セキュリティ分析

NetFlow Analyzerのセキュリティ分析タブにおけるイベントの確認、および検出された異常の管理方法について説明します。

  • セキュリティ機能を利用する場合は、セキュリティ機能有効化のシステム要件に準拠している必要があります。
    詳細はセキュリティ分析機能の有効化方法のヘルプページからシステム要件をご覧ください。
  • 本機能は、Professional Edition（単体構成） と Enterprise Edition（分散構成）の両方でオプションを購入することなくご利用いただけます。
  • 機械学習ベースのセキュリティ分析機能は、ビルド12.8.639以降で使用できます。

1. 概要タブ

ネットワーク全体のセキュリティイベントに関する概要を表示し、現在のネットワーク状況を素早く把握することができます。

①検出されたアセット（Assets Discovered）
検出されたアセット（IPアドレス、ホスト名またはMACアドレス）の総数と検出数が表示されます。
②検出（Detections）
イベントリスクスコア別（重大、高、中、低）のセキュリティイベント検出数が表示されます。
イベントリスクスコアの計算については、こちら
③イベントタイムライン
セキュリティイベントの発生時期を時系列で確認できます。
④重大イベント
重大イベントの発生時刻と件数、イベントリスクスコアを確認できます。
⑤アクティブなイベント（Active Events）
セキュリティイベントの総数と解決済みの件数が表示されます。
⑥MITRE ATT&CKフレームワーク毎のイベント
検出された各アクティビティが、どの攻撃手法（戦術）に関連しているかをMITRE ATT&CKフレームワークを基にマッピングされます。
⑦,⑧トップ10の攻撃者と被害者
セキュリティイベントに関与しているアセット（上位10件）が確認できます。
⑨表示期間
プルダウンから（最新1時間、最新6時間、最新24時間）を選択可能です。

Security Analytics Overview.png

2. 検出（Detections）タブ

機械学習を用いて特定された、ネットワーク上のすべてのセキュリティイベントをリスト化して確認する画面です。

検出（Detections）タブのセキュリティイベントは、その攻撃の傾向ごとにカテゴリ化され、左側のウィジェットに表示されます。
各カテゴリの詳細は、こちら（英語ページ）

カテゴリの一覧は以下の通りです。

  • Data Transfer and P2P Attacks（データ転送とP2P攻撃）
  • Protocol Anomalies（プロトコルの異常）
  • Email Protocol Attacks（電子メールプロトコル攻撃）
  • Protocol Exploitation（プロトコルの悪用）
  • Port Scanning and Network Probe Attacks（ポートスキャンとネットワークプローブ攻撃）
  • Remote Access and Control Exploitation（リモートアクセスおよび制御の悪用）
  • Service-Based Attacks（サービスベースの攻撃）
  • Small Packet Scanning Attacks（小パケットスキャン攻撃）
  • Network Service Exploitation（ネットワークサービスの悪用）
  • Network Layer Attacks（ネットワーク層攻撃）
  • Directory Service and Authentication Attacks（ディレクトリサービスと認証攻撃）
  • Network Reconnaissance and Discovery Attacks（ネットワーク偵察および発見攻撃）

左側のリストからカテゴリを選択すると、該当するセキュリティイベントを右側にリスト表示します。攻撃者や被害者の詳細、期待値と実測値、発生時刻などが確認できます。

SecurityAnalyticsDetections.png

3. アセット（Assets）タブ

ネットワーク上のアセットごとのセキュリティ情報を詳細に表示・確認するタブです。

各アセットに関連するイベント、攻撃者または被害者のどちらに該当するか、発生日時の詳細を確認できます。

SecurityAnalyticsAssets.png

4. イベントの管理と調査

検出されたセキュリティイベントに対して、フィルタリングや管理、詳細な分析を実施できます。

  • フィルタリング機能
    ステータス、MITRE ATT&CK、問題タイプ、重要度、スコア、時間範囲などで絞り込みが可能です。
    • SecurityAnalyticsAssetsFilter.png
  • ステータス管理
    各イベントのステータスを変更したり、「誤検知（False Positive）」として分類します。
    • SecurityAnalyticsStatus.png
  • 詳細な原因調査
    イベントをクリックすると、異常が発生した考えられる理由や推奨の対応策が表示されます。
  • MITRE ATT&CKとの連携
    MITRE ATT&CKウィジェットに表示されるリンクから、攻撃手法に関する詳しい内容を得ることができます。
    • SecurityAnalyticsAssetsEvent.png