TDR インジケータを管理する

• スコア — このインジケータの脅威スコア。既定では、フィルタリングされて、この列には 6 以上のスコアが示されるようになっています。
  詳細については、TDR 脅威スコアについて を参照してください。
• 送信元 — インジケータの送信元：インジケータが相関している場合、Host Sensor ()、Firebox (ネットワーク) ()、またはその両方。
• インジケータ — インジケータの詳細。次のセクションで説明されているように、インジケータの種類でこの列をフィルタリングすることができます。詳細を表示するには、追加情報をクリックします。
• 直近の通信日 — Host Sensor から前回にインジケータが送信された日付。既定では、フィルタリングされて、この列には過去 24 時間に検出された直近のインジケータが示されるようになっています。
• Sensor ステータス — Host Sensor のステータス。
  詳細については、TDR ホストおよび Host Sensor を管理する を参照してください。
• ホスト/IP — ホスト システムのホスト名または IP アドレス。
• 要求されたアクション — Host Sensor からのインジケータに対して Threat Detection and Response により推奨されるアクション。
• 結果 — 要求されたアクションの列に一覧されているアクションのステータスが示されます。
• ポリシーなし — この脅威に対して取るアクションのポリシーがないことを示しています。
• 成功 — アクションが正常に行われ、脅威が修正されたことを示しています。
• 失敗 — 許可の問題または別のアクションによって脅威が修正されたことに起因してアクションが失敗したことを示しています。
• ユーザー — インジケータが作成されたプロセスまたはファイルの所有者が表示されます。
• ファイル インジケータ — ファイルの所有者が表示されます。
• プロセス インジケータ — プロセスの所有者が表示されます。
• レジストリ インジケータ — ユーザー情報は表示されません。
• 相関ネットワーク インジケータ — 不審なネットワーク接続を行ったプロセスの所有者が表示されます。
• 無相関のネットワーク インジケータ — ユーザー情報は表示されません。
• アクション日 — 修正アクションが行われた日時。
• 前のスコア — 修正アクションが完了する前に、インジケータに割り当てられていた前のスコアが示されます。既定で、この列は非表示になっています。
• 詳細調査 — リンクが含まれており、それをクリックすると、Google、VirusTotal、MetaScan で MD5 を検索することができます。

1. 保存する列設定を選択します。
2. 左端の列ヘッダーで、 をクリックします。
3. 保存 を選択します。

1. 左端の列ヘッダーで、 をクリックします。
2. 適用 を選択します。

1. 左端の列ヘッダーで、 をクリックします。
2. クリア を選択します。

1. 左端の列ヘッダーで、 をクリックします。
2. 削除 を選択します。

1. 列ヘッダーで、 をクリックします。
   日付の選択ダイアログ ボックスが表示されます。選択された日付範囲フィルタがある場合は、それが上部に表示されます。

2. カレンダーで開始日と終了日を選択するか、日付範囲のショートカットを選択します。使用可能なショートカットは以下の通りです。
   • 過去 24 時間
   • 過去 3 日間
   • 過去 7 日間
   • 過去 1 日間
3. 選択された日付範囲フィルタを適用するには、適用 をクリックします。
4. 日付範囲フィルタをクリアするには、クリア をクリックします。

インジケータ 列にフィルタを適用して、インジケータの種類別にインジケータを表示することができます。

Host Sensor から報告されるホスト インジケータ () の場合は、インジケータの種類は以下のようになります。

• ファイル — 不審なファイルまたは悪意のあるファイル
• プロセス — 不審なプロセスまたは悪意のあるプロセス
• レジストリ — Windows ホストにおける不審なレジストリ エントリまたは悪意のあるレジストリ エントリ
• Host Ransomware Prevention — ランサムウェアの特徴を示すプロセスおよびファイル

Firebox から報告されるホスト インジケータ () の場合は、インジケータの種類は以下のようになります。

• ボットネットによりブロックされたサイト
• FQDN によりブロックされたサイト
• IP によりブロックされたサイト
• DNS 質問の一致
• HTTP APT Blocked
• HTTP APT で検出
• HTTP 不正評判
• HTTP 要求カテゴリ
• HTTP ウイルス検出
• SMTP APT Blocked
• SMTP APT で検出
• SMTP ウイルス検出

Host Sensor () と Firebox () の両方から報告されるインジケータの場合のインジケータの種類：

• HTTP APT 検出・発見済み — APT Blocker の応答には、ファイルが悪質であること、および修正のために Host Sensor からファイルの場所が返されたことが示されます。
• プロセス+ネットワーク — Firebox からのネットワーク イベントがホストの個々のプロセスに関連付けられます。(Windows Host Sensor でのみ使用可能です)

また、ネットワーク イベント ページで、Firebox により生成された各ネットワーク イベントの完全なログ メッセージを表示することができます。ネットワーク インジケータでは、各インジケータが異なるイベント の種類に対応します。詳細については、TDR のネットワーク イベントを表示する を参照してください。

インジケータ スコア

ThreatSync 分析では、脅威の重大度に基づいて各インジケータにスコアが割り当てられます。最高レベルの脅威が 10 で、最低レベルの脅威は 2 となります。ThreatSync では、インジケータが正常に修正された場合はスコア 1 が、インジケータが許可リストにある場合はスコア 0 が割り当てられます。

インジケータ脅威スコアの詳細については、次を参照してください：TDR 脅威スコアについて。

修正アクションおよび脅威スコアの詳細については、次を参照してください：TDR 修正アクションおよび脅威スコア。

1. インジケータ ページで、インジケータを見つけます。
2. インジケータの 結果 の列で、 をクリックします。

3. 閉じる をクリックして、アクション ログを閉じます。

1. ThreatSync > インジケータ の順に選択します。
2. インジケータ 列で、追加情報 をクリックします。
   追加情報のダイアログ ボックスが開きます。

表示される追加情報は、インジケータの送信元によって異なります。送信元は、Host Sensor または Firebox、あるいはその両方である可能性があります。

Host Sensor からのインジケータ —

Host Sensor によって報告されたインジケータの場合は、追加情報 ダイアログ ボックスに、ThreatSync 分析でどのようにインジケータ スコアが計算されたかに関する情報が表示されます。脅威フィード、マルウェア検証サービス、ヒューリスティックというスコアの 3 つのコンポーネントに関する情報が表示されます。各インジケータのステータスが強調表示されます。

脅威フィード ステータス オプション：

• 不一致 — ファイルまたはプロセスが脅威フィードのものと同じではない
• 一致 — ファイルまたはプロセスが脅威フィードのものと同じである

マルウェア検証サービス (MVS) ステータス オプション：

• 無害 — MVS により、ファイルまたはプロセスが既知の脅威ではないことが確認された
• 新着 — MVS には、ファイルまたはプロセスに関する情報がない
• 潜在的 — MVS により、ファイルまたはプロセスが既知の潜在的脅威であることが確認された
• 悪意 — MVS により、ファイルまたはプロセスが既知の脅威であることが確認された

ヒューリスティック ステータス オプション：

• しきい値未満 — このファイルまたはプロセスの動作は既知の不審ではないことが確認された
• 不審 — このファイルまたはプロセスの動作は不審であることが確認されたステータスを判断するために機械学習が使用された場合は、不審 ラベルの横に (ML) が表示されます。

不審なイベントの詳細を表示するには、詳細 をクリックします。

このインジケータのハッシュが他のホストで検出された場合は、追加情報 ダイアログ ボックスの右上に、そのインジケータを特定する他の Host Sensor の数字が表示されます。このインジケータを特定するすべてのホスト リストを表示するには、他のホストで検出されたハッシュ をクリックします。

Host Sensor から ファイルのサンドボックス アクション要求が発せられると、追加情報 ダイアログ ボックスに APT Blocker による Sandbox 分析のステータスに関する情報が含まれます。

詳細については、APT Blocker による TDR サンドボックス分析 を参照してください。

Firebox からのインジケータ —

Firebox によって報告されたインジケータの場合は、追加情報 ダイアログ ボックスに、Firebox から報告された脅威に関する情報が表示されます。

ネットワーク イベント ページに、Firebox で特定されたネットワーク イベントの詳細が表示されます。詳細については、TDR のネットワーク イベントを表示する を参照してください。

1. 生成するグラフの種類をクリックします。
   • — 棒グラフ
   • — 円グラフ
   • — 積み重ね棒グラフ

選択したグラフが表示されます。

2. グラフに表示されている期間を変更するには、一番上の期間を選択します。
3. グループ基準 ドロップダウン リストから、グラフでどのようにデータをグループ化するかを選択します。
4. 表示 ドロップダウン リストから、グラフに表示するインジケータの数を選択します。
5. グラフをエクスポートするには、 をクリックして、エクスポート ファイル形式 (.PNG、.JPG、.GIF、.PDF) を選択します
   選択した形式でファイルがダウンロードされます。

1. 1 つまたは複数のインジケータのチェックボックスを選択します。
2. アクション ドロップダウン リストから、完了するアクションを選択します。
   選択したアクションが適用されるインジケータのリストが表示された状態で、確認ダイアログ ボックスが開きます。

3. アクションの実行 をクリックします。