用された各インジケータ スコアの横にシンボル が表示されます。

インシデントの詳細については、次を参照してください：TDR インシデントを管理する。

#### 関連情報

TDR インジケータを管理する

TDR インシデントを管理する

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索