ユーザーから報告されたフィッシングおよびマルウェア攻撃のサイティング検索
メールまたは観測事象に対してサイティング検索を実行して、フィッシング攻撃や悪意のある IP や URL との通信などの特定のタイプの攻撃がネットワーク上でどの程度の頻度で発生しているのかを把握することができます。各発生は 1 回のサイティングと見なされます。観測事象のサイティング検索は、ログストアまたはセキュリティ情報およびイベント管理 (SIEM) に対して設定する必要があります。
サイティング検索機能を使用してフィッシングされたユーザーを特定し、ネットワーク上のログストア内でフィッシングとマルウェアの観測事象を追跡する方法については、この 3 分間のビデオをご覧ください。
- フィッシングされたユーザー：フィッシングメールを受信したユーザー。
- 被害者ユーザー：(一般的にはフィッシングメールのリンクをクリックすることにより) フィッシング URL とのインタラクションを持ったユーザー。このアクションにより、認証情報が攻撃者に公開される可能性があります。
- 移動先 をクリックし、セキュリティインシデントをクリックします。
- [関連リンク] で [IoC を表示] をクリックします。観測事象のリストが表示されます。
- リストから観測事象を選択し、[アクション] リストから次のオプションのいずれかを選択します。
- Web トラフィックのサイティング検索を実行する
- メールトラフィックサイティング検索の実行
- 期間を指定し、[検索] をクリックしてサイティング検索を実行します。
保存済みのサイティング検索構成
ユーザーから報告されたフィッシング攻撃のメールサイティング検索の実行
フィッシングメールを受信したユーザーを、メールの件名、送信者名、メッセージ ID などの観測事象に基づいて検索します。その後、これらのフィッシングメールを封じ込めて組織から根絶することができます。
始める前に
必要なロール：sn_si.analyst
このタスクについて
- メールベースの観測事象のサイティング検索の実装は、Splunk Enterprise ログストアでのみテストされています。
- サイティング検索クエリで正確な結果を返すには、Splunk ログイベントが共通情報モデル (CIM) に準拠している必要があります。
手順
-
[セキュリティインシデント] リストから、いずれかのフィルター ([オープン中のインシデント]、[自分にアサインされているすべてのインシデント (all incidents assigned to you)]、[すべてのインシデント] など) を選択します。
重大なインシデントやフィッシングメールなど、特定のタイプのセキュリティインシデントを表示するには、いずれかの [クイックフィルター] をクリックします。
-
分析するセキュリティインシデントをクリックします。
[概要] タブで、観測事象のリスト、影響を受けるユーザー、および類似のセキュリティインシデントを含む、セキュリティインシデントの概要を確認できます。
-
[ インシデントデータ] で、 .
-
フィッシングメールを受信したユーザーのリストを表示するには、[検索日] 列で [>] 記号をクリックします。
タスクの結果
ユーザーから報告されたフィッシングおよびマルウェア攻撃の観測事象サイティング検索の実行
観測事象のサイティング検索を実行して、特定の期間内に特定の悪意のある/不審な Web サイトを訪問したユーザーの数を確認します。
始める前に
必要なロール：sn_si.analyst
このタスクについて
- 観測事象のサイティング検索の実装は、Splunk Enterprise ログストアでのみテストされています。
- サイティング検索クエリで正確な結果を返すには、Splunk ログイベントが共通情報モデル (CIM) に準拠している必要があります。
手順
-
[セキュリティインシデント] リストから、すべての [自分に割り当てられたインシデント]、[すべてのオープンインシデント]、[すべてのインシデント] など、別のフィルターを選択します。
重大なインシデントやフィッシングメールなど、特定のタイプのセキュリティインシデントを表示するには、いずれかの [クイックフィルター] をクリックします。
-
分析するセキュリティインシデントをクリックします。
観測事象のリスト、影響を受けるユーザー、および類似のセキュリティインシデントを含む、セキュリティインシデントの概要を確認できます。
[観測事象 (Observables)] セクションで、[観測事象 (Observable)] 列にメールアドレス、件名、および URL が表示されていることを確認します。また、[結果] 列には、フィッシングメールが送信されたときにその URL が自動的にスキャンされ、既知の悪意のある URL であると判断されたことが表示されます。[インシデント数] 列には、同じ観測事象を共有する他のインシデントが表示されます。これらのアーティファクトは、組織内の何人のユーザーが影響を受けたかを判断するなど、このフィッシング攻撃の封じ込め手順に進む準備ができていることを示しています。
-
[検索条件] セクションを展開し、[観測事象の検索] をクリックします。
-
[アクションを選択] リストから [検索] を選択します。
入力した条件を使用して Splunk ログストアが検索され、悪意のある攻撃のターゲットにされた主なユーザーが [観測事象の検索結果] タブに表示されます。
タスクの結果
サイティング検索設定レコードの作成
複数のサイティング検索設定レコードを作成し、複数のログストアを照会したり、検索パラメーターを変更したりするときに使用します。
始める前に
必要なロール：sn_si.admin
- CIM アドオンが Splunk インスタンスにインストールされている必要があります。
- 保存された検索とインプレースクエリは、Splunk Integration でのみサポートされています。
このタスクについて
- 複数のイベントレコードを組み合わせたカスタム検索の作成
- 設計効率に優れ、効果的な検索
- Splunk の保存済みの検索でパラメーター化された入力を使用
ベースシステムには、サンプル構成が含まれています。
保存済みの検索構成が Splunk インスタンスで定義した構成と一致するかどうかを確認するには、次の手順を実行します。
- 移動先 .
- [アプリコンテキスト] を [すべて] に変更します。
検索レポートのリストが表示されます。
- 保存済みの検索クエリがリストに存在することを確認します。
Splunk インスタンスで、同じ「Default Saved Search - Emails (デフォルトの保存済みの検索 - メール)」という名前で、同じ検索パラメーター (メールアドレスとメールの件名) の保存済みの検索を定義します。名前と検索パラメーターが同じでない場合、サイティング検索で正確な結果が生成されない可能性があります。
手順
タスクの結果
次のタスク
検索クエリを定義したら、[ サイティング検索テストクエリを生成] を選択し、この保存された検索構成に基づいてテストクエリを生成する観測事象値のリストを指定します。