ハイブリッド分析 の期待される結果の確認

観測事象は、セキュリティインシデントによって自動的に生成され、アプリケーションによってスキャンされます。セキュリティインシデントのルックアップ結果を探し、脅威のルックアップが正常に実行されたことを確認します。また、生データを表示し、子観測事象に対して脅威のルックアップを実行します。

始める前に

必要なロール：sn_si.analyst

手順

1. 作業しているセキュリティインシデントレコードを開き、ルックアップが正常に実行されたことを確認します。

   

   アプリケーションを設定すると、インシデントの作成時にフローが自動的に起動します。続いてルックアップの実行および完了ステータスがセキュリティインシデントの作業メモに表示されます。
2. ルックアップが正常に実行されたことを確認できない場合は、作業メモで対処方法を確認してください。
3. セキュリティインシデントレコードの下部に移動し、[すべての関連リストを表示] 関連リンクをクリックして結果を表示します。
   注:

   次の手順の図は、[システムの設定] で [タブ付きフォーム] 設定をアクティブにした状態で示されています。バナーフレームの右上隅にある [設定] 歯車アイコンをクリックします。表示される [システムの設定] ダイアログボックスで [フォーム] をクリックし、[タブ付きフォーム] と [フォームと同時] が選択されていることを確認します。

   

   [脅威のルックアップの結果] タブでは、セキュリティインシデントレコードの下部にルックアップ結果が表示されます。悪意があると判断されていないレコードについては、[結果] 列に [不明] と表示されます。結果で悪意があると判断された場合は、[結果] 列に [悪意がある] と表示されます。
4. [観測事象] 列で観測事象をクリックし、レコードを開きます。

   

   ルックアップで悪意があると判断された場合は、[結果] フィールドに「Malicious」と表示され、悪意があると判断された 脅威インテリジェンス ソースで観測事象がタグ付けされます。この場合は ハイブリッド分析 統合です。
5. オプション: 手順に従って生データを表示し、子観測事象のリストを表示したら、選択した子観測事象で脅威のルックアップを実行します。
   1. セキュリティインシデントに戻り、[脅威のルックアップの結果] タブで、観測事象の横にある青色の情報アイコンをクリックします。

      

   2. 表示されるウィンドウで [レコードを開く] をクリックし、データを表示します。
      ハイブリッド分析 統合により、ルックアップから表示される生データ内の観測事象から子観測事象または関連する観測事象も作成されます。

      

      API によって作成されたリンク、生データ、およびその他の情報が表示されます。
   3. セキュリティインシデントに戻り、[IoC を表示] 関連リンクをクリックします。
      子観測事象は、セキュリティインシデントの [子観測事象] タブに表示されます。これは、ルックアップでこれらの関連する観測事象と最初に送信された観測事象との間に既存の関連性が見つかったためです。
   4. [子] 列の観測事象の横にあるフィールドをクリックして選択し、[脅威のルックアップを実行] 関連リンクをクリックしてルックアップを実行します。

      

   5. 表示されるダイアログボックスで ハイブリッド分析 統合が選択されていることを確認し、[送信] をクリックします。
   6. 作業メモで、ルックアップが正常に実行されたことを確認し、セキュリティインシデントの [脅威のルックアップの結果] タブで子観測事象のルックアップ結果を探します。

[脅威のルックアップの結果] タブに結果が表示されない場合は、観測事象が統合によるルックアップでサポートされているタイプであることを確認します。

前のトピック: ハイブリッド分析 のインストールと構成

次のトピック: (オプション) ハイブリッド分析 の観測事象を手動で添付する