Emerging Threats Center の詳細ビュー
Emerging Threats Center フィードには、選択したキャンペーン、オペレーション、レポートの詳細が表示されます。フィードで脅威を選択すると、Google Threat Intelligence の情報と環境のデータを組み合わせて、脅威の影響とカバレッジの分析に役立つページが開きます。
各ページには、関連する脅威インテリジェンス、検出データ、関連エンティティを表示する複数の展開可能なパネルが含まれています。各パネルで、セクション名の横にある chevron_forward 矢印をクリックしてセクションを開き、詳細を表示します。
主な用語
キャンペーン: 共通の目標を持つ複数の組織を標的とする、脅威アクターによる一連の組織的な攻撃。
オペレーション: 単一の組織を標的とする集中的な攻撃。多くの場合、直接的な調査から派生し、被害者の身元を非公開にするために保護されます。
[新たな脅威] の詳細ビュー
[Emerging Threats Center] の詳細ビューには、次のパネルが表示されます。
関連ルール
[関連ルール] パネルには、選択したキャンペーンに関連する検出ルールが一覧表示されます。また、特定の戦術、手法、手順（TTP）に対するルールのカバレッジを示す MITRE ATT&CK マトリックスの可視化も含まれています。ルールの関連付けは、レポートではなくキャンペーンにのみ適用されます。
Emerging Threats は、Google Threat Intelligence からインテリジェンスを継続的に取り込み、組織のテレメトリーと照合します。次のプロセスを通じて、キャンペーンの検出、エンリッチメント、関連付けを自動化します。
- キャンペーン インテリジェンスを取り込む: システムは、Google Threat Intelligence からキャンペーンまたはオペレーションのインテリジェンスを自動的に収集します。これには、グローバルな調査、Mandiant のインシデント対応エンゲージメント、Mandiant Managed Defense のテレメトリーからのデータが含まれます。
- シミュレートされたログイベントを生成する: バックグラウンドで、Gemini は実際の敵対者の行動を反映した、忠実度が高く匿名化されたシミュレートされたログイベントを生成します。
- 検出範囲を自動的にハイライト表示する: システムは、 Google Cloud Threat Intelligence（GCTI）のキュレートされた検出ルールに対してシミュレートされたログイベントを実行し、Google SecOps で検出が行われている場所とギャップが存在する場所を示すカバレッジ レポートを生成します。
- ルール作成を加速する: ギャップが特定されると、Gemini はテスト済みのパターンに基づいて新しい検出ルールを自動的に作成し、ルールロジックと予想される動作の概要を提供します。最終ステップでは、これらのルールを本番環境に移行する前に、人間によるレビューと承認が必要です。
次の表に、[関連付けられたルール] パネルの列の説明を示します。
| 列名 | 説明 |
|---|---|
| ルール名 | ルールのタイトルと、関連付けられたルールセットまたは検出カテゴリが表示されます。 ルール名をクリックすると、 Detections ページが開き、このルールによって生成された検出結果が表示されます。 |
| タグ | 検出ルールに適用されたルールタグまたはラベルを一覧表示します。 |
| 過去 4 週間のアクティビティ | 過去 4 週間のルールの警告または検出アクティビティが表示されます。 |
| 前回の検出 | ルールによって生成された最新のアラートのタイムスタンプが表示されます。 |
| 重大度 | 指定されたルールによって生成された検出に構成されている重大度レベルを示します。 |
| アラート | ルールのアラートが有効か無効かを指定します。 |
| ライブ ステータス | 環境内でルールが有効か無効かを示します。 |
キャンペーンまたはオペレーションに関連付けられているルールがない場合、パネルに「ルールなし」というテキストが表示されます。
MITRE ATT&CK のカバレッジを表示する
[関連するルール] パネルには、特定の戦術、手法、手順（TTP）に対するルールのカバレッジを示す MITRE ATT&CK 可視化マトリックスが表示されます。
次のタブを使用して、可視化のレイアウトを変更します。
- カード: 手法を戦術別にグループ化された詳細なカードとして表示します。
- 概要: 保証の概要が表示されます。
- ミニマップ: カバレッジ マトリックスの概要を示す色分けされたグリッドを表示します。
マトリックスをフィルタして検索する
次のリストを使用して、マトリックスに表示されるルールをフィルタします。
- ルールの種類: マトリックスを [すべて]、[キュレーション]、[カスタム] のルールでフィルタします。
- ライブ ステータス: ルールの現在のデプロイ ステータスでフィルタします。
- アラートのステータス: アラートのステータス（すべて、オン、オフ）でルールをフィルタします。
特定のカバレッジ情報を検索するには、[検索] リストを使用して、TTP、ログタイプ、MITRE データソース、またはルール名でマトリックスを検索します。
ヒートマップの指標をカスタマイズする
[オプションを表示] をクリックして、ヒートマップの指標をカスタマイズします。
- サブテクニックを表示: マトリックスでサブテクニックの表示と非表示を切り替えます。
- 集計モード: ヒートマップの色を計算する方法を変更します。
- 累積: テクニックとサブテクニックの合計カバレッジが表示されます。
- 正規化された平均: テクニックとサブテクニックの正規化された平均カバレッジが表示されます。
- Weakest Link: テクニックとそのサブテクニックの最小カバレッジ値を表示します。
手法の詳細を表示する
特定のカードをクリックすると、詳細なコンテキスト パネルが開きます。このパネルには、選択した手法の詳細が表示されます。次のセクションが含まれています。
- 説明: 選択した MITRE ATT&CK 手法の詳細な説明。
- サブテクニック: 関連するサブテクニックと、それぞれに関連付けられたルールの数を示す表。
- キュレートされたルール: 適用したフィルタに一致する関連ルールを表示する表。この表には、ルール名、ライブ ステータス、アラート ステータス、特定の TTP が表示されます。
- ログタイプ: 該当するログタイプと対応する MITRE データソースを一覧表示する表。
無効なルール
[無効なルール] パネルには、キャンペーンまたはオペレーションに関連する検出ルールで、現在有効になっていないものがある場合に、それらが一覧表示されます。これにより、潜在的な脅威の範囲のギャップを特定できます。キャンペーンまたはオペレーションのルール関連付けは、関連付けられたルールで説明されているように決定されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| ルール名 | 無効になっているルールの名前が表示されます。 ルール名をクリックして、 Curated Detections ページのビューと同様に、ルールのロジック、構成、関連するルールセットを説明する詳細ビューを開きます。 |
| カテゴリ | ルールタイプまたはカテゴリが表示されます。 |
| ルールセット | Mandiant Frontline Threats、Mandiant Hunt Rules、Mandiant Intel Emerging Threats などのルールソースを識別します。 |
| 適合率 | ルールの精度タイプ（Broad または Precise）を示します。 |
| アラート | アラートが有効かどうかを示します。 |
| 最終更新日時 | ルールが最後に変更されたときのタイムスタンプが表示されます。 |
最近関連付けられたエンティティ
[最近の関連エンティティ] パネルには、選択した脅威にリンクされ、その影響を受ける可能性がある環境内のエンティティが一覧表示されます。
このパネルには、次の条件を満たすユーザー エンティティとアセット エンティティが一覧表示されます。
- 過去 7 日間の検出に表示された。
- 脅威に関連付けられた IoC にリンクされているイベントで確認されました。
- リスクスコアが割り当てられている。
次の表に、[最近関連付けられたエンティティ] パネルの列を示します。
| 列名 | 説明 |
|---|---|
| エンティティ名 | キャンペーンまたはオペレーションに関連付けられているアセットまたはエンティティが表示されます。 エンティティ名をクリックして [リスク分析] ページを開きます。このページには、そのエンティティの最近のリスクスコアの変化と、その変化に寄与した検出結果の詳細が表示されます。 |
| エンティティ タイプ | エンティティのタイプ（アセット、ユーザー アカウントなど）を示します。 |
| IOC の一致 | 組織のテレメトリーと一致し、最近の検出でエンティティに関連付けられているキャンペーンまたはオペレーションの IoC の数が表示されます。 |
| エンティティ リスクスコア | 最近の IoC の一致に基づいて計算されたエンティティのリスクスコアが表示されます。 |
IOC
[IOC] パネルには次の表が表示されます。
IOC マッチ
[IOC 一致] テーブルには、選択したキャンペーンまたはオペレーションの環境内で検出または一致した IoC が一覧表示されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| IOC | ドメイン、IP アドレス、ハッシュ、URL を表示します。 IoC をクリックすると、 Entity context パネルが開き、IoC に関する追加情報と、環境内で IoC が検出された場所が表示されます。 |
| タイプ | IoC のカテゴリ（DOMAIN、IP、FILE（HASH_SHA256）、URL など）が表示されます。 |
| GTI スコア | GTI によって割り当てられた脅威スコアを 0 ～ 100 のスケールで表示します。 |
| GCTI の優先度 | GCTI によって割り当てられた相対的な優先度レベルを示します。 |
| アセット | IoC に一致するイベントに関連する環境内のアセットを一覧表示します。 |
| 関連付け | 脅威アクターやキャンペーンなど、インジケーターに関連する GTI エンティティを表示します。 |
| 初回検知 | 環境内でインジケーターが最初に検出された日時が表示されます。 |
| 最終検知 | 環境内でインジケーターが検出された最新の日時が表示されます。 |
表内の IoC をクリックすると、[エンティティ コンテキスト] パネルが開き、インジケーターに関する追加情報が表示されます。エンティティ属性とアラートの確認、クイック アクションの実行に関する一般的な情報については、UDM 検索を使用してエンティティを調査するをご覧ください。
エンティティ コンテキスト パネルを使用して、次の高度な脅威の詳細を確認することもできます。
- 特定の時点の状態: 日付と時刻の選択ツールを使用して、特定の時点でのエンティティの属性を正確に表示します。
- 関連するケース: 指定したルックバック期間（過去 30 日間など）内のエンティティに関連するケースの表を表示します。この表には、ケース名、ステージ、優先度、ステータスが表示されます。
- 関連する脅威インテリジェンス: 下部のセクションを開いて、エンティティにリンクされている関連する Google Threat Intelligence データを表示します。これらのセクションには次のような項目があります。
- レポート: 関連する脅威レポートとその公開日を表示します。
- キャンペーン: 関連する脅威キャンペーンとその作成日時を表示します。
- オペレーション: 関連する脅威オペレーションとその作成日時を表示します。
- アクター: 関連する脅威アクターと、その最新のアクティビティの日付を特定します。
- マルウェア: エンティティに関連付けられているマルウェア ファミリーを特定します。
GTI に関連付けられた IOC
GTI 関連の IOC の表には、GTI がキャンペーンまたはオペレーションに関連付ける追加の IoC が一覧表示されます。[ファイル]、[URL]、[ドメイン]、[IP] の各タブをクリックすると、そのカテゴリの特定の指標が表示されます。
次の表に、列の説明を示します。
| 列名 | 説明 |
|---|---|
| IOC | ドメイン、IP アドレス、ハッシュ、URL が表示されます。 |
| タイプ | IoC カテゴリ（DOMAIN、IP、FILE、HASH_SHA256、URL など）が表示されます。 |
| GTI スコア | GTI によって割り当てられた脅威スコアを 0 ～ 100 のスケールで表示します。 |
| 関連する脅威アクター | IoC に関連付けられている脅威アクターを一覧表示します。 アクターの名前をクリックすると、 |
| 関連するマルウェア | IoC にリンクされているマルウェア ファミリーを一覧表示します。 マルウェア名をクリックすると、 |
| GTI の検出 | GTI が IoC を最初に記録したときのタイムスタンプが表示されます。 |
| GTI の最終更新 | IoC が GTI によって最後に更新されたときのタイムスタンプが表示されます。 |
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。