Emerging Threats Center の詳細ビュー
Emerging Threats Center のフィードには、選択したキャンペーンまたはレポートの詳細が表示されます。フィードで脅威を選択すると、Google Threat Intelligence の情報と環境のデータを組み合わせたページが開き、脅威の影響とカバレッジを分析できます。
各ページには、関連する脅威インテリジェンス、検出データ、関連エンティティを表示する複数の展開可能なパネルが含まれています。各パネルで、セクション名の横にある chevron_forward 矢印をクリックすると、展開して詳細を表示できます。
Emerging Threats Center の詳細ビューには、次のパネルが表示されます。
関連ルール
[関連ルール] パネルには、選択したキャンペーンに関連する検出ルールが一覧表示されます。また、特定の戦術、手法、手順（TTP）のルール カバレッジを示す MITRE ATT&CK マトリックスの可視化も含まれています。ルールの関連付けはキャンペーンにのみ適用され、レポートには適用されません。
Emerging Threats は、Google Threat Intelligence からインテリジェンスを継続的に取り込み、組織のテレメトリーと照合します。次のプロセスを通じて、キャンペーンの検出、エンリッチメント、相関関係を自動化します。
- キャンペーン インテリジェンスの取り込み: システムは、Google Threat Intelligence からキャンペーン インテリジェンスを自動的に収集します。これには、グローバル調査、 Mandiant インシデント対応エンゲージメント、Mandiant Managed Defense テレメトリーのデータが含まれます。
- シミュレートされたログイベントの生成: バックグラウンドで、Gemini は実際の攻撃者の行動を反映した、忠実度が高く匿名化されたシミュレートされたログイベントを生成します。
- 検出カバレッジの自動ハイライト表示: システムは、 シミュレートされたログイベントを Google Cloud Threat Intelligence（GCTI） のキュレーションされた検出ルールとカバレッジ レポートに対して実行します。これにより、 Google SecOps で検出された場所とギャップが存在する場所が示されます。
- ルール作成の迅速化: ギャップが特定されると、Gemini はテスト済みのパターンに基づいて新しい検出ルールのドラフトを自動的に作成し、 ルールのロジックと予想される動作の概要を提供します。最終的なステップでは、これらのルールを本番環境に移行する前に、人が確認して承認する必要があります。
次の表に、[関連ルール] パネルの列の説明を示します。
| 列名 | 説明 |
|---|---|
| ルール名 | ルールのタイトルと、関連付けられたルールセットまたは検出カテゴリが表示されます。 ルール名をクリックすると、このルールによって生成された検出が表示される Detections[Detections] ページが開きます。 |
| タグ | 検出ルールに適用されたルールタグまたはラベルが一覧表示されます。 |
| 過去 4 週間のアクティビティ | 過去 4 週間のルールの警告または検出アクティビティが表示されます。 |
| 前回の検出 | ルールによって生成された最新のアラートのタイムスタンプが表示されます。 |
| 重大度 | 指定されたルールによって生成された検出に構成されている重大度レベルを示します。 |
| アラート | ルールのアラートを有効にするか無効にするかを指定します。 |
| ライブ ステータス | 環境内でルールが有効か無効かを示します。 |
キャンペーンに関連付けられたルールがない場合、パネルに「ルールなし 」というテキストが表示されます。
MITRE ATT&CK カバレッジを表示する
[関連ルール] パネルには、特定の戦術、手法、手順（TTP）のルール カバレッジを示す MITRE ATT&CK 可視化マトリックスが含まれています。
次のタブを使用して、可視化レイアウトを変更します。
- カード: 手法を戦術ごとにグループ化された詳細カードとして表示します。
- 概要: カバレッジの概要を簡潔に表示します。
- ミニマップ: カバレッジ マトリックスの概要を色分けされたグリッドで表示します。
マトリックスをフィルタして検索する
次のリストを使用して、マトリックスに表示されるルールをフィルタします。
- [ルールタイプ]: マトリックスを [すべて]、[キュレーション]、[カスタム] のルールでフィルタします。
- ライブ ステータス: ルールの現在のデプロイ ステータスでフィルタします。
- アラート ステータス: ルールをアラート ステータス（[すべて]、[オン]、[オフ]）でフィルタします。
特定カバレッジ情報を検索するには、[検索条件] リストを使用して、マトリックス を [TTP]、[ログタイプ]、[MITRE データソース]、または [ルール名] で検索します。
ヒートマップ指標をカスタマイズする
[オプションを表示] をクリックして、ヒートマップ指標をカスタマイズします。
- サブテクニックを表示: マトリックスのサブテクニックの表示 / 非表示を切り替えます。
- 集計モード: システムがヒートマップの色を計算する方法を変更します:
- 累積: 手法とその サブテクニックの合計カバレッジを表示します。
- 正規化された平均: 手法とそのサブテクニックの正規化された平均カバレッジを表示します。
- 最も弱いリンク: 手法と そのサブテクニックの最小カバレッジ値を表示します。
手法の詳細を表示する
特定のカードをクリックすると、詳細なコンテキスト パネルが開きます。このパネルには、選択した手法の詳細が表示され、次のセクションが含まれています。
- 説明: 選択した MITRE ATT&CK 手法の詳細な説明。
- サブテクニック: 関連するサブテクニックと、それぞれに関連付けられたルールの数を一覧表示する表。
- キュレーションされたルール: 適用した フィルタに一致する関連ルールを表示する表。この表には、ルール名、ライブ ステータス、アラート ステータス、特定の TTP が含まれます。
- ログタイプ: 適用可能なログタイプと、対応する MITRE データソースを一覧表示する表。
無効なルール
[無効なルール] パネルには、現在有効になっていないキャンペーンに関連する検出ルールが一覧表示されます（存在する場合）。これにより、脅威カバレッジのギャップを特定できます。キャンペーンのルールの関連付けは、 関連ルールで説明されているように決定されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| ルール名 | 無効なルールの名前が表示されます。 ルール名をクリックすると、 ルールのロジック、構成、関連付けられたルールセットを説明する詳細ビューが開き、 Curated Detectionsページのビューと同様になります。 |
| カテゴリ | ルールのタイプまたはカテゴリが表示されます。 |
| ルール設定済み | ルールソース（Mandiant Frontline Threats、Mandiant Hunt Rules、Mandiant Intel Emerging Threatsなど）を識別します。 |
| 適合率 | ルールの適合率のタイプ（ Broad または Precise）を示します。 |
| アラート | アラートが有効かどうかを示します。 |
| 最終更新日時 | ルールが最後に変更されたときのタイムスタンプが表示されます。 |
最近の関連エンティティ
[最近の関連エンティティ] パネルには、選択した脅威にリンクされ、その影響を受ける可能性がある環境内のエンティティが一覧表示されます。
このパネルには、次の条件を満たすユーザー エンティティとアセット エンティティが一覧表示されます。
- 過去 7 日以内に検出された。
- 脅威に関連付けられた IoC にリンクされたイベントで発生した。
- リスクスコアが割り当てられている。
次の表に、[最近の関連エンティティ] パネルの列の説明を示します。
| 列名 | 説明 |
|---|---|
| エンティティ名 | キャンペーンに関連付けられたアセットまたはエンティティが表示されます。 エンティティ名をクリックすると、[リスク分析] ページが開き、 そのエンティティの最近のリスクスコアの変更と、 その変更に寄与した検出の詳細が表示されます。 |
| エンティティ タイプ | エンティティのタイプ（ アセット またはユーザー アカウント など）を示します。 |
| IOC マッチ | キャンペーンの IoC のうち、組織のテレメトリーと一致し、最近の検出でエンティティに関連付けられている IoC の数が表示されます。 |
| エンティティ リスクスコア | 最近の IoC マッチに基づいて計算されたエンティティのリスクスコアが表示されます。 |
IOC
[IOC] パネルには、次の表が表示されます。
IOC マッチ
[IOC マッチ] テーブルには、選択したキャンペーンの環境内で検出または一致した IoC が一覧表示されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| IOC | ドメイン、IP アドレス、ハッシュ、URL が表示されます。 IoC をクリックすると、 Entity context パネルが開き、IoC と環境内で検出された場所に関する追加情報が表示されます。 |
| タイプ | IoC カテゴリ（DOMAIN、IP、FILE （HASH_SHA256）、URLなど）が表示されます。 |
| GTI スコア | GTI によって割り当てられた脅威スコアが 0 ～ 100 のスケールで表示されます。 |
| GCTI 優先度 | GCTI によって割り当てられた相対的な優先度レベルを示します。 |
| アセット | IoC に一致するイベントに関与している環境内のアセットが一覧表示されます。 |
| 関連付け | 脅威アクター やキャンペーンなど、インジケーターに関連する GTI エンティティが表示されます。 |
| 初回検知 | 環境内でインジケーターが最初に検出された日時が表示されます。 |
| 最終検知 | 環境内でインジケーターが最後に検出された日時が表示されます。 |
表で IoC をクリックすると、[エンティティ コンテキスト] パネルが開き、インジケーターに関する追加情報が表示されます。エンティティ属性の確認、アラート、クイック アクションの実行に関する一般的な情報については、 UDM 検索を使用してエンティティを調査するをご覧ください。
[エンティティ コンテキスト] パネルを使用して、次の高度な脅威の詳細を確認することもできます。
- 特定の時点の状態: 日付と時刻の選択ツールを使用して、特定の時点でのエンティティの 属性を正確に表示します。
- 関連するケース: 指定した ルックバック期間（過去 30 日間など）内のエンティティに関連するケースの表を表示します。この表には、ケース名、ステージ、優先度、ステータスが含まれます。
- 関連する脅威インテリジェンス: 下部のセクションを開いて、エンティティにリンクされている関連する
Google Threat Intelligence データを表示します。これらのセクションには次のような項目があります。
- レポート: 関連する脅威レポートとその公開日を表示します。
- キャンペーン: 関連する脅威キャンペーンとその作成日を表示します。
- アクター: 接続されている脅威アクターと、最近のアクティビティの日付を特定します。
- マルウェア: エンティティにリンクされているマルウェア ファミリーを特定します。
GTI 関連の IOC
GTI 関連の IOC テーブルには、GTI がキャンペーンに関連付ける追加の IoC が一覧表示されます。[Files]、[URLs]、[Domains]、または [IPs]タブをクリックすると、そのカテゴリの特定の インジケーターが表示されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| IOC | ドメイン、IP アドレス、ハッシュ、URL が表示されます。 |
| タイプ | IoC カテゴリ（DOMAIN、IP、FILE、 HASH_SHA256、URLなど）が表示されます。 |
| GTI スコア | GTI によって割り当てられた脅威スコアが 0 ～ 100 のスケールで表示されます。 |
| 関連する脅威アクター | IoC に接続されている脅威アクターが一覧表示されます。
アクターの名前をクリックすると、[ |
| 関連するマルウェア | IoC にリンクされているマルウェア ファミリーが一覧表示されます。
マルウェア名をクリックすると、 |
| GTI の検出 | GTI が IoC を最初に記録したときのタイムスタンプが表示されます。 |
| GTI の最終更新 | GTI によって IoC が最後に更新されたときのタイムスタンプが表示されます。 |
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。