調査キャンバスの詳細

調査キャンバスの主な目的は、必要なセキュリティインシデントデータを 1 つの共通の場所に表示することです。

SIR ワークスペース 内では、セキュリティインシデントの調査は主にいくつかの重要なエントリーポイントを中心に展開されます。

ベースシステム内でセキュリティアナリスト向けにプロビジョニングされる主要なエントリーポイントは次のとおりです。

• 関連する観測事象
• 構成アイテム ID
• 影響を受けるユーザー
• 関連フィッシングメール
• メールの検索

エントリーポイントを追加、変更、または削除して、エントリーポイントを構成することもできます。詳細については、「SI 設計時調査の設定」を参照してください。

[調査] タブでは、エントリーポイントテーブルが親テーブルとして機能します。親テーブルで実行されたオーケストレーションアクションの結果を保持するすべてのテーブルは、エントリーポイント内の子テーブルとして表示されます。

たとえば、[ 関連する観測事象 ] エントリーポイントの場合、[関連する 観測事象] テーブルが親テーブルで、[脅威のルックアップの結果] や [サンドボックスの送信結果] などの他のテーブルが子テーブルとなります。

セキュリティアナリストは、[関連する観測事象] テーブルに対してすべてのオーケストレーションアクションを実行でき、複数の場所を移動しなくても同じページ内ですべての関連情報を表示できます。

注:

[概要] ページで、悪意のある観測事象などのインタラクティブなチャートを選択すると、調査キャンバス内の悪意のある観測事象のフィルター済みビューが表示されます。または、すべてのデータがある調査キャンバスに移動して、調査を直接開始することもできます。

[ 調査] タブには、コメントを追加して投稿するための作業メモフィールドがあります。[ メール ] オプションを使用して、必要なステークホルダーにメールを送信することもできます。

エントリーポイントの子テーブルのリストも構成可能です。詳細については、「SI 設計時調査の設定」を参照してください。

ベースシステム内で構成およびプロビジョニングされたエントリーポイント (関連する観測事象) の詳細な例を次に示します。

1. ドロップダウンリストから [関連する観測事象] エントリポイントを選択します。

   ここでは、親テーブルも [関連する観測事象] です。

   図 : 1. エントリーポイントリスト構成

   

2. 親テーブルから 1 つ以上の観測事象を選択します。
3. 目的の機能を実行します。

   たとえば、[脅威のルックアップを実行] を選択して、選択した観測事象の脅威のルックアップの結果をフェッチします。

   注:

   対応する観測事象アクションが実行されると、プロセスがバックエンドで実行され、結果が [観測事象] リストの下に表示されます。
4. [ 関連情報を表示 ] を選択して、観測事象の結果を表示します。結果は同じページに表示されます。
   注:

   結果別のフィルターを使用して結果を表示するには、[すべての結果] または [最新の結果] を選択します。デフォルトでは、最新の結果が表示されます。(統合の) 実装が複数ある場合は、実装に応じた最新の結果が表示されます。

   さらに、子テーブルの結果である [関連する関連リスト別 (by associated related lists)] で結果をフィルタリングできます。デフォルトでは、構成されたすべての子テーブル関連リストが表示されます。詳細については、「SI 設計時調査の設定」を参照してください。ただし、必要な子テーブルのみを選択することもできます。

   

5. [ 関連情報を表示 ] を選択すると、関連するすべての子テーブルデータが 1 か所に表示されます。ただし、[ ビューを閉じる] ボタンを選択すると、関連リストビューを閉じることができます。ビューを閉じると、前と同じように観測事象の親テーブルのみが表示されます。
6. [利用可能な関連情報の結果を表示 (Viewing available associated info results)] テーブル内の [すべて上向きに展開] アイコンを選択して、すべての関連リストの子テーブルデータを展開します。

   

7. すべての関連リストの子テーブルデータを折りたたむには、[すべて下向き方向に 折りたたむ ] アイコンを選択します。
   注:

   すべての子テーブルデータを含む関連情報セクションの上部にあるバナーには、ユーザーに表示される観測事象関連情報の数が表示されます。たとえば、最初に 2 つの観測事象を選択して [ 関連情報を表示] を選択すると、バナーに [2 つの関連する観測事象について利用可能な関連情報を表示しています] と表示されます。観測事象をもう 1 つ選択すると、バナーに情報が期限切れであることが示されます。[ 関連情報を表示 ] をもう一度選択して、最新のデータをフェッチします。

   

   観測事象を選択すると、選択したレコードの詳細ビューが別のタブで親テーブルレコードフォームが開きます。選択した特定のレコードの関連するすべての子テーブルデータも [関連情報] セクションに表示されます。

   ただし、[関連情報] セクションには、調査キャンバスに表示される子テーブルの最新の結果のみが読み取り専用モードで表示されます。このビューではアクションは実行できません。子テーブルのフォームページを新しいタブで開くと、任意のアクション (ある場合) を含む完全に機能するページが表示されます。

   ドロップダウンリストを使用して、さまざまなテーブルを切り替えることができます。[関連情報] セクションで各フォームを展開したり折りたたんだりすることもできます。

   [観測事象] フォームページ (親テーブルレコードフォームページ) 内で、利用可能な特定のアクションを実行できます。アクションを実行するたびに、関連情報バナーの [更新] を選択してデータを更新します。

8. [ すべて展開] を選択して、すべての関連リストの子テーブルを展開します。デフォルトでは、すべての子が展開されます。

   図 : 2. 観測事象を展開したビュー

   

関連概念

• SI 設計時調査の設定