プレイブックによるセキュリティの脅威の解決
特定のタイプのセキュリティ脅威を段階的な方法で解決するためのプレイブックを使用します。たとえば、プレイブックを使用して、悪意のあるコードアクティビティによって発生するフィッシング攻撃および脅威を解決できます。
始める前に
必要なロール：sn_si.admin または admin
このタスクについて
各タスクを進めるときに作業メモを入力しておくと、今後類似した攻撃を分析するのに役立ちます。脅威の特定後、プレイブックの情報を使用して脅威を隔離し、同様に影響を受ける資産を分離し、マルウェアを削除することもできます。
ベースシステムには、各プレイブックタスクのナレッジ記事が含まれています。ただし、独自のナレッジ記事を作成してプレイブックタスクに関連付けることができます。
手順
-
移動先 .
[セキュリティインシデント] 画面には、自分にアサインされているセキュリティインシデントが表示されます。
-
画面の右端にあるプレイブックペインが閉じている場合は、プレイブックアイコン (
) をクリックして開きます。
セキュリティインシデントにプレイブックが割り当てられていない場合は、次に示すように、[選択されたプレイブック] 選択リストからプレイブックを選択できます。セキュリティインシデントに別のプレイブックを割り当てることもできます。[選択されたプレイブック] 選択リストにプレイブックを追加したり、セキュリティインシデントのプレイブックを変更したりする方法については、「アナリスト向け Playbook の有効化」を参照してください。セキュリティの脅威のタイプに固有のプレイブックが開きます。類似するタスクのカテゴリに分割されています。たとえば、[分析] グループのタスクを使用して、脅威の有効性と範囲を判断します。[封じ込め] グループには、脅威を特定のユーザーまたは資産に隔離するためのタスクが含まれています。[除去] グループのタスクは、マルウェアの削除またはホストの再イメージ化の手順を示します。
プレイブックを使用したユーザーから報告されたフィッシング攻撃の解決
フィッシングプレイブックは、会社の従業員の 1 人によって報告されたフィッシング攻撃を分析および解決するために必要なタスクをガイドします。
ユーザーから報告されたフィッシング攻撃からセキュリティインシデントを作成する方法
セキュリティインシデントレスポンスのセットアップ中、システムアドミニストレーターは、フィッシング攻撃の兆候を含むメールを特定できる一連のメール一致ルールを作成します。(セキュリティポリシーで定義されている) フィッシング攻撃の一般的な兆候を含む不審なメールを受信した場合、従業員は、それを組織で定義されたフィッシングメールアドレスに .EML 添付ファイルとして送信できます。
- 簡単な説明には、「ユーザーから報告されたフィッシング (User Reported Phishing)」が含まれ、その後に送信元メールの実際の件名が続きます。
- .EML ファイルがセキュリティインシデントに添付されます。
- .EML に観測事象が含まれている場合は解析され、拡張と脅威のルックアップが自動的に実行されます。
) をクリックするだけでプレイブックが開きます。フィッシングプレイブックには、フィッシングの脅威を分析、封じ込め、根絶するのに役立つタスクが含まれています。タスクは状況に整理されます (たとえば、[分析]、[封じ込め])。あるステータスのすべてのタスクが完了すると、プレイブックによって次のステータスにガイドされます。
セキュリティインシデントの詳細の分析
- インシデントの有効性を判断する。
- 潜在的な脅威の影響度を調査する。
- インシデントへの効果的な応答を調整する。
- ナレッジ記事をよく理解する。
- メールの添付ファイルを開き、一般的なフィッシング要素の兆候を調べる。
- 脅威のルックアップの結果を確認する。
セキュリティインシデントの封じ込め
セキュリティインシデントのステータスが [封じ込め] の場合は、メールの詳細を確認するタスクが与えられます。脅威が組織に侵入できないようにするには、侵入防御システム (IDS) および侵入防止システム (IPS) の署名とルールの形でネットワーク防御を更新します。
- 影響を受けたデバイスを隔離するなど、脅威の影響を制限するアクションを実行する。
- メールに添付された観測事象を確認する。
- いずれかのメールコンテンツが次を含む既知の脅威に関連付けられているかどうかを確認する。
- URL
- メール送信者
- フィッシング URL
- 送信者の SMTP サーバーの IP アドレス
マルウェアの根絶
更新された署名とルールをウイルス対策ソリューションに展開したら、[根絶] ステータスのタスクを使用して、マルウェアが存在するかどうかを判断し、それに応じて処理します。
- 影響を受けるデバイスのエンドポイントをスキャンして、マルウェアの存在を確認する。
- 検出されたマルウェアを削除する。
- 最後の手段として、ホストデバイスをワイプして再イメージ化する。
セキュリティインシデントのレビュー
分析タスクの実行時にフィッシング攻撃が誤報であったと判断した場合、セキュリティインシデントは [レビュー] ステータスに移行します。この場合、メールの添付ファイルを開いても安全であることをユーザーに知らせる必要があります。
セキュリティインシデントのクローズ
プレイブックのすべてのタスクが完了すると、セキュリティインシデントは [クローズ] 状況に移行します。インシデントをクローズする前に、クローズコメントを入力する必要があります。
セキュリティインシデントのキャンセル
セキュリティインシデントのステータスが [レビュー] のときにメールが脅威ではないことをユーザーに正常に通知すると、[キャンセル] ステータスがアクティブになり、セキュリティインシデントをキャンセルできます。
ナレッジ記事とプレイブックタスクの関連付け
組織で各タスクのナレッジ記事が定義されている場合、セキュリティインシデントレスポンス プレイブックを使用してセキュリティ上の脅威を分析すると、それらの記事を表示できます。ナレッジ記事が存在しない場合は、作成してプレイブックタスクに関連付けることができます。
始める前に
必要なロール：sn_sir.knowledge_admin、および sn_si.admin または admin
手順
プレイブックへのカスタムタスクの追加
セキュリティアナリストワークスペースベースシステムには、各脅威カテゴリの一連のタスクが含まれています。システムまたは顧客の独自のニーズを満たすカスタムタスクを作成できます。
始める前に
必要なロール：sn_si.basic または security_admin