IBM Proventia Management User Guide for Security Analysts

Transcription

1 IBM Proventia Management SiteProtector System User Guide for Security Analysts Version 2.0, Service Pack 7.0 IBM Internet Security Systems

2 Copyright IBM Corporation 1994, IBM Global Services Route 100 Somers, NY U.S.A. Produced in the United States of America. All Rights Reserved. IBM and the IBM logo are trademarks or registered trademarks of International Business Machines Corporation in the United States, other countries, or both. ADDME, Ahead of the threat, BlackICE, Internet Scanner, Proventia, RealSecure, SecurePartner, SecurityFusion, SiteProtector, System Scanner, Virtual Patch, X-Force and X-Press Update are trademarks or registered trademarks of Internet Security Systems, Inc. in the United States, other countries, or both. Internet Security Systems, Inc. is a wholly-owned subsidiary of International Business Machines Corporation. Microsoft, Windows, and Windows NT are trademarks of Microsoft Corporation in the United States, other countries, or both. Other company, product and service names may be trademarks or service marks of others. References in this publication to IBM products or services do not imply that IBM intends to make them available in all countries in which IBM operates. Disclaimer: The information contained in this document may change without notice, and may have been altered or changed if you have received it from a source other than IBM Internet Security Systems (IBM ISS). Use of this information constitutes acceptance for use in an AS IS condition, without warranties of any kind, and any use of this information is at the user s own risk. IBM Internet Security Systems disclaims all warranties, either expressed or implied, including the warranties of merchantability and fitness for a particular purpose. In no event shall IBM ISS be liable for any damages whatsoever, including direct, indirect, incidental, consequential or special damages, arising from the use or dissemination hereof, even if IBM Internet Security Systems has been advised of the possibility of such damages. Some states do not allow the exclusion or limitation of liability for consequential or incidental damages, so the foregoing limitation may not apply. Reference herein to any specific commercial products, process, or service by trade name, trademark, manufacturer, or otherwise, does not necessarily constitute or imply its endorsement, recommendation, or favoring by IBM Internet Security Systems. The views and opinions of authors expressed herein do not necessarily state or reflect those of IBM Internet Security Systems, and shall not be used for advertising or product endorsement purposes. Links and addresses to Internet resources are inspected thoroughly prior to release, but the ever-changing nature of the Internet prevents IBM Internet Security Systems, Inc. from guaranteeing the content or existence of the resource. When possible, the reference contains alternate sites or keywords that could be used to acquire the information by other methods. If you find a broken or inappropriate link, please send an with the topic name, link, and its behavior to support@iss.net 年 9 月 18 日

3 目次 前書き 概要 SiteProtector システムマニュアルの使用方法 テクニカルサポートについて 第 1 章 : SiteProtector システムの概要 概要 SiteProtector システムとは SiteProtector システムアーキテクチャー SiteProtector システムコンポーネントとその機能 SiteProtector System Web Console アドオンコンポーネント 第 2 章 : 始める前に 概要 SiteProtector システムの設定要件と推奨事項 脅威の分析と脆弱性評価の計画 脆弱性の評価と対処法のチェックリスト 脅威の調査と分析のチェックリスト パート I: 監視とレポートのタスク 第 3 章 : ネットワークの監視 概要 セクション A: SiteProtector システム分析コンポーネント 概要 セクション B: アナリシスビューとモード 概要 デフォルトアナリシスビューの選択 アナリシスビューのカスタマイズ 分析のパースペクティブの選択 ガイド付き質問の選択 セクション C: イベントデータの更新とクリア 概要 コンソールの更新 イベントのクリアおよびアンクリア セクション D: 異常検出コンテンツの表示 概要 ADS コンテンツへのアクセス ADS エンティティー情報の表示 セクション E: SecurityFusion Module での影響の分析 概要 SiteProtector System User Guide for Security Analysts Version 2.0, SP 7.0 3

4 Contents SecurityFusion Module の攻撃パターン セクション F: アセットおよびエージェントの検索 概要 選択したエージェントまたはアセットを含むグループの検索 グループに含まれるアセットまたはエージェントの検索 第 4 章 : レポートの実行 概要 セクション A: 始める前に 概要 レポートの実行に関するガイドライン セクション B: 一般的なレポートのタスク 概要 レポートの表示と保存 レポート名とレポート形式の設定 レポート頻度の指定 レポートの日付別フィルタリング レポート結果のメール配信 SiteProtector System Users List でのメールアドレスの作業 セクション C: 特定レポートのオプション 概要 Assessment レポート Asset レポート : イベントの詳細と概要 Asset レポート : プロテクション Asset レポート :Asset Risk レポート Attack Activity レポート Audit レポート : Audit Detail レポート Audit レポート : Audit User to Group Report Content Filtering レポート Mail Filtering レポート Management レポート Permission レポート Ticket レポート Virus Activity レポート パート II: 脆弱性の評価と対処法 第 5 章 : ネットワークの脆弱性の特定と解決 概要 脆弱性評価プランの作成 SiteProtector システムによって生成された脆弱性データ 脆弱性イベントに関する情報の収集 脆弱性を解決するかどうかの決定 脆弱性の修正と軽減 アクションプランの作成 アップグレードとパッチの実施 第 6 章 : スキャンの管理 概要 ネットワーク上のホストの特定 脆弱性データが完全および正確であることの確認 脆弱性スキャンのスケジューリング IBM Internet Security Systems

5 Contents バックグラウンドスキャンの実行 スキャンの実行に必要な時間の短縮 パート III: 脅威の調査と分析 第 7 章 : 疑わしいアクティビティーの検出 概要 セクション A: 疑わしいアクティビティー 概要 セクション B: Event Analysis ビューの監視 概要 監視および関連付けるトラフィックの選択 Summary ビュー Event Name ビュー Target ビュー Attacker ビュー ガイド付き質問および Event Analysis ビューの使用に関するシナリオ セクション C: Analysis ビューからのアクティビティーのフィルタリング 概要 ベースラインの作成 インシデントおよび例外の作成 第 8 章 : 疑わしいアクティビティーは深刻ですか? 概要 攻撃位置の特定 脆弱性スキャンによって発生したアクティビティーの特定 攻撃パターンを使用した許可されたスキャンのフィルタリング スキャンアクティビティーをフィルタリングするための例外の作成 間違って構成されたシステムによって発生したアクティビティーの特定 疑わしいと一般に特定される通常アクティビティーの特定 第 9 章 : 攻撃は脅威ですか? 概要 セクション A: SecurityFusion Module を使用した攻撃の評価 概要 攻撃ステータスの表示 セクション B: 手動による攻撃の評価 概要 攻撃の X-Force 危険度の決定 攻撃対象は脆弱でしたか? ターゲットサービスまたはオペレーティングシステムが影響を受けやすいですか? 第 10 章 : 確認された攻撃の追跡と優先順位付け 概要 チケット優先度の決定についてのガイドライン チケットの作成 チケットの表示 第 11 章 : 攻撃範囲の測定 概要 攻撃範囲 典型的な攻撃目標 SiteProtector System User Guide for Security Analysts Version 2.0, SP 7.0 5

6 Contents 攻撃の対象であるアセット数の表示 攻撃の対象であるプラットフォーム数の表示 第 12 章 : セキュリティー侵害されたシステムの特定 概要 セクション A: SecurityFusion Module の攻撃パターン 概要 攻撃パターンの機能 ホストパターン 攻撃パターンの表示 インシデント 例外 および攻撃パターン セクション B: 情報収集アクティビティーの特定 概要 情報収集の攻撃パターン セクション C: ログオンアクティビティーの特定 概要 セキュリティー侵害されたホスト間のログオンアクティビティー ログオンの失敗 スプーフィングされたソースからのログオンアクティビティー セクション D: 侵入アクティビティーの特定 概要 ネットワーク侵入試行 対象となる侵入試行 プログラムの開始 プログラムのシャットダウン セクション E: 回避アクティビティーの特定 概要 対象となる調査および回避 対象となる侵入試行および回避 セクション F: サービス不能攻撃の特定 概要 対象となる DoS 攻撃 対象となる DoS の成功 DDoS エージェントの攻撃 索引 索引 IBM Internet Security Systems

7 前書き 概要 SiteProtector System User Guide for Security Analysts では SiteProtector システムを使用して 脆弱性を評価し ネットワーク上の疑わしいアクティビティーを監視および分析するための背景情報 手順 推奨事項を説明します 取り扱い範囲 本書では Network Intrusion Prevention System (IPS) アプライアンス Network Multi-Function Security アプライアンス Server Sensor Network Internet Scanner などのさまざまな IBM ISS エージェントからのイベントデータの分析についてのガイドラインを説明します 本書では Network Enterprise Scanner またはサードパーティー製品からのデータの分析についてのガイドラインは説明しません 対象読者 SiteProtector System User Guide for Security Analysts は 企業環境での脅威や脆弱性の監視および評価を担当するセキュリティーアナリスト ネットワーク管理者 リスク評価アナリストを対象としています ネットワークセキュリティーおよびネットワーキング技術の中級レベルの知識 SiteProtector システム操作の初級レベルの知識が必要となります SiteProtector System User Guide for Security Analysts Version 2.0, SP 7.0 7

8 前書き SiteProtector システムマニュアルの使用方法 本書の使用方法 このトピックでは SiteProtector System User Guide for Security Analysts で情報がどのように構成されているかを説明し その他 SiteProtector システムマニュアルをリストアップします マニュアルの構成 本書は 表 1 に示す論理ユニットで構成されています パート説明 I II III 監視とレポートのタスクパート I では SiteProtector システムでの基本的な監視とレポートのタスクの実行に関する背景情報および手順を説明します まだ把握していない場合は この情報を使用して これらのタスクを把握します 脆弱性の評価と対処法パート Ⅱ では Network Internet Scanner を使用しての脆弱性の特定および解決 スキャン管理についてのガイドラインを説明します SiteProtector システムでの脆弱性の評価および対処法のベストプラクティスの実施に役立つように この情報を使用します 脅威の調査と分析パート Ⅲ では SiteProtector システムを使用しての疑わしいアクティビティーおよび確認された攻撃の監視 調査 分析についての背景情報 手順 ガイドラインを説明します SiteProtector システムでの脅威の調査および分析のベストプラクティスの実施に役立つように この情報を使用します 表 1: User Guide for Security Analysts のパート SiteProtector システムマニュアルの入手場所 SiteProtector システムのガイドは 次の場所から PDF ファイル形式で入手可能です IBM ISS の Web サイト ( または Deployment Manager \Docs folder の IBM ISS プロダクト CD ( 英語版 ) 関連製品のインストールガイドおよびユーザーガイドは 次の場所で入手可能です SiteProtector システムボックス IBM ISS プロダクト CD ( 英語版 ) IBM ISS の Web サイト ( または 関連資料 次の表では SiteProtector システムのその他マニュアルについて説明します マニュアル SiteProtector System Installation Guide SiteProtector System Configuration Guide 内容 コンポーネント間の通信の保護についての手順などの SiteProtector システムのインストールに必要な情報が含まれています SiteProtector システムの設定 アップデート 保守に必要な情報が含まれています 表 2: SiteProtector システムユーザーマニュアルの説明 8 IBM Internet Security Systems

9 SiteProtector システムマニュアルの使用方法ュ マニュアル SiteProtector System Help 内容 SiteProtector システムの使用に必要な多くの手順が含まれています 表 2: SiteProtector システムユーザーマニュアルの説明 ( 続き ) ライセンス契約 IBM Internet Security System 製品のライセンス情報については 次の URL から IBM ライセンス契約をダウンロードしてください contracts_landing.html SiteProtector System User Guide for Security Analysts Version 2.0, SP 7.0 9

10 前書き テクニカルサポートについて IBM Internet Security Systems では Web サイトおよび電子メールまたは電話によるテクニカルサポートを提供しています IBM ISS の Web サイト カスタマーサポートの Web ページ ( または では オンラインマニュアル 最新バージョン一覧 詳細な製品資料 ホワイトペーパー テクニカルサポートナレッジベースなど 役立つ豊富な情報を直接入手することができます 営業時間 北南米およびその他の地域におけるテクニカルサポートの営業時間は次のとおりです 地域北南米日本国内 営業時間 24 時間体制 月曜から金曜までの午前 10 時から午後 5 時までです ただし IBM ISS の休業日は除きます 注記 : 最寄りのサポートオフィスが南北アメリカ以外にある場合は その営業時間外におけるご質問 ご相談は 北南米オフィスに電話または電子メールでお問い合わせいただくことができます 日本国内における IBM ISS 製品に関する技術的なお問い合わせは 本製品の保守契約を締結されている販売代理店までご連絡ください 表 3: テクニカルサポート営業時間 問い合わせ窓口問い合わせ窓口については 本製品の保守契約を締結されている代理店までご連絡ください 10 IBM Internet Security Systems

11 第 1 章 SiteProtector システムの概要 概要 この章では SiteProtector システムと連携する SiteProtector システムコンポーネントおよびエージェントについて説明します 知っておくべき用語 表 4 では セキュリティー製品に関して本書で使用する用語について説明します 用語 エージェント アプライアンス スキャナー センサー 説明 センサー スキャナー Desktop エージェントの一般的な呼称 ネットワークまたはゲートウェイ上の インライン型セキュリティーデバイス アプライアンスのタイプによって 不正侵入の検出と防御 アンチウィルス アンチスパム Virtual Private Network (VPN) Web フィルタリング ファイアウォールの各機能がさまざまな組み合わせで提供されます 脆弱性やその他セキュリティーリスクについてアセットをスキャンするエージェント ネットワークおよびサーバー上のネットワークトラフィックを監視し 攻撃を特定 ( 場合によっては阻止 ) するエージェント 表 4: セキュリティー製品用語 この章の内容 この章では 次のトピックについて説明します トピック ページ SiteProtector システムとは 12 SiteProtector システムアーキテクチャー 13 SiteProtector システムコンポーネントとその機能 14 SiteProtector System Web Console 16 アドオンコンポーネント 17 SiteProtector System User Guide for Security Analysts Version 2.0, SP

12 第 1 章 : SiteProtector システムの概要 SiteProtector システムとは SiteProtector システムは ネットワークやサーバー デスクトップを防御するエージェントおよびアプライアンスの管理と分析を一本化して行う中央管理システムです SiteProtector システムを容易に拡大して 大規模な企業全体にわたる展開に対してセキュリティーを提供することができます 参照 : SiteProtector システムとの通信の設定および SiteProtector システムによる管理が可能なエージェントやアプライアンスに関する情報については document/manuals.html または から SiteProtector - Supported Agents and Appliances マニュアルを参照してください コンポーネントとエージェント SiteProtector システム内のコンポーネントとエージェントは 次のカテゴリーに分類されます SiteProtector システムは ネットワークイベントの受け入れ 監視 分析に必要な基本的機能を提供する 必須コンポーネントとオプションコンポーネントで構成されています サイトの要件によっては コンポーネントを 2 つ以上インストールする必要があります 追加セキュリティーと管理機能を提供する SiteProtector システムのアドオンコンポーネントを購入することができます 脆弱性スキャナー 不正侵入検知および防御のアプライアンスとセンサー 統合型セキュリティーアプライアンスなどのセキュリティーシステムを完成させるエージェントを購入することができます SiteProtector システムコンポーネント ( タイプ別 ) 表 5 は 必須およびオプションの SiteProtector システムコンポーネント アドオンコンポーネント および SiteProtector が管理するエージェントを一覧にしたものです SiteProtector システムコンポーネント Agent Manager コンソール Site Database System Scanner Databridge Deployment Manager Event Archiver Event Collector Event Viewer SP Core (Application Server Sensor Controller など ) X-Press Update Server Web Console アドオンコンポーネント SiteProtector システム Reporting Module SiteProtector システム SecurityFusion Module SiteProtector システム Third Party Module SiteProtector システム SecureSync Integrated Failover System SiteProtector システムが管理するエージェント センサースキャナーアプライアンス Desktop エージェント 表 5: SiteProtector システムコンポーネントとエージェント 12 IBM Internet Security Systems

13 SiteProtector システムアーキテクチャー SiteProtector システムアーキテクチャー SiteProtector システムは 製品のインストール時に設定される通信チャネルを確立しています サイトの要件によっては コンポーネントを 2 つ以上インストールする必要があります 最も標準的な SiteProtector システムのインストールには 1 ~ 3 台のコンピューターを使用します 1 台以上のコンピューターを使用する場合 Recommended オプション (Deployment Manager から ) によって 正しいコンピューター上のコンポーネントを自動インストールします コンポーネントの図 図 1 は 3 台のコンピューターを使用する SiteProtector の標準的なインスタンスでのコンポーネントを示しています 図 1: 標準サイトのコンポーネント SiteProtector System User Guide for Security Analysts Version 2.0, SP

14 第 1 章 : SiteProtector システムの概要 SiteProtector システムコンポーネントとその機能 SiteProtector システムは ネットワークイベントの受け入れ 監視 分析に必要な基本的機能を提供する 必須コンポーネントとオプションコンポーネントで構成されています コンポーネントの説明 表 6 では SiteProtector システム Core コンポーネントの目的について説明します SiteProtector システムコンポーネント Agent Manager コンソール System Scanner Databridge Deployment Manager Event Archiver Event Collector Event Viewer Site Database SP Core 説明 Agent Manager は Desktop Protection エージェント Proventia G および M アプライアンス Event Archiver X-Press Update Server のコマンドアンドコントロールアクティビティーを管理し エージェントから Event Collector へのデータ転送を容易にします SiteProtector システムの Console は SiteProtector のメインインターフェースです イベントの監視 スキャンのスケジューリング レポートの生成 エージェントの設定など ほとんどの SiteProtector システム機能をここで行うことができます System Scanner Databridge は 旧バージョンのエージェントからのデータを受け入れ これらのデータを適切な形式で Event Collector へ送信します Deployment Manager は ネットワーク上のコンピューターにある任意の SiteProtector システムコンポーネントおよびエージェントのインストールを可能にする Web サーバーです Event Archiver は セキュリティーイベントをリモートの場所にアーカイブする機能を備えています Event Collector は センサーのリアルタイムイベントおよびスキャナーの脆弱性データを管理します SiteProtector システムの Event Viewer は 未処理のイベントを Event Collector から受け取り トラブルシューティングのためにセキュリティーデータへほぼリアルタイムにアクセスできるようにします SiteProtector システムデータベースには エージェントの未加工データ 発生のメトリック ( エージェントによってトリガーされたセキュリティーイベントの統計値 ) グループ情報 コマンドアンドコントロールデータ X-Press Update (XPU) のステータスが格納されます SP Core には 次のコンポーネントが含まれます Application Server は SiteProtector システムの Console と SiteProtector のシステムデータベース間の通信を可能にします Sensor Controller は イベント収集の開始または停止のコマンドなど エージェントのコマンドアンドコントロールアクティビティーを管理します 表 6: SiteProtector システム Core コンポーネントの説明 14 IBM Internet Security Systems

15 SiteProtector システムコンポーネントとその機能 SiteProtector システムコンポーネント X-Press Update Server Web Console 説明 X-Press Update Server は IBM ISS のダウンロードセンターから要求された X-Press Update (XPU) をダウンロードし ネットワーク上のエージェントやコンポーネントが利用できるようにする Web サーバーです Update Server によって 同様の製品のアップデートを何度もダウンロードする必要がなくなり ユーザーはアップデートプロセスをより効率的に管理することができます SiteProtector システムの Web Console は SiteProtector システムアセットやセキュリティ - イベントを監視する場合に SiteProtector システムの一部の機能に簡単にアクセスすることができるインターフェースです 表 6: SiteProtector システム Core コンポーネントの説明 ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

16 第 1 章 : SiteProtector システムの概要 SiteProtector System Web Console SiteProtector システムの Web Console は Console の Web ベースバージョンです Web Console を介して 次のタスクを実行することができます イベントデータを分析する イベントデータにフィルターを適用する スプレッドシートなどの他のアプリケーションにデータをコピーする リポートを作成する Console と同じアカウント情報を使用して SiteProtector システムの Web Console にログオンします ログオンすると ブラウザの左ウィンドウ枠にサイトが表示され 右ウィンドウにはサイトの概要ページが表示されます Web Console の要件 Sun Java Runtime Environment (JRE) がインストールされているコンピューターで Web Console を開く必要があります JRE がインストールされていないコンピューターで Web Console を開くと ブラウザは JRE をインストールするように指示を受けます インストールを正常に完了するために Web Console を閉じる必要はありません 参照 : Web Console 要件の具体的情報については manuals.html または から SiteProtector - System Requirements を参照してください Web Console へのログオン Web Console にログオンするには : 1. Web ブラウザの [Address] ボックスに 次のフォーマットを使用して SiteProtector システムの Application Server のアドレスを入力します コンピューター名 または IP アドレス : 3994/siteprotector/ [Login] ウィンドウが表示されます 2. アクセスするサイトの SiteProtector システムユーザー名パスワードドを入力します 3. ユーザー名やパスワードを再入力する必要がある場合は [Reset] をクリックして やり直します 4. [Submit] をクリックします 注記 : SiteProtector システムの Web Console の一部の機能は Internet Explorer の 信頼済みサイト を使用する前に サイトサーバーにそれらを追加するように要求する場合があります Java Runtime Environment (JRE) のダウンロード JRE をダウンロードするには : 1. 次の Web サイトにアクセスします 2. [Core Java] を選択します 3. J2SE のインストールパッケージを選択します 4. J2SE JRE をダウンロードします 5. 使用許諾契約に同意します 6. [Windows Platform] 下の [Windows Offline Installation, Multi-language] を選択します 注意 : [Windows Installation, Multi-language] を選択した場合 インストールは失敗します 16 IBM Internet Security Systems

17 アドオンコンポーネント アドオンコンポーネント SiteProtector システムのアドオンコンポーネントは SiteProtector システムの基本防御を超えるさらなる防御と機能を提供します SecurityFusion Module SiteProtector システムの SecurityFusion Module は サイトの重大な脅威を迅速に特定して対応する能力を大いに高めます このモジュールは 攻撃の可能性がある 影響力の高いイベントとイベントパターンを高度な相関分析手法を使って特定します 影響の分析 - このモジュールは 不正侵入検知イベントを脆弱性評価とオペレーティングシステムデータに関連付け 迅速にイベントの影響を評価します 攻撃パターンの認識 - モジュールは 特定の種類の攻撃を示す可能性のあるイベントパターン ( 不正スキャン 侵入試行 セキュリティー侵害されたホストからのアクティビティーなど ) を認識します SecureSync Module Secure Sync Module は プライマリーサイトとバックアップサイト間でサイトデータを転送し 1 つのサイトから別のサイトへエージェント管理を移管できるフェイルオーバーシステムを提供します Third Party Module SiteProtector システムの Third Party Module は サードパーティ製ファイアウォールからデータを取り出し ファイアウォールアクティビティーを表示したり 特定のファイアウォールにセキュリティーイベントを関連付けることができます Reporting Module セキュリティー状態を評価するために管理者が必要とする情報が グラフィカルなサマリーレポートやコンプライアンスレポートによって提供されます レポートでは 脆弱性評価 攻撃アクティビティー 監査 コンテンツフィルタリング Desktop SecurityFusion ウィルスアクティビティーが網羅されています SiteProtector System User Guide for Security Analysts Version 2.0, SP

18 第 1 章 : SiteProtector システムの概要 18 IBM Internet Security Systems

19 第 2 章 始める前に 概要 この章では 本書でのプラクティスを実施する前に確認すべき要件や検討事項 本書でのタスクを実行するのに役立つチェックリストについて説明します この章の内容 この章では 次のトピックについて説明します トピック ページ SiteProtector システムの設定要件と推奨事項 20 脅威の分析と脆弱性評価の計画 21 脆弱性の評価と対処法のチェックリスト 22 SiteProtector System User Guide for Security Analysts Version 2.0, SP

20 第 2 章 : 始める前に SiteProtector システムの設定要件と推奨事項 このトピックでは 本書で扱うガイドラインと手順に適用される前提条件および推奨事項について説明します 前提条件のチェックリスト 表 7 は 本書の情報を使用する前に 満たす必要のある前提条件のチェックリストです 前提条件のタスク 1. SiteProtector システムのインストール 2. SiteProtector システムの設定 参照先 SiteProtector System Installation Guide ( または documentation/) SiteProtector System Configuration Guide ( または documentation/) 表 7: SiteProtector システムインストールの前提条件 SecurityFusion Module 本書では SecurityFusion Module イベントの分析についての手順とガイドラインを説明します 必要に応じて 本書では SecurityFusion Module を使用した 疑わしいアクティビティーの特定についてのガイドラインも説明します インシデント 例外 チケット 本書では インシデント 例外 およびチケットの作成についての手順とガイドラインを説明します インシデントや例外により 重要なイベントを追跡して優先させることができます チケットは イベントを追跡して優先させ 責任を適切なパーティに割り当てることができるより強力な追跡システムです Reporting Module 本書では SiteProtector システムの Reporting Module を購入して設定していることを前提としています Reporting Module では アクティビティーの管理 分析 監査などの広範囲のアクティビティーを対象としたレポートについて説明します エージェントポリシーの設定 本書では ネットワークの監視または評価 および脅威への対応のために エージェントを効果的に調整していることを前提としています 20 IBM Internet Security Systems

21 脅威の分析と脆弱性評価の計画と 脅威の分析と脆弱性評価の計画 リスクを評価し 脅威から企業を保護するために 効果的に計画することは大変重要です 本書では 組織内でセキュリティー計画を実施する方法について想定しています アセット評価とリスク 本書では 組織がアセットの価値を決定し そのアセットに関連するリスクを分析していることを前提としています 本書では アセットまたはリスクの評価についてのガイドラインは説明しません インシデント対応計画 本書では 組織が詳細なインシデント対応計画を作成し実施していることを前提としています 脆弱性評価と対処法の計画 本書では 組織が脆弱性評価と対処法の計画を作成し実施していることを前提としています SiteProtector System User Guide for Security Analysts Version 2.0, SP

22 第 2 章 : 始める前に 脆弱性の評価と対処法のチェックリスト このトピックでは SiteProtector システムを使用した脆弱性の評価および対処法についてのチェックリストを説明します これらのタスクについては パート Ⅱ : 脆弱性の評価と対処法 に記載されています チェックリスト 表 8 では 脆弱性の評価と対処法を実行するときに完了する必要のあるタスクのチェックリストを紹介します タスクスク 脅威評価のチェックリスト 1 脆弱性イベントについての情報を収集する 脆弱性イベントに関する情報の収集 (110 ページ ) を参照してください 2 脆弱性を解決するかどうかを判断する 脆弱性を解決するかどうかの決定 (111 ページ ) を参照してください 3 脆弱性を解決する 脆弱性の修正と軽減 (112 ページ ) を参照してください 4 アクションプランを作成し 脆弱性を解決する アクションプランの作成 (114 ページ ) を参照してください 5 修正を行う アップグレードとパッチの実施 (115 ページ ) を参照してください 表 8: 脅威評価タスクのチェックリスト 22 IBM Internet Security Systems

23 脅威の調査と分析のチェックリスト 脅威の調査と分析のチェックリスト このトピックでは 脅威の調査と分析のチェックリストを紹介します これらのタスクについては パート Ⅲ : 脅威の調査と分析 に記載されています チェックリスト 表 9 では 脆弱性の評価と対処法を実行するときに完了する必要のあるタスクのチェックリストを紹介します タスクスク 脅威評価のチェックリスト 1 疑いのあるアクティビティーを監視して検出する 第 7 章 疑わしいアクティビティーの検出 (125 ページ ) を参照してください 2 疑いのあるアクティビティーが深刻かどうか判断する 第 8 章 疑わしいアクティビティーは深刻ですか? (145 ページ ) を参照してください 3 攻撃が脅威かどうか判断する 第 9 章 攻撃は脅威ですか? (155 ページ ) を参照してください 4 確認された攻撃を追跡して優先させる 第 10 章 確認された攻撃の追跡と優先順位付け (173 ページ ) を参照してください 5 攻撃範囲を判断する 第 11 章 攻撃範囲の測定 (179 ページ ) を参照してください 表 9: 脅威の調査と分析タスクのチェックリスト SiteProtector System User Guide for Security Analysts Version 2.0, SP

24 第 2 章 : 始める前に 24 IBM Internet Security Systems

25 パート I 監視とレポートのタスク

26

27 第 3 章 ネットワークの監視 概要 SiteProtector システムでは イベントの検出および脅威の調査に役立つ さまざまな監視 相関 検索ツールを提供しています この章の情報を使用して 本書で頻繁に参照されるこれらのツールについてよく理解します この章の内容 この章には 次のセクションがあります セクション ページ セクション A: SiteProtector システム分析コンポーネント 29 セクション B: アナリシスビューとモード 38 セクション C: イベントデータの更新とクリア 41 セクション D: 異常検出コンテンツの表示 45 セクション E: SecurityFusion Module での影響の分析 49 セクション F: アセットおよびエージェントの検索 53 SiteProtector System User Guide for Security Analysts Version 2.0, SP

28 第 3 章 : ネットワークの監視 28 IBM Internet Security Systems

29 セクション A: SiteProtector システム分析コンポーネント 概要 SiteProtector システムでは イベントを監視するためのさまざまなコンポーネントを提供しています これらのコンポーネントによって イベントの検出や調査のすべてのステージにおいて データをフィルタリングしたりソートしたりすることができます SiteProtector システム分析コンポーネント 表 10 では SiteProtector システムイベント分析コンポーネントについて説明します これらのコンポーネントの一部については この章の後半で より詳細に説明します コンポーネント サマリービュー 分析のパースペクティブ アナリシスビュー ガイド付き質問 SiteProtector システムツールバー 分析フィルターパネル Filters ウィンドウ 説明 異なるタイプのサマリー情報をポータルのようなユーザーインターフェースに表示する 事前定義済みウィンドウ枠をいくつか提供します 各タイプの情報が [Summary] タブのネストされたウィンドウ枠として表示され どのタイプの情報を表示するのか選択することができます [Summary] タブに表示される情報は グループツリーで現在選択されているグループによって決まります 選択したアセットがアクティビティーの対象か発信元かどうかの変更など アナリシスビューに表示されるイベントの別のフォーカスを提供します 表形式でまとめられたイベント情報を提供します ガイド付き質問に対応する事前定義済みフィルターを提供します アナリシスビューから選択した 1 つ以上のイベントについての一連の質問をポップアップメニュー上に提供します 質問は イベントの調査に一般的に必要な情報に焦点を当てます 質問をクリックすると 表示するフィルターとアナリシスビューが自動的に変更されます イベントデータの更新 履歴からの後退や前進 [Filters] ウィンドウのオープンなど 分析ツールを用いて一般的なタスクを実行することができるオプションを提供します 容易にアクセスできるように 上記のアナリシスビューにフィルターを表示します 同じフィルターをフィルターエディターでも使用することができます Site Protector Console で使用可能なフィルターのリストを提供します フィルターを選択すると カスタマイズ可能な値を持つ一連の属性とフィルターの説明を表示することができます 表 10: SiteProtector システム分析コンポーネント SiteProtector System User Guide for Security Analysts Version 2.0, SP

30 第 3 章 : ネットワークの監視 30 IBM Internet Security Systems

31 アナリシスビューとモード セクション B: アナリシス 概要 このセクションでは アナリシスビュー アナリシスモード およびガイド付き質問の使用 特定タスクに対するこれらのツールのカスタマイズについての手順や背景情報を説明します このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ デフォルトアナリシスビューの選択 32 アナリシスビューのカスタマイズ 35 分析のパースペクティブの選択 38 ガイド付き質問の選択 39 SiteProtector System User Guide for Security Analysts Version 2.0, SP

32 第 3 章 : ネットワークの監視 デフォルトアナリシスビューの選択 デフォルトアナリシスビューは SiteProtector システムでのデータの監視に 最も一般的に使用されています イベント検出の開始点として カスタマイズされたレポートの作成にアナリシスビューを使用します アナリシスビューとは デフォルトアナリシスビューは [Analysis] タブの [Analysis View] リストに表示されます リストからビューを選択する場合 イベントデータがビューウィンドウ枠の表に表示されます イベントは そのビューに対して有効なデフォルトフィルターでフィルタリングされます アナリシスビューは 次のカテゴリーに分類されます イベント 脆弱性 アプリケーションの監視 (IBM Proventia Desktop Endpoint Security でのみ有効 ) 異常検出 (IBM Proventia Network Anomaly Detection System (ADS) でのみ有効 ) 注記 : アナリシスビューの名前は イベントデータの上に表示されます 名前の後には括弧で囲まれた Analysis Perspective が表示されます SiteProtector システムはアナリシスビューに基づいて分析のパースペクティブを選択するため 表示される分析のパースペクティブは異なる可能性があります 分析のパースペクティブの選択 (38 ページ ) を参照してください アナリシスビューで実行可能なタスク 標準的なイベント分析の一部として また 独自のビューをカスタマイズするための基準として これらのビューを使用することができます アナリシスビューによって 次のタスクを実行することができます イベントデータの更新 分析履歴からの後退または前進 [Filters] ウィンドウを開く 列のソート イベントアナリシスビュー イベントアナリシスビューを使用して 不正侵入検知イベントの分析と作成されたインシデントの追跡を行います 表 11 では SiteProtector システムに表示される各イベントアナリシスビューについて説明します アナリシスビュー Event Analysis - Agent Event Analysis - Attacker Event Analysis - Detail Time Event Analysis - Details Event Analysis - Event Name 説明 イベントを検出したセンサーについての情報を表示します アセットに対する攻撃の発信元である IP アドレスについての情報を表示します 使用するフィルターによっては 発信元が内部 外部 または両方である可能性があります イベントについてのタイムスタンプ情報が表示されますが [Event Analysis - Details] ビューで使用可能な MAC アドレスなどの関連したイベントの詳細は表示されません 攻撃の発信元および対象についての追加情報を表示します センサーによって検出されたイベントのタイプと数についての情報を表示します 表 11: イベントアナリシスビューの説明 32 IBM Internet Security Systems

33 デフォルトアナリシスビューの選択 アナリシスビュー Event Analysis - Incidents Event Analysis - OS Event Analysis - Target Object Event Analysis - Target 説明 重要で追跡する必要のある 基準と一致するイベントについての情報を表示します インシデントのみについての情報を表示するビューでは 基準イベントに焦点を合わせることができます 攻撃の対象であるホストのオペレーティングシステムについての情報を表示します 攻撃の対象である可能性のある IP アドレスについての情報を表示します 使用するフィルターによっては 発信元が内部 外部 または両方である可能性があります 攻撃の対象である可能性のある IP アドレスについての情報を表示します 使用するフィルターによっては 発信元が内部 外部 または両方である可能性があります 表 11: イベントアナリシスビューの説明 脆弱性アナリシスビュー 脆弱性アナリシスビューを使用して 脆弱性評価を実行し 脆弱性を監視しているホストと手動で関連付けます 表 12 は SiteProtector に表示される脆弱性アナリシスビューの説明を一覧にしたものです アナリシスビュー Vuln Analysis - Asset Vuln Analysis - Detail Vuln Analysis - Object Vuln Analysis - Target OS Vuln Analysis - Vuln Name 説明 次の項目を指定期間表示します 影響を受けるホストの IP アドレス 脆弱性の優先度 影響を受けるオブジェクト 最新のイベント重要 : このビューの期間を 最新スキャンの日時に設定してください 設定しない場合 ビューには以前に行ったスキャンの脆弱性イベントが表示されます Attacked Vuln (Fusion) - Overview ビューにさらに情報を追加します 脆弱性の発信元である ネットワークまたはデスクトップコンピューター上のオブジェクトを表示します 対象 OS に関連する情報に重点を置いてイベントを表示します ネットワークまたはデスクトップコンピューターに影響を与える脆弱性の名前を表示します 表 12: 脆弱性アナリシスビューの説明 SiteProtector System User Guide for Security Analysts Version 2.0, SP

34 第 3 章 : ネットワークの監視 アプリケーション監視ビュー アプリケーション監視ビューは Proventia Desktop 8.0 が SiteProtector システムへレポートするように設定された場合にのみ有効になります アプリケーション監視ビューを使用して Proventia Desktop のイベントを追跡し アプリケーションが実行可能かどうかを判断します アナリシスビュー Application Monitoring - Detail Application Monitoring - Summary Application Monitoring - Target Application Monitoring - User 説明 Desktop が監視しているアプリケーションについての詳細情報 ( ユーザー名 アプリケーションのディレクトリパス 発信元および宛先 IP アドレスなど ) を表示します ネットワーク上で 特定のアプリケーションを使用する方法における傾向を追跡することができます 監視されているアプリケーションが使用している IP アドレスについての情報を表示します 攻撃の発信元または対象である可能性のあるユーザーについての情報を表示します 表 13: アプライアンス監視ビューの説明 手順 デフォルトアナリシスビューを選択するには 次の手順に従います 1. 左ウィンドウ枠で イベントデータを調査するアセットまたはアセットのグループを選択します 2. [Go to] リストから [Analysis] を選択します [Analysis] タブに [Event-Analysis] ビューが表示されます 3. [Analysis View ] リストからビューを選択します 34 IBM Internet Security Systems

35 アナリシスビューのカスタマイズ アナリシスビューのカスタマイズ SiteProtector システムでは デフォルトアナリシスビューに適用される列とフィルターの設定を変更し その変更内容を別々のアナリシスファイルに保存することができます カスタマイズしたアナリシスビューを使用して 特定のニーズに合わせたビューとレポートを作成します 重要 : フィルターを定義 またはビューをカスタマイズし 新規のアナリシスファイルにその変更内容を保存しない場合 設定は Console を閉じたときに保存されません フィルターおよび列の設定を再使用する場合 クライアントのコンピューター (Site Database ではない ) に格納される アナリシスファイルを保存する必要があります Filters ウィンドウ [Filters] ウィンドウを使用して 適用するフィルターの値を指定し 追加 削除 または並べ替える列を選択します [Filters] ウィンドウは 次のセクションに分割されます セクション Filter list Parameters 説明 説明 使用可能なフィルターが 左ウィンドウ枠にリストアップされます フィルターを有効にすると フィルターの隣にチェックマークが表示されます 列をカスタマイズできる [Show Column] オプションも このリストに表示されます 右上のウィンドウ枠に パラメーターがリストアップされます パラメーターによって フィルターリストで選択したフィルターによって異なる値を指定することができます 右下のウィンドウ枠に フィルターの目的と 使用方法を説明する手順についての情報が表示されます 表 14: Filter ウィンドウのセクション 列 列を追加してより詳細な情報を表示したり 列を削除して高レベルの情報を表示することができます 次の 4 つのカテゴリーから選択することができます 総数の列 イベントの列 宛先と発信元の列 時間の列 フィルター デフォルトアナリシスビューのほとんどにフィルターがありますが イベントを分析するときに フィルターの設定を変更する必要があります たとえば 悪意のあるアクティビティーの発信元である 疑わしい 1 つの IP アドレスからのみのイベントを表示したいとします [Filters] ウィンドウにより 多くの異なるフィルターを変更し 適用することができます アクティブフィルターの特定 アクティブフィルターを特定するには : 1. [Analysis] タブで [Filters Applied] リンクを見つけます 2. 括弧内の数字は適用されたフィルターの数を示しています 3. 適用しているフィルターを確認するには リンクの上にカーソルを置きます 適用しているフィルターのリストが表示されます 4. フィルターの詳細を確認するには リンクをクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

36 第 3 章 : ネットワークの監視 列の並べ替え [Analysis] ビューで 列を並べ替えるには : 1. [Go to] リストから [Analysis] を選択します 2. [Analysis View ] リストから 列を追加 削除 並べ替えるビューを選択します 3. [View] [Add/Remove Columns] の順に選択します 左ウィンドウ枠で選択した [Show Columns] フィルターとともに [Filters] ウィンドウが表示されます 注記 : 右ウィンドウ枠に パラメーターのウィンドウが表示されます 右下のウィンドウ枠の情報は フィルターとその設定変更方法を説明しています 4. 次のうちの 1 つ以上を行います 目的列を追加する列を削除する列を並べ替える 右ウィンドウ枠の列の選択先 [Available] リストから列を選択し [Add] をクリックします [Displayed] リストから列を選択し [Remove] をクリックします [Displayed] リストから列を選択し [Up] および [Down] ボタンを使用します 5. [OK] をクリックします [Analysis] タブは 選択したオプションによって変化します 列データのソート 列のデータをソートするには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Analysis View ] リストから ソートするビューを選択します 3. 選択した [Analysis] ビューで ソートする列名をクリックします 列名の隣に矢印が表示され その列のデータが 矢印の向き ( 上または下 ) に従ってソートされます 4. 列を再度クリックし ソート順 ( 昇順または降順 ) を変更します 5. 複数列のデータをソートする場合 [SHIFT] キーを押しながら ソートする列をクリックします フィルターの定義 [Analysis] ビューで フィルターを定義するには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Analysis View ] リストから フィルターを定義するビューを選択します 3. [View] [Filter] の順に選択します [Filters] ウィンドウが表示されます ヒント : [Analysis] ビューで特定の列に対してフィルターを定義するには 編集する列を右クリックし [Add/Edit [ 列名 ] Filter(s)] を選択します 4. 左ウィンドウ枠で 編集するフィルターを選択します 右ウィンドウ枠に パラメーターのウィンドウが表示されます 5. 右側のパラメーターウィンドウ枠のフィールドを使用して 特定の設定を変更します その設定は 選択したフィルターによって変化します 6. [OK] をクリックします 36 IBM Internet Security Systems

37 アナリシスビューのカスタマイズ 7. カスタマイズしたビューに適用したフィルターを保存する場合は [View] [Save] の順に選択します 8. [Save Analysis View ] ウィンドウでカスタマイズしたビューの名前を入力してから [Save] をクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

38 第 3 章 : ネットワークの監視 分析のパースペクティブの選択 分析のパースペクティブによって 選択したアセットと関連するデータのフォーカスを手動で変更することができます 分析のパースペクティブとアナリシスビューを併用して 選択した 1 つまたは複数のアセットがイベントアクティビティーと関与している程度を判断します 手順 分析のパースペクティブを選択するには 次の手順に従います 1. 左ウィンドウ枠で イベントデータを調査するアセットまたはアセットのグループを選択します 2. [Go to] リストから [Analysis] を選択します 3. [Action] [Analysis Perspective] の順に選択し 次の表を使用してサブメニューのいずれかのオプションを選択します オプション Target Agent Source Source and Agent Target and Agent Target and Source Target, Agent, and Source イベントのすべてのインスタンスを表示する場合の 選択したアセットの状況 イベントの対象だった場合 イベントを検出したインストール済みエージェントがある場合 イベントの発信元だった場合 イベントの発信元で イベントを検出したインストール済みエージェントがある場合 イベントの対象で イベントを検出したインストール済みエージェントがある場合 イベントの対象および発信元だった場合 イベントの対象または発信元 表示されたイベントを検出したエージェント またはその全部 [Analysis] タブは 選択した分析パースペクティブによって変化し その選択したパースペクティブは タイトルバーに表示されます 38 IBM Internet Security Systems

39 ガイド付き質問の選択ド ガイド付き質問の選択 ガイド付き質問では イベントまたはイベントのグループに関する情報を収集する手っ取り早い方法を提供しています ガイド付き質問を使用して イベントの監視と検出 またはより注目した問い合わせに対するイベント情報を収集します ガイド付き質問とは ガイド付き質問とは 1 つ以上の選択したイベントのポップアップメニューに表示される 一連の質問です これらの質問は アナリシスビューに基づいていて 必要だと思われる情報を予測します 質問をクリックすると 表示するフィルターとアナリシスビューが自動的に変更されます ガイド付き質問の例 表 15 は SiteProtector システムに表示される ガイド付き質問の例と対応するアナリシスビューを一覧にしたものです 選択する質問 Who attacked this target? What are the sources of this event? What attackers did this sensor see? Who attacked this object? What attacks came from this target? What events were against this target? What events were generated by this attacker? What attacks were against this target? What events did this sensor see? What events were against this object? What are the event details? Which sensors detected this target? Which sensors detected this attacker? Which sensors detected this event? What sensor detected this object being attacked? What objects were targeted on this host? What are the target objects of this attacker? What are the target objects of this event? What objects did this sensor see? What are the targets of this attacker? What are the targets of this event? What targets did this sensor see? What target host had this object attacked? What is the 'whois' record of this target? What is the 'whois' record of this attacker? 表示されるアナリシスビュー Event Analysis - Attacker Event Analysis - Event Name Event Analysis - Details Event Analysis - Sensor Event Analysis - Target Object Event Analysis - Target ホストの IP アドレスに対して American Registry for Internet Numbers (ARIN) の検索結果を表示します 表 15: ガイド付き質問の例と対応するアナリシスビュー 手順ガイド付き質問を選択するには : 1. 左ウィンドウ枠で 表示する情報のグループまたはホストを選択します 2. [Go to] リストから [Analysis] を選択します SiteProtector System User Guide for Security Analysts Version 2.0, SP

40 第 3 章 : ネットワークの監視 3. イベントを右クリックし ポップアップメニューから最も関連する質問を選択します 別の列とフィルターを持つアナリシスビューが表示されます 重要 : 選択したアナリシスビューに 一定の列が表示される必要があります 表示されない場合は ガイド付き質問は表示されません 4. 前のビューへ移動するには 表示するイベントデータに達するまで ツールバーの [Back] アイコンをクリックします 5. 必要に応じて フィルターパネルを使用して さらに的を絞ってイベントデータに焦点を当てます 40 IBM Internet Security Systems

41 イベントデータの更新とクリア セクション C: イベント 概要 ネットワークに関する情報が最新であることを確認することは イベントを検出し調査しているときに大変重要です イベントデータを自動で更新して 照会に関連しないイベントをクリアするように SiteProtector システムを設定することができます このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ コンソールの更新 42 イベントのクリアおよびアンクリア 43 SiteProtector System User Guide for Security Analysts Version 2.0, SP

42 第 3 章 : ネットワークの監視 コンソールの更新 コンソールを設定して 事前に定義した頻度で [Auto-Refresh] オプションを使用してコンソール自体をアップデートすることができます 手動でコンソールを更新することもできます Auto Refresh 設定 [Auto-Refresh] オプションを選択した場合 [Tools] [Options] [General] [Auto Refresh] の順に指定した頻度に従って コンソールはアップデートされます アクティブコンソールのみ またはすべてのコンソールを自動的に更新するように設定することもできます 注意 : 更新する間隔が短すぎる場合は コンソールのパフォーマンスにマイナスの影響を与える可能性があるため [Auto-Refresh] オプションを使用するときには注意します データを自動で更新するためのコンソールの設定 自動で更新するようコンソールを設定するには : [View] [Auto-Refresh] の順に選択します [Auto-Refresh] オプションの隣に チェックマークが表示されます 注記 : [Auto-Refresh] を無効にするには 再度そのオプションを選択します コンソールの手動更新コンソールを手動で更新するには : 1. 選択したタブのデータを更新するには 次のいずれかを行います [View] [Refresh] の順に選択します [F5] キーを押します このオプションは ビューが最後に更新されてから受信したイベントでそのビューを更新します 2. [Summary] ビューのウィンドウ枠を更新するには タイトルバーで [Refresh] アイコンをクリックします 現在のビューの再ロード現在のビューを再ロードするには : 1. [Analysis] タブで [View] [Reload Current View] の順にクリックします 2. [Yes] をクリックします このオプションは 現在選択されているビューでフィルターや列に加えた変更を削除します 42 IBM Internet Security Systems

43 イベントのクリアおよびアンクリア イベントのクリアおよびアンクリア ネットワークに関する情報が関連していることを確認することは イベントを監視し検出しているときに大変重要です SiteProtector システムを設定して 照会に関連しないイベントをクリアし 前回クリアしたイベントを復元することができます イベントのクリアとは SiteProtector システムでは アナリシスビューから 必要のないイベントをクリアすることができます このことにより 脅威の可能性のあるイベントを特定しやすくなります イベントのクリア SiteProtector システムの Console からイベントをクリアするには : 1. [Analysis] タブから クリアするイベントを選択します 2. [Action] [Clear Events] の順にクリックします [Clear/Unclear Event(s)] ウィンドウが表示されます 3. 確認のため [Yes] をクリックします 選択したイベントが コンソールからクリアされます クリアしたイベントの復元 SiteProtector システムの Console からクリアしたイベントを復元するには : 1. [Analysis] タブで クリアするイベントの [Analysis View ] を選択します 2. [View] [Filter] の順に選択します [Filters] ウィンドウが表示されます 3. 左ウィンドウ枠で [Show Columns] を選択します 右ウィンドウ枠に パラメーターのウィンドウが表示されます 4. [Available] 列から [Cleared Count] を選択し [Add] をクリックします 5. [OK] をクリックします 6. アンクリアする 1 つまたは複数のイベントを選択して [Action] [Restore Events] の順に選択します 注記 : ビューにあるすべてのイベントをクリアした場合 そのビューは空になり イベントをアンクリアできる右クリックメニューは表示されません 7. [Yes] をクリックします 選択したイベントが復元されます SiteProtector System User Guide for Security Analysts Version 2.0, SP

44 第 3 章 : ネットワークの監視 44 IBM Internet Security Systems

45 セクション D: 異常検出コンテンツの表示 概要 異常検出コンテンツは ネットワーク上の疑わしいアクティビティーのパターンの検出には不可欠です SiteProtector システムでは トラフィックビューに異常検出コンテンツを表示することができます 重要 : ADS コンテンツを表示するには SiteProtector システムと通信するように設定された ADS アプライアンスが必要です 複数の ADS アナライザーアプライアンス サイトに複数の ADS アナライザーアプライアンスを含めることができます 複数の ADS アナライザーがある場合 推奨アプライアンスを設定し ホストオブジェクトに対するネットワークの動作を検索したり SiteProtector システムにトラフィック分析を表示したりすることができます 推奨アプライアンスのうちのいずれも選択しなかった場合 最初に登録されたアプライアンスがデフォルトとして選択されます ADS 表示オプション [Tools] [Options] [Browser] から ADS イベントの表示方法のオプションを設定できます このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ ADS コンテンツへのアクセス 46 ADS エンティティー情報の表示 47 SiteProtector System User Guide for Security Analysts Version 2.0, SP

46 第 3 章 : ネットワークの監視 ADS コンテンツへのアクセス さまざまな方法で SiteProtector システムから ADS へナビゲートおよびアクセスすることができます このトピックでは ADS コンテンツへのアクセスの手順を説明します ADS Web Console の起動 ADS Web Console を開始するには : 1. SiteProtector システムの Console の左ウィンドウ枠で ADS アプライアンスを含むグループを選択してから ADS アプライアンスを選択します 2. 次のいずれかを行います エージェントを右クリックし [Launch] [Proventia Manager] を選択します [Action] を選択し [Launch] [Proventia Manager] を選択します 新しくブラウザが開き ADS アプライアンス Web Console が表示されます ADS コンテンツへのアクセス ADS コンテンツへアクセスするには : 次の表のオプションを使用して ADS コンテンツへアクセスします オプション 説明 Action メニュー ADS イベントの詳細にナビゲートするには エージェント アナリシス またはアセットビューで 1 列以上を選択し [Action] メニューの [Network Behavior] オプションを選択します エージェントやアセットを右クリックして 詳細を表示することもできます [Agent] [Launch ] [Proventia Manager] Event Analysis - Details Event Analysis - Event Name Traffic Analysis タブ エージェントビューから [Launch] オプションとは別のブラウザを開いて ADS Web Console を表示します アナリシスビューから [Event Analysis - Details] を選択し アナリシスビュー エージェントビュー アセットビューの選択した IP アドレスを表示します 詳細については [Action] [What are the ADS Event Details] の順に選択します アナリシスビューから イベントを選択し 右クリックして [Open Event Details] を選択して ADS イベントの詳細を表示します Event Attribute Value Pairs 表の ADSEvent.url 属性の隣のアイコンをクリックして ADS イベントの詳細にアクセスすることもできます [Traffic] タブを選択し 選択したグループの ADS コンテンツを表示します 46 IBM Internet Security Systems

47 ADS エンティティー情報の表示 ADS エンティティー情報の表示 このトピックでは ADS エンティティー情報 ADS イベントの詳細 Traffic Analysis の表示手順について説明します ADS エンティティー情報の表示 ADS エンティティー情報を表示するには 次の手順に従います 1. コンソールの左ウィンドウ枠で 内容を表示するグループまたはアセットを選択します 2. エージェント Event Analysis - Details またはアセットビューから エージェント アセット またはイベントを選択して表示します 3. リストから 調査するエージェント アセット またはイベントを反転表示します 4. ADS エンティティー情報を表示するには 次のいずれかを行います エージェント アセット またはイベントを右クリックし [Network Behavior] を選択します [Actions] [Network Behavior] の順に選択し 確認する ADS 情報を選択します 注記 : 単一行を選択し イベント情報を表示させる必要があります 複数行選択してエンティティー情報を表示することはできますが 最初の 15 の固有項目だけがメニューに表示されます ADS イベントの詳細の表示 ADS イベントの詳細の表示するには : 1. コンソールの左ウィンドウ枠で イベントを表示するグループまたはアセットを選択します 2. ドロップダウンリストから [Analysis] を選択するか [open Analysis tab] をクリックします 3. リストから [Event Analysis - Details] を選択し イベントを選択します 4. ADS イベントの詳細を選択するには 次のいずれかを行います エージェントを右クリックし [What are the ADS Event Details?] を選択します [Action] を選択してから [What are the ADS Event Details?] を選択します 選択したイベントに関する [ADS Alert Details] が表示されます トラフィックの分析 [Traffic Analysis] オプションを使用して ADS イベントを表示するには : 1. トラフィック分析を表示させるグループを選択します 2. [Go to] リストから [Traffic Analysis] を選択します [Traffic Analysis] 組み込みタブが表示され 選択したグループの ADS トラフィックコンテンツを表示します システムが直近 24 時間のトラフィックコンテンツを表示します SiteProtector System User Guide for Security Analysts Version 2.0, SP

48 第 3 章 : ネットワークの監視 48 IBM Internet Security Systems

49 セクション E: SecurityFusion Module での影響の分析 概要 SecurityFusion Module は 重大な脅威を迅速に特定して対応する能力を大いに高めます 相関および分析技術を使用して モジュールは 最も重要な攻撃アクティビティーに焦点を当てるのに役立つように 影響の大きい攻撃や重大な攻撃パターンを段階的に拡大します 注記 : SecurityFusion Module は 個別購入のアドオンコンポーネントです 影響の分析 影響の分析とは 攻撃が成功したかどうかを決定するプロセスです 不正侵入検知センサーが攻撃を検出するときに モジュールは 攻撃をホストに関する情報 ( オペレーティングシステム 脆弱性 ホストエージェントが取る対応など ) に関連付け 攻撃の成功または失敗を検証します この情報は アナリシスビューの [Status] 列に表示されます このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ SecurityFusion Module の攻撃パターン 50 SiteProtector System User Guide for Security Analysts Version 2.0, SP

50 第 3 章 : ネットワークの監視 SecurityFusion Module の攻撃パターン モジュールは 対象となる試行およびネットワーク侵入試行 またはセキュリティー侵害されたホストからの攻撃アクティビティーなどの深刻なセキュリティーインシデントを示すイベントアクティビティーのパターンを認識します これらの攻撃パターンは 1 つのインシデントにまとめられるため ストリーミングイベントデータがより処理しやすくなります マウスを数回クリックするだけで インシデントの詳細を簡単に取得することができます 攻撃パターンの機能 攻撃パターンのすべてのイベントやその他基準が満たされた場合にのみ モジュールは 攻撃パターンの相関を SiteProtector システムのデータベースに保存するため コンソールで使用することができます モジュールは 攻撃パターンのタイムリミットに達するまで 既存の攻撃パターンの相関を監視およびアップデートし続けます 攻撃パターンの期間は システム関連変数と同様に 各攻撃パターンの時間関連オプションによって決定されます 攻撃パターンのタイプは 次のとおりです 情報収集 侵入試行 サービス不能攻撃 回避 攻撃パターンに対して表示されるデータ列 次のテーブルは コンソールおよび [Event Analysis-Incidents] ビューで 攻撃パターンの相関に対して表示されるデータ列を説明しています 列説明 Incident/Exception Name 次の形式で 順番に割り当てられた数値の識別子が後ろに続く 攻撃パターンの名前 Attack_Pattern_Name~ID_n Incident/Exception Description 攻撃に関連するホストの簡略説明 関連するホストの視覚的説明 追跡またはその他役立つ情報でアップデートすることができる列 # High 攻撃パターンの相関での高危険度イベントの数 # Medium 攻撃パターンの相関での中危険度イベントの数 # Low 攻撃パターンの相関での低危険度イベントの数 Tag Count Source Count Target Count Object Count Earliest Event Latest Event 攻撃パターンの相関で タグ名によって特定された異なるタイプのイベント数 ワーム攻撃などの攻撃パターンの相関には 同じタイプのイベントのインスタンスがいくつか含まれているため [Tag Count] はイベントの合計数以下である可能性があります 攻撃パターンの相関でのイベントの発信元である異なる IP アドレスの数 攻撃パターンの相関でのイベントのターゲットである異なる IP アドレスの数 攻撃パターンの相関で対象とされる異なるオブジェクトの数 攻撃パターン相関での最初のイベントの日時 攻撃パターン相関での最後のイベントの日時 表 16: 攻撃パターンに対して表示されるデータ列 50 IBM Internet Security Systems

51 SecurityFusion Module の攻撃パターン SiteProtector System User Guide for Security Analysts Version 2.0, SP

52 第 3 章 : ネットワークの監視 52 IBM Internet Security Systems

53 セクション F: アセットおよびエージェントの検索 概要 企業環境で トラフィックを監視している場合 グループ アセット またはエージェントを検索する必要があります SiteProtector システムの [Find] オプションを使用して エージェントおよびアセットを手っ取り早く検索することができます Find オプション アセットまたはエージェントを選択する場所によって [Find] オプションを使用して グループへ移動 またはキーワード検索をすることができます [Find] オプションは [Edit] メニューにあります このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ 選択したエージェントまたはアセットを含むグループの検索 54 グループに含まれるアセットまたはエージェントの検索 55 SiteProtector System User Guide for Security Analysts Version 2.0, SP

54 第 3 章 : ネットワークの監視 選択したエージェントまたはアセットを含むグループの検索 サイトを監視するときに エージェントまたはアセットが属するグループを検索する必要があります このトピックでは [Find] オプションを使用して エージェントまたはアセットが属しているグループを検索する手順を説明します 手順選択したアセットまたはエージェントを含むグループを検索するには : 1. エージェントまたはアセアセットビューで 右ウィンドウ枠のエージェントまたはアセットを選択します 2. [Edit] [Find] の順に選択します 選択したエージェントまたはアセットの親グループとともに [Find Group] ウィンドウが表示されます 3. [Expand] および [Collapse] オプションを使用して ツリー上のグループを表示します 4. グループを選択し [OK] ボタンをクリックしてそのグループに移動します 54 IBM Internet Security Systems

55 グループに含まれるアセットまたはエージェントの検索 グループに含まれるアセットまたはエージェントの検索 SiteProtector システムによって 選択したグループを検索して アセットまたはエージェントの場所を探すことができます このトピックでは キーワードやパターンを使用してグループを検索する手順を説明します 手順グループに含まれるアセットまたはエージェントを検索するには : 1. 左ウィンドウ枠で グループを選択します 2. [Edit] [Find] の順に選択します [Group] ウィンドウに [Find Asset] が表示されます 3. [Pattern] ボックスにキーワードを入力し [Find] をクリックします 入力したパターンがアセットと一致した場合 そのアセットのホスト名とアセットの親グループが 下ウィンドウ枠に表示されます 4. [Expand] および [Collapse] オプションを使用して ツリー上のグループを表示します 5. グループを選択し [OK] ボタンをクリックしてそのグループに移動します SiteProtector System User Guide for Security Analysts Version 2.0, SP

56 第 3 章 : ネットワークの監視 56 IBM Internet Security Systems

57 第 4 章 レポートの実行 概要 重要 : この章では SiteProtector システムレポートの実行に関するガイドラインと手順を説明します この章の内容 この章には 次のセクションがあります セクション ページ セクション A: 始める前に 59 セクション B: 一般的なレポートのタスク 61 セクション C: 特定レポートのオプション 69 SiteProtector System User Guide for Security Analysts Version 2.0, SP

58 第 4 章 : レポートの実行 58 IBM Internet Security Systems

59 セクション A: 始める前に 概要 始める前に このセクションでは レポートの実行に関する背景情報とガイドラインを説明します このセクションを確認してから この章の手順を実行してください このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ レポートの実行に関するガイドライン 60 SiteProtector System User Guide for Security Analysts Version 2.0, SP

60 第 4 章 : レポートの実行 レポートの実行に関するガイドライン このトピックでは レポートジョブのスケジューリング 大規模レポートのフォーマット メールでのレポートの送信に関するガイドラインを説明します レポートジョブのスケジューリング 同時に 11 ジョブ以上をスケジューリングしないでください 最初のジョブが処理されている間に 最大 10 ジョブが待機することができますが それ以上のジョブは失敗します 大規模レポートの形式 30 ページ以上のレポートがある場合があります その場合 HTML 形式を使用すると レポート内のテキストが重複して読めなくなります レポートが 30 ページ以上だと思われる場合は PDF または CSV 形式を使用してください HTML バージョンのレポートを印刷する場合は レポートの内容が用紙の端を越えている場合があります レポートを印刷するときは 品質をよくするためにも PDF 形式を使用してください 60 IBM Internet Security Systems

61 セクション B: 一般的なレポートのタスク 概要 このセクションでは すべてのレポート作成タスクに適用される手順について説明します このセクションの情報を使用して レポートの表示 レポート形式 頻度 日付の設定 レポート結果のメール配信を行います このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ レポートの表示と保存 62 レポート名とレポート形式の設定 63 レポート頻度の指定 64 レポートの日付別フィルタリング 65 レポート結果のメール配信 66 SiteProtector System Users List でのメールアドレスの作業 67 SiteProtector System User Guide for Security Analysts Version 2.0, SP

62 第 4 章 : レポートの実行 レポートの表示と保存 このトピックの手順を使用して SiteProtector システムが生成するレポートのインスタンスを表示し これらのインスタンスをローカルで保存します レポートの保存方法 デフォルト設定で レポートの構成設定を保存するときに SiteProtector システムは このレポートのインスタンスを Application Server の次のフォルダーに保存します ApplicationServer\deployed-apps\iss\SiteProtector.ear\webconsole.war\ reports 注記 : Application Server 上のレポートにアクセスするには 要求される権限を得ている必要があります 通常 これらの権限は Application Server の設定によって異なります 指定した間隔でレポートインスタンスを実行 [Recurrence] タブで SiteProtector システムがレポートインスタンスを実行する頻度を制御することができます レポート頻度の指定 (64 ページ ) を参照してください 手順レポートを表示および保存するには : 1. [Go To] リストから [Report] を選択します 2. 生成するレポートを右クリックし ポップアップメニューから [New Report] を選択します レポートの構成オプションを表示するウィンドウが表示されます 3. レポートの名前を入力し 追加設定オプションを指定してから [OK] をクリックします 4. 再度レポートのテンプレートを右クリックし ポップアップメニューから [Properties] を選択します 5. リストに表示するレポートインスタンスを右クリックし ポップアップメニューから [OpenReport] を選択します 6. レポートをローカルドライブに保存するには レポートを右クリックし ポップアップメニューから [Save As] を選択します 7. レポートを保存する場所を参照し 選択しから [OK] をクリックします 62 IBM Internet Security Systems

63 レポート名とレポート形式の設定 レポート名とレポート形式の設定 SiteProtector システムでは さまざまな形式でレポートを実行することができます このトピックでは レポート形式を設定する手順を説明します [Report Specification] タブには すべての SiteProtector システムレポートに適用される一般的なオプションが含まれています レポート形式の種類 次のファイル形式を使用して レポートを生成することができます PDF CSV HTML 注記 : デフォルトおよび推奨されるファイル形式は PDF です 手順 [Report Specification] タブを設定するには 次の手順に従います 1. [Go To] リストから [Report] を選択します レポートの一覧が 右ウィンドウ枠に表示されます 2. 生成するレポートを右クリックし ポップアップメニューから [New Report] を選択します 3. [Report Specification] タブで 次の情報を指定します ボックス Report Filename Report Comments Report Type 作業レポートの固有名を入力します 任意のコメントを入力します レポート形式 (PDF CSV HTML) を選択します 4. [OK] をクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

64 第 4 章 : レポートの実行 レポート頻度の指定 デフォルト設定で SiteProtector システムは 一度のみレポートを生成します ただし SiteProtector システムから指定した間隔でレポートを実行する場合は [Recurrence] タブで頻度を指定することができます 前提条件 [Report Specification] タブのレポート名とレポートの種類を指定してから 他のレポートタブで指定した変更内容を保存することができます 参照 : レポート名とレポート形式の設定 (63 ページ ) を参照してください 手順 レポート頻度を指定するには 次の手順に従います 1. [Go To] リストから [Report] を選択します レポートの一覧が 右ウィンドウ枠に表示されます 2. 生成するレポートを右クリックし ポップアップメニューから [New Report] を選択します 3. [Recurrence] タブを選択します 4. [Recurrence pattern] セクションで SiteProtector システムからこのレポートを自動的に生成するのに使用する頻度を選択します 5. このレポートを生成する時間を [Start] ボックスで選択します 注記 : 現在の時間が デフォルトとして選択されています 6. [Range of recurrence] セクションで 次のいずれかを指定します [No end date] オプションを選択します [End by] オプションを選択し リストから日付を選択します 注記 : [Recurrence Pattern] セクションで [Run Once] オプションを選択した場合 [Range of recurrence] オプションは利用できません 7. [OK] をクリックします 64 IBM Internet Security Systems

65 レポートの日付別フィルタリング レポートの日付別フィルタリング ほとんどの場合 レポートのデータを特定の期間に制限する必要があります SiteProtector システムでは 標準およびカスタムの期間別に データをフィルタリングするレポートを作成することができます このトピックの背景情報と手順を使用して 日付別にレポートをフィルタリングします 前提条件 [Report Specification] タブのレポート名とレポートの種類を指定してから 他のレポートタブで指定した変更内容を保存することができます 参照 : レポート頻度の指定 (64 ページ ) を参照してください 手順レポートを日付別にフィルタリングするには : 1. [Go To] リストから [Report] を選択します レポートの一覧が 右ウィンドウ枠に表示されます 2. 生成するレポートを右クリックし ポップアップメニューから [New Report] を選択します 3. [Report Period] タブを選択します 4. このレポートのデータを特定の期間に制限しますか? 制限する場合は [Custom] オプションを選択します 制限しない場合は [Standard Time Period] オプションを選択し 手順 7 に進みます 5. 次のいずれかの時間形式を選択します SiteProtector system Console Time Zone GMT (Greenwich Mean Time) 6. ボックス内に レポート期間の開始日と終了日を入力 または矢印をクリックしてポップアップカレンダーから日付を選択し 手順 8 に進みます 7. [Standard Time Period] セクションで 次のいずれかを行います 含める期間 1 番目のリストから選択するオプション 次の手順 現在の期間のみ This 3 番目のリストから期間の単位 ( 日 週 月 また は年 ) を選択する 前回の期間 Previous 含める期間数を 2 番目のリストから選択する 3 番目のリストから期間の単位 ( 日 週 月 または年 ) を選択する 8. [OK] をクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

66 第 4 章 : レポートの実行 レポート結果のメール配信 このトピックでは メールメッセージ形式で レポート結果を各宛先へ送信する手順について説明します [ Distribution] タブは メールアドレスを設定した SiteProtector システムのユーザーすべてに適用されます このトピックの手順を使用して レポートを他の SiteProtector システムのユーザーにメールで送信します 手順レポート結果をメールで送信するには : 1. [Go to] リストから [Report] を選択します 2. メール送信するレポートを右クリックし ポップアップメニューから [New Report] を選択します 3. [ Distribution] タブを選択します 4. レポートをメールの添付ファイルとして送信するには [ report as attachment for PDF report type] チェックボックスをオンにします 注記 : このオプションを選択する場合 [Report Type] として [PDF] を選択する必要があります 5. 次のいずれかを行います ボックスに表示されている SiteProtector システムの全ユーザーに対してレポートを送信するには [Select All ] チェックボックスをオンにします SiteProtector システムの特定のユーザーにレポートを送信するには 個別ユーザーの横にあるチェックボックスをオンにします 注記 : SiteProtector システムにユーザーを追加するには [Tools] [User Groups] の順にクリックします SiteProtector システムのユーザーにメールアドレスを割り当てるには [Tools] [User Addresses] の順にクリックしてください 6. SiteProtector システムのユーザー以外でレポートを受け取る必要がある人にメールアドレスを追加するには [Configure other addresses separated by semicolons below] ボックスにメールアドレスを入力します 7. [OK] をクリックして終了します 注記 : SiteProtector システムは受信者にハイパーリンクを含むメールメッセージを送信します レポートを表示するには SiteProtector システムで認証されている必要があります 66 IBM Internet Security Systems

67 SiteProtector System Users List でのメールアドレスの作業 SiteProtector System Users List でのメールアドレスの作業 ユーザーがレポート結果を他のユーザーからメール経由で送信または受信できるように 現在の SiteProtector システムの Users List に対して メールアドレスを追加または編集することができます タスクの概要 SiteProtector システムの Users List にメールアドレスを追加するプロセスは 3 段階に分かれています タスク 説明 1 新規ユーザーを現在のユーザーリストに追加する 2 メールサーバーアドレスを入力し どのメールサーバーを使用してメールを送信するか指示する 3 メールアドレスをユーザーリストに追加する 表 17: SiteProtector システムの Users List にメールアドレスを追加する 現在のユーザーリストへのユーザーの追加 新規ユーザーを追加するには 次の手順に従います 1. [Go to] リストから [Report] を選択します 2. [Tools] [User Groups] の順に選択します 3. 左ウィンドウ枠で 目的とするユーザーグループを選択してから [Add] を選択します 注記 : この手順はオプションです ユーザーをメール配布リストに追加するために ユーザーグループを選択する必要はありません 4. [Members Search] セクションで [Add] をクリックします 5. [Search Users/Groups to Add] ウィンドウで [Members Search] ウィンドウに個々の名前を入力し [CheckNames] をクリックします 6. リストから目的とするメンバーを選択し [OK] をクリックします 注記 : 2 人以上のユーザーを選択することができます 7. [Search Users/Groups to Add] ウィンドウで [OK] をクリックします 8. [User Groups] ウィンドウで [OK] をクリックします メールサーバーアドレスの入力 メールサーバーアドスを入力するには 次の手順に従います 1. [Tools] [User Addresses.] の順に選択します 2. [ Server Address] ウィンドウに メールサーバーアドレスを入力します 3. [OK] をクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

68 第 4 章 : レポートの実行 ユーザーに対するメールアドレスの追加または編集 メールアドレスを追加または編集するには 次の手順に従います 1. [Tools] [User Addresses] の順に選択します 2. リストからユーザーを選択し 次の表に記載されているとおりに設定を完了します 設定 メールアドレスの追加 メールアドレスの編集 説明 次のいずれかを行います [Update with AD] をクリックします 注記 : 2 人以上のユーザーを選択することができます メールアドレスを追加するユーザーを選択し [Edit address] をクリックして手動でメールアドレスを入力します 注記 : [Update with AD] を選択した場合 SiteProtector システムは Active Directory から取得した情報を使って自動的にメールアドレスをアップデートします 次の作業を行います 1. リストからユーザーを選択し [Edit address] をクリックします 2. メールアドレスを編集し [OK] をクリックします 3. [OK] をクリックします 68 IBM Internet Security Systems

69 セクション C: 特定レポートのオプション 概要 このセクションでは 各レポートカテゴリーに適用されるオプションについて説明します これらのカテゴリーは [Report] タブのカテゴリーごとにまとめられています このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ Assessment レポート 70 Asset レポート : イベントの詳細と概要 74 Asset レポート : プロテクション 77 Asset レポート :Asset Risk レポート 78 Attack Activity レポート 82 Audit レポート : Audit Detail レポート 86 Audit レポート : Audit User to Group Report 87 Content Filtering レポート 88 Mail Filtering レポート 90 Management レポート 92 Permission レポート 97 Ticket レポート 98 Virus Activity レポート 100 SiteProtector System User Guide for Security Analysts Version 2.0, SP

70 第 4 章 : レポートの実行 Assessment レポート このトピックでは Assessment レポートに対して設定可能なオプションについて説明します 表示されるオプションは 設定するレポートによって異なります Assessment レポート 表 18 では [Report] タブに表示される Assessment レポートを一覧にしたものです 機能 Assessment レポート Asset Asset Assessment Detail Asset Assessment Summary Operating System Operating System Summary Operating System Summary By Asset Payment Card Industry (PCI) PCI Detail PCI Summary Service Service Summary Service Summary By Asset Vulnerability Top Vulnerabilities Vulnerability By Asset Vulnerability By Group Vulnerability By OS Vulnerability Counts Vulnerability Counts By Asset Vulnerability Detail By Asset Vulnerability Differential Vulnerability Names By Asset Vulnerability Remedies By Asset Vulnerability Summary By Asset Vulnerable Assets 表 18: Report タブの Assessment レポート ソートオプション 表 19 は Assessment レポートのソートオプションを一覧にしたものです これらのオプションは [Sort Results By] リストに表示されます レポート [Sort Results By] リスト内のオプション Top Vulnerabilities Count Vulnerability Name Vulnerability By Group Group Name High Severity Medium Severity Low Severity Total Vulnerabilities 表 19: Assessment レポートのソートオプション 70 IBM Internet Security Systems

71 Assessment レポート レポート Asset Assessment Detail Asset Assessment Summary Operating System Summary Operating System Summary By Asset Service Summary By Asset Vulnerability Counts By Asset Vulnerability Detail By Asset Vulnerability Remedies By Asset Vulnerability Name By Asset Vulnerability Summary By Asset [Sort Results By] リスト内のオプション DNS Name IP Address Operating System DNS Name IP Address Vulnerable Assets Asset Criticality Asset Name DNS Name IP Address Vulnerability By OS High Severity Medium Severity Low Severity Total Vulnerabilities OS Name 表 19: Assessment レポートのソートオプション ( 続き ) Assessment レポートオプション 表 20 では Assessment レポートのオプションおよび表示されるタブを説明します すべてのレポートに表示されないオプションもあります オプション Share report with other SiteProtector system users タブ General 説明 このレポートを表示するオプションを他の SiteProtector システムのユーザーに与える場合に このオプションを選択します Available and Displayed Display [Add] または [Remove] オプションを使用して Vulnerability By Group レポートに表示する列を選択します [Up] または [Down] オプションを使用して レポートに表示される順番を調整します Include Exceptions Filters 実行中のレポートに例外を含める場合に このオプション を選択します 表 20: Assessment レポートオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

72 第 4 章 : レポートの実行 オプション タブ 説明 Asset Value Filters レポートに表示される IP アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に アセット名が一貫して登録されていない環境において アセット名が空白のままレポートに表示されないように [Best Name] を選択します Sort Results By Sort Order Show Asset Details Group by Number of Records Show Graph Graph Style Show vulnerability fix details Report Format Report Format Report Format Report Format Report Format Report Format Report Format Report Format レポートをソートするオプションを選択します オプションの一覧については 表 19 を参照してください 次のオプションのいずれかを選択します Ascending Descending アセットの詳細を表示するには このオプションを選択します レポートをソートする次のいずれかのオプションを選択します Severity Status 次のオプションのいずれかを選択します このオプションを選択して レポートにグラフを表示します このオプションは 表 19 に記載されているレポートにのみ表示されます [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart 各脆弱性に対する修正の詳細を表示するには このオプションを選択します 表 20: Assessment レポートオプション ( 続き ) 72 IBM Internet Security Systems

73 Assessment レポート オプション Standard Time Period Custom Select All タブ Report Period Report Period Distribution 説明 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT 次のいずれかを選択します Select All Individual addresses 表 20: Assessment レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

74 第 4 章 : レポートの実行 Asset レポート : イベントの詳細と概要 このトピックでは Asset レポートに対して設定可能なオプションについて説明します 表示されるオプションは 設定した Asset のタイプによって異なります Asset レポート 次の Asset レポートは [Report] タブに表示されます Asset Event Details Asset Event Summary ソートオプション 表 21 は [Report Format] タブの [Sort Results By] リストに表示される Asset Event Details レポートのソートオプションを一覧にしたものです レポート [Sort Results By] リスト内のオプション Asset Event Details Event/Vulnerability Name Asset Owner Inventory Tag Asset Function Asset Criticality 表 21: Asset Event Detail レポートでのソートオプション Asset レポートオプション 表 22 では Asset レポートに表示されるオプションと表示されるタブについて説明します すべてのレポートに表示されないオプションもあります オプション Share report with other SiteProtector system users Choose Assets to include Observance types to include タブ General General General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します 次のいずれかのオプションを選択します All assets Desktops Only No desktops レポートに含める次のいずれかのオプションを選択します Events Vulnerabilities Events and Vulnerabilities Display summary by General Asset Event Summary レポートでサマリー情報をソートする方法を 次のいずれかから選択します Criticality Function Owner 表 22: Asset レポートオプション 74 IBM Internet Security Systems

75 Asset レポート : イベントの詳細と概要 オプション タブ 説明 Available Filters Asset Event Summary および Asset Event Detail でソートされる情報をフィルタリングする方法を 次のいずれかから選択します Incomplete data Vulnerability Informational Only Web Filter Anti-Spam Application Compliance Displayed Filters Asset Event Summary および Asset Event Detail で表示される情報をフィルタリングする方法を 次のいずれかから選択します Intrusion Detection AntiVirus Firewall Network Anomaly Detection Owners Filters レポートに表示させるアセットに対応するオーナーを選 択します オーナーが定義されていない場合 オプショ ンは表示されません Criticality Filters レポートに表示させるアセットに対応するクリティカリ ティレベルを選択します Functions Filters レポートに表示させるアセットに対応する機能を選択し ます 機能が定義されていない場合 オプションは表示 されません Include Exceptions Filters 実行中のレポートに例外を含める場合に このオプショ ンを選択します Sort Results By Sort Order Show Graph Graph Style Report Format Report Format Report Format Report Format レポートをソートするオプションを選択します オプションの一覧については 表 21 を参照してください 次のオプションのいずれかを選択します Ascending Descending このオプションを選択して レポートにグラフを表示します [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart 表 22: Asset レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

76 第 4 章 : レポートの実行 オプション Number of Records Standard Time Period Custom Select All タブ Report Format Report Period Report Period Distribution 説明 次のオプションのいずれかを選択します 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT 次のいずれかを選択します Select All Individual addresses 表 22: Asset レポートオプション ( 続き ) 76 IBM Internet Security Systems

77 Asset レポート : プロテクション Asset レポート : プロテクション このトピックでは Asset Protection レポートに対して設定可能なオプションについて説明します [Report] タブに表示される Asset Protection レポート一覧を次に示します Desktop Protection Report Server Protection Report Desktop Protection レポートオプション 表 23 では Protection レポートのオプションおよび表示されるタブについて説明します オプション Share report with other SiteProtector system users タブ General 説明 このレポートを表示する権限を他の SiteProtector システムのユーザーに与えるには このオプションを選択します Display Version As Display レポートに表示するバージョンの種類を定義するには 次のいずれかを選択します Agent Version Intrusion Detection and Prevention Version Virus Protection Version Combined Version Display Assets By Sort Results By Show Graph Select All Report Format Report Format Report Format Distribution レポートに表示される IP アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に ホスト名が一貫して使用されていない環境において ホスト名が空白のままレポートに表示されないように [Best Name] を選択します 結果をソートするオプションを選択します Status Version このオプションを選択して レポートにグラフを表示します 次のいずれかを選択します Select All Individual addresses 表 23: Protection レポートオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

78 第 4 章 : レポートの実行 Asset レポート :Asset Risk レポート このトピックでは Asset Risk レポートで設定するオプションについて説明します このレポートを使用して サイトに存在するアセットの脆弱性に関連するリスクを評価します レポートには 各アセットグループのリスクスコアといっしょに 指定されたレポート期間のリスク傾向に関するグラフが含まれます SiteProtector システムのリスクスコア判定方法 SiteProtector システムは リスク要因に重点を置き アセットクリティカリティと組み合わせて 各アセットのリスクスコアを決定します リスク要因には ブロックされない攻撃 アセットで発見された脆弱性 アセットプロテクションの未実施 (Proventia Server または Proventia Desktop) および最近実施されていない脆弱性スキャン (Internet Scanner または Enterprise Scanner) が含まれます SiteProtector システムは サイト全体の総スコアと 各アセットに対して 0 から 100 の間でリスクスコアを割り当てます それぞれのリスク要因は クリティカリティを除いて (40 から 100 の間の値 ) 1 から 10 の間の値を持ちます また SiteProtector システムは各要因に重要性を割り当て それぞれの要因をそれぞれの重要性とアセットクリティカリティを掛けて合計した値を 10 倍にした総重要性の値で割り算をして リスクスコアが算出されます 例 : アセットクリティカリティ (( 要因 2 重要性 2) + ( 要因 3 重要性 3) + ( 要因 10 重要性 10)) ( 総重要性 10) リスク要因 表 24 では リスクスコアとデフォルトの重要性の値を判定する要因を一覧にしています リスク要因スアセットクリティカリティ 重要性 これは 次のように決定された素点です Low または unassigned: 40 Medium: 50 High: 70 Critical: 100 高危険度のブロックされていない攻撃 10 中危険度のブロックされていない攻撃 3 低危険度のブロックされていない攻撃 1 高危険度の脆弱性 10 中危険度の脆弱性 3 低危険度の脆弱性 1 X-Force Hot List の脆弱性 10 保護されていないホスト (Desktop または Server Protection Agent) 5 スキャンされていないホスト (Internet Scanner または Enterprise Scanner Agent) 24 表 24: アセットのリスクスコアを決定するリスク要因 78 IBM Internet Security Systems

79 Asset レポート :Asset Risk レポート リスクスコア計算のサンプル 1 Asset 1 のクリティカリティは Medium です Desktop または Server エージェントで保護されていないため 攻撃が検出されていないということを意味しています また 過去 90 日以内にスキャンを実施していないため 検出された脆弱性がありません 表 25 は リスクスコアと計算に使用した重要性を示したものです リスク要因 説明 素点 重要性 クリティカリティ (Criticality) Medium 50 N/A 高危険度のブロックされていない攻撃 なし 0 10 中危険度のブロックされていない攻撃 なし 0 3 低危険度のブロックされていない攻撃 なし 0 1 高危険度の脆弱性 なし 0 10 中危険度の脆弱性 なし 0 3 低危険度の脆弱性 なし 0 1 X-Force Hot List の脆弱性 なし 0 10 保護されていないホスト (Desktop または Server Protection Agent) スキャンされていないホスト (Internet Scanner または Enterprise Scanner Agent) 保護なし 10 5 スキャン未実施 表 25: Asset 1 のリスクスコア算出に使用したリスク要因 リスクスコアの計算は次のようになります 50 x ((0 x 10) + (0 x 3) + (0 x 1) + (0 x 10) + (0 x 3) + (0 x 1) +(0 x 10) + (10 x 5) + (10 x 24))/670 = 21.6 レポートのリスクスコアは 22 になります リスクスコア計算のサンプル 2 Asset 2 のクリティカリティは High です Proventia Desktop で保護され 12 件の中危険度の攻撃と 25 件の低危険度の ( ブロックされない ) 攻撃を検出しています IBM Proventia Network Enterprise Scanner が最近スキャンを行い 2 つの中危険度の脆弱性を検出しています 1 つは X-Force Hot List に記載されており 低危険度の脆弱性が 5 つあります 表 26 は リスクスコアと計算に使用した重要性を示したものです リスク要因 説明 素点 重要性 クリティカリティ (Criticality) High 70 N/A 高危険度のブロックされていない攻撃 なし 0 10 中危険度のブロックされていない攻撃 低危険度のブロックされていない攻撃 高危険度の脆弱性 なし 0 10 中危険度の脆弱性 低危険度の脆弱性 X-Force Hot List の脆弱性 表 26: Asset 1 のリスクスコア算出に使用したリスク要因 SiteProtector System User Guide for Security Analysts Version 2.0, SP

80 第 4 章 : レポートの実行 リスク要因 説明 素点 重要性 保護されていないホスト (Desktop または Server Protection Agent) スキャンされていないホスト (Internet Scanner または Enterprise Scanner Agent) Proventia Desktop 日前にスキャンを実施 表 26: Asset 1 のリスクスコア算出に使用したリスク要因 リスクスコアの計算は次のようになります 70 x ((0 x 10) + (8 x 3) + (8 x 1) + (0 x 10) + (4 x 3) + (5 x 1) +(1 x 10) + (0 x 5) + (0 x 24))/670 = レポートのリスクスコアは 62 になります リスクスコア 15 以下のリスクスコアは 緑でグラフに表示されます 15 から 35 の間のリスクスコアは黄色で表示され 35 を上回るリスクスコアは赤で表示されます リスクレポートのオプション 表 27 では Asset Risk レポートに表示されるオプションを説明します オプション Share report with other SiteProtector system users タブ General 説明 このレポートを表示する権限を他の SiteProtector システムユーザーに与える場合に このオプションを選択します Display Assets by Display レポートでアセットを特定するオプションを次から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に アセット名が一貫して登録されていない環境において アセット名が空白のままレポートに表示されないように [Best Name] を選択します Standard Time Period Report Period このオプションを選択して 指定した日数 週数 または月数を対象とするレポートを実 行します Custom Time Period Report Period このオプションを選択して 特定の日付の範囲を対象とするレポートを実行します 重要 : 未来の日付に設定したレポートには対応していないため リスクスコアは 0 になります Show Graph Report Format レポートにグラフを表示する場合は このオ プションを選択します Show Each Asset Report Format このオプションを選択して レポートに各ア セットの個別のスコアを表示します 表 27: Asset Risk レポートのオプション 80 IBM Internet Security Systems

81 Asset レポート :Asset Risk レポート オプション タブ 説明 Sort Results by Report Format アセットの詳細をソートする次のいずれかのオプションを選択します Score Asset Operating System Report Period Divided Into Report Format このオプションを選択して 日 週 月 四 半期 年の期間のリスク結果を表示します Maximum Depth of Subgroups Report Format このオプションを選択して表示するサブグループの深さ (1 から 9 または all ) を定義します 例 : 1 は任意のサブグループを非表示にします 表 27: Asset Risk レポートのオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

82 第 4 章 : レポートの実行 Attack Activity レポート このトピックでは Attack Activity レポートに対して設定可能なオプションについて説明します 表示されるオプションは 設定した Asset Activity レポートのタイプによって異なります Attack Activity レポート 次の Attack Activity レポートは [Report] タブに表示されます Attacks By Group Attacks By Protection Domain Security Events By Category Top Attacks Top Attacks By Severity Top Sources of Attack Top Targets of Attack Top Targets of Attack By Severity ソートオプション 表 28 は ソート可能な Attack Activity レポートとそのソートオプションを一覧にしたものです これらのオプションは [Sort Results By] リストの [Report Format] タブに表示されます レポート Top Attacks Top Attacks By Severity Top Targets of Attack By Severity Attacks By Group Attacks By Protection Domain Top Sources of Attack Top Targets of Attack オプション Attack Name Count Target Value Total Attacks High Severity Medium Severity Low Severity Group Name Source Value 表 28: Attack Activity レポートのソートオプション Attack Activity レポートオプション 表 29 では Attack Activity レポートのオプションおよび表示されるタブについて説明します すべてのレポートに表示されないオプションもあります オプション Share report with other SiteProtector system users Choose Assets to include タブ General General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します 次のいずれかのオプションを選択します All assets Desktops only No Desktops 表 29: Attack Activity レポートオプション 82 IBM Internet Security Systems

83 Attack Activity レポート オプション タブ 説明 Add/Remove Display 次の項目を追加または削除します High Severity Medium Severity Low Severity Up/Down Filters [Add] または [Remove] ボックスで指定した列を並べ替えま す Include Exceptions Filters 実行中のレポートに例外を含める場合に このオプション を選択します Source Value Filters レポートに表示される発信元アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に ホスト名が一貫して登録されていない環境において ホスト名が空白のままレポートに表示されないように [Best Name] を選択します Target Value Filters レポートに表示される宛先アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に ホスト名が一貫して登録されていない環境において ホスト名が空白のままレポートに表示されないように [Best Name] を選択します Available/Displayed Filters 次の項目をレポートから追加または削除します Incomplete data Vulnerability Informational Only Web Filter Anti-Spam Application Compliance Intrusion Detection AntiVirus Firewall Network Anomaly Detection 表 29: Attack Activity レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

84 第 4 章 : レポートの実行 オプション タブ 説明 Status Filters ステータス別にフィルタリングするには 次の項目から選択します Select All (Event Statuses) Blocked Not Blocked, Not Vuln Not Blocked, Vuln Not Blocked, Vuln status unknown Not Vulnerable Unassigned Unknown Vulnerable Standard Time Period Custom Sort Results By Sort Order Number of Records Show Graph Report Period Report Period Report Format Report Format Report Format Report Format 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT レポートをソートするオプションを選択します オプションの一覧については 表 28 を参照してください 次のオプションのいずれかを選択します Ascending Descending 次のオプションのいずれかを選択します このオプションを選択して レポートにグラフを表示します 表 29: Attack Activity レポートオプション ( 続き ) 84 IBM Internet Security Systems

85 Attack Activity レポート オプション Graph Style Select All タブ Report Format Distribution 説明 [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart 次のいずれかを選択します Select All Individual addresses 表 29: Attack Activity レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

86 第 4 章 : レポートの実行 Audit レポート : Audit Detail レポート このトピックでは Audit Detail レポートに対して設定可能なオプションについて説明します このレポートを使用して ユーザーが SiteProtector システムで実行するタスクを追跡します Audit Detail レポートオプション 表 30 では Audit Detail レポートのオプションと表示されるタブについて説明します オプション Share report with other SiteProtector system users タブ General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します User Name Filters このオプションを選択して レポートのデータをフィルタ リングするユーザー名 ( 複数可 ) を指定します 注記 : [Select All] は すべてのユーザーを選択します Activity Type Filters このオプションを選択して レポートに表示するユーザー アクションの種類を指定します Standard Time Period Custom Sort Results By Select All Report Period Report Period Report Format Distribution 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT レポートをソートするオプションを選択します User Name Activity Type 次のいずれかを選択します Select All Individual addresses 表 30: Audit Detail レポートオプション 86 IBM Internet Security Systems

87 Audit レポート : Audit User to Group Report Audit レポート : Audit User to Group Report このトピックでは User to Group レポートで設定するオプションについて説明します このレポートを使用して サイト上のそれぞれの User Group に属している SiteProtector システムのユーザーを確認します User to Group レポートオプション 表 31 では User to Group レポートのオプションと表示されるタブについて説明します オプション Share report with other SiteProtector system users Group Results by タブ General Distribution 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します 次のいずれかを選択します User: sorts results by user name, displaying groups each user belongs to Group: sorts results by User Group, displaying all users in each User Group 表 31: User to Group レポートオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

88 第 4 章 : レポートの実行 Content Filtering レポート このトピックでは Content Filtering レポートに対して設定可能なオプションについて説明します Content Filtering レポート 次の Content Filtering レポートは [Report] タブに表示されます Top Web Categories Web Requests ソートオプション 表 32 は ソート可能な Content Filtering レポートとそのソートオプションを一覧にしたものです これらのオプションは [Sort Results By] リストの [Report Format] タブに表示されます レポート オプション Top Web Categories Asset Count Request Count Category Web Requests Category Asset Name 表 32: Content Filtering レポートのソートオプション Content Filtering レポートオプション 表 33 では Content Filtering レポートのオプションと表示されるタブについて説明します オプション Share report with other SiteProtector system users タブ General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します Include Exceptions Filters 実行中のレポートに例外を含める場合に このオプ ションを選択します Asset Name Filters レポートに表示される IP アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に アセット名が一貫して登録されていない環境において アセット名が空白のままレポートに表示されないように [Best Name] を選択します Choose Assets to include Filters 次のいずれかのオプションを選択します All assets Desktops only No Desktops 表 33: Content Filtering レポートオプション 88 IBM Internet Security Systems

89 Content Filtering レポート オプション Standard Time Period Custom Sort Results By Sort Order Number of Records Show Graph Select All タブ Report Period Report Period Report Format Report Format Report Format Report Format Distribution 説明 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT レポートをソートするオプションを選択します オプションの一覧については 表 32 を参照してください 次のオプションのいずれかを選択します Ascending Descending 次のオプションのいずれかを選択します このオプションを選択して レポートにグラフを表示します 次のいずれかを選択します Select All Individual addresses 表 33: Content Filtering レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

90 第 4 章 : レポートの実行 Mail Filtering レポート このトピックでは Mail Filtering レポートに対して設定可能なオプションについて説明します 表示されるオプションは 設定する レポートのタイプによって異なります レポート 次の Mail Filtering レポートは [Report] タブに表示されます Executive Summary Top Analysis Modules Top Recipients Top Responses Top Senders Traffic Report レポートオプション 表 34 では レポートのオプションおよび表示されるタブを説明します すべてのレポートで使用できないオプションもあります オプション Share report with other SiteProtector system users Standard Time Period Custom Number of Records タブ General Report Period Report Period Report Format 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT 次のオプションのいずれかを選択します 表 34: レポートオプション 90 IBM Internet Security Systems

91 Mail Filtering レポート オプション Sort Order Sort Results By Select All タブ Report Format Report Format Distribution 説明次のオプションのいずれかを選択します Ascending Descending レポートをソートするオプションを選択します Count Total Size 次のいずれかを選択します Select All Individual addresses 表 34: レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

92 第 4 章 : レポートの実行 Management レポート このトピックでは Management レポートに対して設定可能なオプションについて説明します Management レポート 次の Management レポートは [Report] タブに表示されます Attack Incidents Attack Status Summary Attack Trend Virus Activity Trend Vulnerability Trend 列オプション 表 35 は Management レポートに含めることができる列を一覧にしたものです これらのオプションは [Display] タブに表示されます レポート 列 Attack Incidents Description High Severity Medium Severity Low Severity Attack Status Summary Target Count Source Count Object Count High Severity Medium Severity Low Severity Attack Trend High Severity Medium Severity Low Severity Virus Activity Trend High Severity Medium Severity Low Severity Vulnerability Trend High Severity Medium Severity Low Severity 表 35: Management レポートに含めることができる列 92 IBM Internet Security Systems

93 Management レポート ソートオプション 表 36 は Management レポートの列をソートできる基準を一覧にしたものです これらのオプションは [Sort Results By] リストの [Report Format] タブに表示されます レポート オプション Attack Incidents Date Incident Name High Severity Medium Severity Low Severity Source Count Target Count Attack Status Summary Target Count Source Count Object Count High Severity Medium Severity Low Severity Attack Trend Units High Severity Medium Severity Low Severity Total Attacks Vulnerability Trend Units High Severity Medium Severity Low Severity Total Attacks 表 36: Management レポートのソートオプション Management レポートオプション 表 37 では Management レポートのオプションおよび表示されるタブについて説明します すべてのレポートに表示されないオプションもあります オプション Share report with other SiteProtector system users タブ General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します Available/Displayed Display レポートに表示する列を選択します 各レポートに対 して設定可能な列の一覧については 表 35 を参照し てください Up/Down Display [Add] または [Remove] ボックスで指定した列を並べ 替えます 表 37: Management レポートオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

94 第 4 章 : レポートの実行 オプション タブ 説明 Include Exceptions Filter 実行中のレポートに例外を含める場合に このオプ ションを選択します Include Fusion Incidents Filter 実行中のレポートに Fusion インシデントを含める場 合に このオプションを選択します Units Filter 指定期間別にレポートをフィルタリングするには 次の項目から選択します Day Week Month Quarter Year Available/Displayed Filter 次の項目をレポートから追加または削除します Incomplete data Vulnerability Informational Only Web Filter Anti-Spam Application Compliance Intrusion Detection AntiVirus Firewall Network Anomaly Detection Compare 2 Consecutive Filter 2 つの指定期間別にレポートをフィルタリングするには 次の項目から選択します Day Week Month Quarter Year Sort Results By Sort Order Report Format Report Format レポートをソートするオプションを選択します オプションの一覧については 表 36 を参照してください 次のオプションのいずれかを選択します Ascending Descending 表 37: Management レポートオプション ( 続き ) 94 IBM Internet Security Systems

95 Management レポート オプション Number of Records Show Graph Graph Style Maximum Number of Dates Show Asset Details Group by Report Period Divided into Standard Time Period タブ Report Format Report Format Report Format Report Format Report Format Report Format Report Format Report Period 説明 次のオプションのいずれかを選択します このオプションを選択して レポートにグラフを表示します [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart レポートを実行する日付の最大数を指定します アセットの詳細を表示するには このオプションを選択します レポートをソートする次のいずれかのオプションを選択します Severity Status 指定期間別にレポートをフィルタリングするには 次の項目から選択します Day Week Month Quarter Year 次のいずれかの期間を選択します Previous and This Number Day Week Month Year 表 37: Management レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

96 第 4 章 : レポートの実行 オプション Custom First day of First Period Select All タブ Report Period Report Period Distribution 説明 レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します Eastern Standard Time GMT 次のいずれかを選択します Select All Individual addresses 表 37: Management レポートオプション ( 続き ) 96 IBM Internet Security Systems

97 Permission レポート Permission レポート このトピックでは Permission Detail レポートに対して設定可能なオプションについて説明します Permission Detail レポートオプション 表 38 では Permission Detail レポートのオプションと表示されるタブについて説明します オプション Share report with other SiteProtector system users タブ General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します Sort By Select All Report Format Distribution レポートをソートする次のいずれかの列を選択します 列は 最高イベント数から最低イベント数へとソートされます User Group Permission 次のいずれかを選択します Select All Individual addresses 表 38: Permission Detail レポートオプション SiteProtector System User Guide for Security Analysts Version 2.0, SP

98 第 4 章 : レポートの実行 Ticket レポート このトピックでは Ticket レポートに対して設定可能なオプションについて説明します Ticketing レポート [Report] タブに表示される Ticket レポート一覧を次に示します Ticket Activity Summary Ticket Time Tracking Ticket Trend Ticketing レポートオプション 表 39 では Ticket レポートのオプションおよび表示されるタブについて説明します オプション Share report with other SiteProtector system users タブ General 説明 このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します Display assigned users Display このオプションを選択して チケットが割り当てられ たユーザーをレポートに表示します Display category Display このオプションを選択して チケットに割り当てられ たカスタムカテゴリーをレポートに表示します Display status Display このオプションを選択して チケットステータス (New Open In Progress など ) をレポートに表示し ます Display priority Display このオプションを選択して チケットの優先度 (Critical High Medium Low) をレポートに表示し ます Assigned Users Filters レポートに表示する個別のユーザーを選択します これらのユーザーは [Display] タブの [Display assigned users] を選択した場合にのみ レポートに表示されます Category Filters レポートに表示する列を選択します これらのカテゴ リーは [Display] タブの [Display category] を選択し た場合にのみ レポートに表示されます Status Filters レポートに表示するステータスを選択します これらのステータスは [Display] タブの [Display status] オプションを選択した場合にのみ レポートに表示されます Priority Filters レポートに表示する優先度を選択します これらのカ テゴリーは [Display] タブの [Display priority] を選択 した場合にのみ レポートに表示されます 表 39: Ticket レポートオプション 98 IBM Internet Security Systems

99 Ticket レポート オプション Number of Records Show Graph Graph Style Report Period Divided into Maximum Number of Dates Standard Time Period Custom Select All タブ Report Format Report Format Report Format Report Format Report Format Report Period Report Period Distribution 説明 次のオプションのいずれかを選択します このオプションを選択して レポートにグラフを表示します [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart 指定期間別にレポートをフィルタリングするには 次の項目から選択します Day Week Month Quarter Year レポートを実行する日付の最大数を指定します 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT 次のいずれかを選択します Select All Individual addresses 表 39: Ticket レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

100 第 4 章 : レポートの実行 Virus Activity レポート このトピックでは Virus Activity レポートに対して設定可能なオプションについて説明します Virus Activity レポート [Report] タブに表示される Virus Activity レポート一覧を次に示します Top Virus Activity Virus Activity By Asset Virus Activity By Group Virus Prevention Benefits Virus Trend Details ソートオプション 表 40 は Management レポートの列をソートできる基準を一覧にしたものです これらのオプションは [Sort Results By] リストに表示されます レポート タブ オプション Top Virus Activity Display Attack Name Count Virus Activity By Asset Report Format Asset Value High Severity Medium Severity Low Severity Total Count Virus Activity By Group Report Format Asset Value High Severity Medium Severity Low Severity Total Count Virus Trend Details Report Format Asset Name Virus Name Total Count Severity Status Time 表 40: Management レポートのソートオプション Virus Activity レポートオプション 表 41 では Virus Activity レポートのオプションと表示されるタブについて説明します オプションタブ説明 Share report with other SiteProtector system users General このオプションを選択して 他の SiteProtector システムのユーザーにこのレポートを表示するオプションを付与します 表 41: Virus Activity レポートオプション 100 IBM Internet Security Systems

101 Virus Activity レポート オプション タブ 説明 Choose Assets to include General リストから次のいずれかのオプションを選択します All assets Desktops only No Desktops Sort Results By Display レポートをソートするオプションを選択します Attack Name Count Sort Order Display 次のオプションのいずれかを選択します Ascending Descending Number of Records Display 次のオプションのいずれかを選択します Show Graph Display このオプションを選択して レポートにグラフを表示 します Available/Displayed Display レポートに表示する列をイベントの危険度に従って選択します High Severity Medium Severity Low Severity Up/Down Display [Add] または [Remove] ボックスで指定した列を並べ 替えます Display Assets By Display レポートに表示される IP アドレスに使用するアセット名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に ホスト名が一貫して使用されていない環境において ホスト名が空白のままレポートに表示されないように [Best Name] を選択します Include Exceptions Filters 実行中のレポートに例外を含める場合に このオプ ションを選択します 表 41: Virus Activity レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

102 第 4 章 : レポートの実行 オプション タブ 説明 Asset Value Filters レポートに表示されるホストに使用するホスト名を決定するには 次の項目から選択します Best Name (defined by NetBios, then DNS, then IP) IP (IP address) DNS (Domain Name System) NB (NetBios) 注記 : 特に ホスト名が一貫して登録されていない環境において ホスト名が空白のままレポートに表示されないように [Best Name] を選択します Choose Assets to include Filters 含めるアセットを決定するには 次の項目から選択します All Assets No desktops Desktops Only Standard Time Period Custom Graph Style Report Period Divided into Report Period Report Period Report Format Report Format 次のいずれかの期間を選択します Previous and This Number Day Week Month Year レポートの最初の日に実行するために 月内の日付を選択し 次のいずれかのオプションを選択してレポートの期間を決定します SiteProtector system Console Time Zone 注記 : お使いのシステムに表示されるタイムゾーンは SiteProtector システムの Console に設定されたタイムゾーンです GMT [Show Graph] ボックスで有効にしたグラフのグラフスタイルを選択します Pie chart Bar chart 指定期間別にレポートをフィルタリングするには 次の項目から選択します Day Week Month Quarter Year 表 41: Virus Activity レポートオプション ( 続き ) 102 IBM Internet Security Systems

103 Virus Activity レポート オプション Sort Results By Sort Order Number of Records Avg infection cost per asset Show Graph Select All タブ Report Format Report Format Report Format Report Format Report Format Distribution 説明 レポートをソートするオプションを選択します Group Name High Severity Medium Severity Low Severity Total Count 次のオプションのいずれかを選択します Ascending Descending 次のオプションのいずれかを選択します このオプションを選択して ウィルス防御時に受信しているコストリターンの種類を評価します このオプションを選択して レポートにグラフを表示します 次のいずれかを選択します Select All Individual addresses 表 41: Virus Activity レポートオプション ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

104 第 4 章 : レポートの実行 104 IBM Internet Security Systems

105 パート II 脆弱性の評価と対処法

106

107 第 5 章 ネットワークの脆弱性の特定と解決 概要 この章では 驚異の特定と対応方法について説明します この章は 脆弱性評価プランの作成についての総合的なガイドではありません 脆弱性評価プランの作成に関する詳細については 本製品の保守契約を締結されている販売代理店までご連絡ください 続行する前に 次のトピックを確認して 脆弱性の評価および対処法の正しいプロセスに従っていることを確認してください 脆弱性の評価と対処法のチェックリスト (22 ページ ) この章の内容 この章では 次のトピックについて説明します トピック ページ 脆弱性評価プランの作成 108 SiteProtector システムによって生成された脆弱性データ 109 脆弱性イベントに関する情報の収集 110 脆弱性を解決するかどうかの決定 111 脆弱性の修正と軽減 112 アクションプランの作成 114 アップグレードとパッチの実施 115 SiteProtector System User Guide for Security Analysts Version 2.0, SP

108 第 5 章 : ネットワークの脆弱性の特定と解決 脆弱性評価プランの作成 このトピックでは 脆弱性評価プランの作成時に考慮しなければならない項目や 脆弱性の特定および解決プロセスの概要について説明します 脆弱性評価プランの重要性 脆弱性を効果的に特定および解決するには 脆弱性評価プランを設定することをお勧めします プランの作成時には 次の項目を考慮してください スキャンに含むホスト スキャンの頻度 被害を受けたシステムの責任者 脆弱性の報告 追跡 および解決プロセス 脆弱性評価チームの責任範囲 チームの組織構造 上層部との関係 提供するサービス 脆弱性の特定および解決プロセス図 図 2 は 脆弱性の特定および解決プロセスを示したものです 図 2: 脆弱性の特定および解決プロセス図 108 IBM Internet Security Systems

109 SiteProtector システムによって生成された脆弱性データ SiteProtector システムによって生成された脆弱性データ このトピックでは SiteProtector システムによって生成された脆弱性データのタイプ 脆弱性のカテゴリー 特定攻撃に関連した脆弱性について説明します 定義 : 脆弱性 脆弱性とは 悪用される可能性のある ネットワーク上の既知の欠陥です 脆弱性データタイプ SiteProtector system によって生成された脆弱性データのタイプは 次のとおりです ネットワークベース - Internet Scanner インスタンスによって生成された情報 攻撃者は 通常 ネットワーク上のほかのマシンに公開されるサービスにアクセスすることによって これらの脆弱性を悪用します ネットワークベースの脆弱性は ホストおよびネットワークの両方で発生する可能性があります ホストベース - System Scanner アプリケーションによって検出される情報 攻撃者は ローカルまたはリモートユーザーとしてホストにログオンすることによって ホストベースの脆弱性を悪用します 脆弱性のカテゴリー 脆弱性のカテゴリーは 次のとおりです ベンダー固有 - ソフトウェアバグ オペレーティングシステムパッチの欠如 サービスなど 適切に保護されていない市販ソフトウェアおよびハードウェア 不適切な設定 - パスワード作成に関して十分に定義されていないポリシー パッチのアンインストールおよびホットフィックスを含むシステム設定に対する不正変更など 適切に設定されていないソフトウェアおよびハードウェア 不適切なユーザーアクティビティー - 不正なグループに対してディレクトリーを共有 アンチウィルスソフトウェアの使用またはアップデートに失敗 ダイアルアップモデムを使用してファイアウォールを回避している 不正ユーザーまたはユーザー側の怠慢 特定攻撃に関連した脆弱性 表 42 では 特定攻撃に関連した脆弱性について説明します 脆弱性説明 バックドア バッファまたはフィールドのオーバーフロー デフォルトアカウントおよび不正アクセス権 脆弱なアクセス制御 情報の脆弱性 次のいずれかによる システムまたはアプリケーションのセキュリティーホール セキュリティーの欠陥 秘密のアクセス手段 攻撃者が 変数のフィールド長を超えるコードを変数に送信できるシステム欠陥 コードが実行され 攻撃者にアクセスが提供されます デフォルト設定で有効なユーザーアカウント 事前定義済みアカウント またはより多くのリソースへアクセスでき アクセスレベルに適したコマンドを持つアカウント 空白または無効なパスワード または容易に推測できるパスワードの使用許可などのアクセス制御を弱める不適当なシステム構成 オペレーティングシステムのバージョンなどのホストに関する調査情報を提供するシステム欠陥 表 42: 特定攻撃に関連した脆弱性 SiteProtector System User Guide for Security Analysts Version 2.0, SP

110 第 5 章 : ネットワークの脆弱性の特定と解決 脆弱性イベントに関する情報の収集 ネットワークのスキャン後に スキャンによって生成された脆弱性イベントに関する情報を収集する必要があります アナリシスビューを使用して 重要な脆弱性イベントについての詳細情報へ移動します 参照 : 脆弱性分析の詳細については 表 12 脆弱性アナリシスビューの説明 (33 ページ ) を参照してください 110 IBM Internet Security Systems

111 脆弱性を解決するかどうかの決定 脆弱性を解決するかどうかの決定 このトピックでは どの脆弱性を解決するか決定するときに役立つ質問について説明します 脆弱性を解決するかどうかの決定 脆弱性を解決する必要があるかどうかを決定するときに 次の質問を使用します 脆弱性が 重要な資産に影響を与えますか? 脆弱性を解決するかどうか決定するときの最も重要な要素は 脆弱性によって影響を受けるホストまたはセグメントが重要かどうかということです この脆弱性が悪用された場合の最悪のシナリオは何ですか? 攻撃の影響は 変化する可能性があります 攻撃者が組織内のすべての重要なホストを無効にする可能性のある脆弱性もあれば ほとんどまたはまったく価値のない情報を攻撃者に提供する脆弱性もあります 脆弱性によって影響を受けるプラットフォームは どのくらい広範囲にわたって使用されていますか? 脆弱性によって影響を受けるプラットフォームを実行しているホストの数は この脆弱性が悪用されているかどうかによって決まる場合があります 一般的に 脆弱なプラットフォームを実行しているホストが多ければ多いほど プラットフォームが攻撃される確率も高くなります 脆弱性を悪用するには 高度な技術が必要ですか? ほとんどの攻撃者には 高度なハッキング技術がないため 高度な技術を必要とする場合 脆弱性を悪用する可能性は低くなります 外部の人間によって 脆弱性を悪用される可能性がありますか? ユーザーによってリモートで悪用される可能性のある脆弱性によって ローカルのアカウント権限を使用することなしに 多数の潜在的な攻撃者に門戸が開かれます SiteProtector System User Guide for Security Analysts Version 2.0, SP

112 第 5 章 : ネットワークの脆弱性の特定と解決 脆弱性の修正と軽減 脆弱性を解決することに決めた場合は 次のいずれかを行います 脆弱性を修正する 脆弱性のリスクを軽減する 修正 脆弱性を解決する最も効果的な手段は 脆弱性を修正することです 脆弱性を修正する場合 被害を受けたシステムが脆弱でなくなるように システムを修理または再設定します 軽減 脆弱性を軽減する場合 脆弱性の影響を緩和しようとしますが 排除しません 一時的措置として 脆弱性の軽減を検討してください 例外とインシデント SiteProtector system では 次のような 脆弱性を分類する簡単な方法を提供しています 脆弱性を解決することに決めた場合 脆弱性をインシデントとして分類する 脆弱性を無視することに決めた場合 脆弱性を例外として分類する ベースライン機能 ベースライン機能を使用して 修正または軽減された脆弱性を追跡することを検討します 早急に解決できない脆弱性の対処法 特別な状況で 特に脆弱性を解決できるまでに時間がかかるとわかっている場合 脆弱性を例外として分類することを検討してください 脆弱性の解決 脆弱性を解決するときの参考として 表 43 を使用します 方法脆弱性を修正する 表 43: 脆弱性の解決 タスク ベンダー提供のパッチまたはアップグレードを適用する 脆弱なシステムを再設定する インシデントまたは例外 パッチまたはアップグレードが実施およびテストされるまで インシデントとして分類します 1. 脆弱なシステムが正常に再設定されるまで インシデントとして分類します 2. 例外として分類し システムに正常にパッチが適用されアップグレードされたときに失効するようスケジューリングします 112 IBM Internet Security Systems

113 脆弱性の修正と軽減 方法 タスク インシデントまたは例外 脆弱性を軽減する指定期間 脆弱性を監視するインシデントとして分類します 脆弱なサービスを実行しているシステムをオフにする 脆弱なシステムへのアクセスを回避するためのファイアウォールルールを調整する注記 : この方法は 誰にでもできるものではありません 攻撃者は ファイアウォールルールを回避して 脆弱なホストへアクセスすることができます 1. 脆弱なサービスがオフになるまで インシデントとして分類します 2. 例外として分類し システムに正常にパッチが適用されアップグレードされたときに失効するようスケジューリングします 1. 脆弱なサービスがブロックされるまで インシデントとして分類します 2. 例外として分類し システムに正常にパッチが適用されアップグレードされると失効するようスケジューリングします 表 43: 脆弱性の解決 ( 続き ) 参照 : 脆弱性修正の詳細については アップグレードとパッチの実施 (115 ページ ) を参照してください SiteProtector System User Guide for Security Analysts Version 2.0, SP

114 第 5 章 : ネットワークの脆弱性の特定と解決 アクションプランの作成 脆弱性を修正または軽減する方法を決定後 脆弱性に関する詳細情報 脆弱性の解決計画方法 解決後のテスト計画方法などのプランを作成する必要があります アクションプランの作成方法 アクションプランに含まれる情報の一覧を次に示します 脆弱性の詳細説明 脆弱性によって影響を受けたシステムの一覧 責任者の指定およびシステム所有者への連絡などの詳細な実施手順を含む 脆弱性の修正および軽減方法の説明 テストおよびロールバック手順を含む ソリューションの影響評価方法の説明 114 IBM Internet Security Systems

115 アップグレードとパッチの実施 アップグレードとパッチの実施 修正のアクションプランを作成後 アップグレードおよびパッチを実施する必要があります 定義 : アップグレード アップグレードとは インストール済みのハードウェアまたはソフトウェア製品の新規バージョン またはその製品に追加されたものです 通常 アップグレードには 新機能や再設計されたコンポーネントが含まれます 定義 : パッチ パッチとは ソフトウェアまたはハードウェアの一時的な修正のことで 通常 特定のバグや欠陥に対応します 通常 パッチには 新機能や再設計されたコンポーネントは含まれません 正常に実施する方法 アップグレードとパッチを正常に実施するには 次の作業を行う必要があります 新規ソフトウェアまたは再設定をテストする パッチおよびアップグレードされるデバイスを担当するシステム所有者と営業主任からの協力を得る アップグレードおよびパッチを実施するときに検討する質問 アップグレードおよびパッチを実施するときの参考として 次の質問を使用します 脆弱性の修正中に システムがさらに脆弱になりますか? ネットワーク上に共存しているパッチが適用されたシステムと適用されていないシステムは 非互換性を示していますか? 1 つの脆弱性を修正するために実施している修正プログラムが ほかの脆弱性を発生させる可能性がありますか? 修正プログラムは 広範囲にわたるテストを必要としますか? そのような場合 許容時間は十分ありますか? 次の手順 ネットワークを再スキャンして 脆弱性が正常に修正されたかどうかを判断します SiteProtector System User Guide for Security Analysts Version 2.0, SP

116 第 5 章 : ネットワークの脆弱性の特定と解決 116 IBM Internet Security Systems

117 第 6 章 スキャンの管理 概要 この章では Internet Scanner または Enterprise Scanner アプリケーションを使用した環境でのネットワークスキャンの実施と管理方法について説明します この章の内容 この章では 次のトピックについて説明します トピック ページ ネットワーク上のホストの特定 118 脆弱性データが完全および正確であることの確認 119 脆弱性スキャンのスケジューリング 120 バックグラウンドスキャンの実行 121 スキャンの実行に必要な時間の短縮 122 SiteProtector System User Guide for Security Analysts Version 2.0, SP

118 第 6 章 : スキャンの管理 ネットワーク上のホストの特定 ネットワーク上のホストを特定するには 次のとおり ディスカバリースキャンの実行を検討します SiteProtector システムをインストールして ホスト情報を生成し ネットワークを計画後 ネットワーク上の新規ホストを定期的に特定するため 定義 : ディスカバリースキャン ディスカバリースキャンでは Internet Scanner または Enterprise Scanner ディスカバリーポリシーを使用します これらのポリシーは ホストオペレーティングシステム およびシステム上で現在実行中のサービスを特定し 基本的な脆弱性チェックを行います ディスカバリースキャンの起動目的 ディスカバリースキャンでは ほかの Internet Scanner まはた Enterprise Scanner ポリシーで有効な時間のかかるチェックを実行することなく ネットワーク上のホストに関する役立つ情報を提供します ディスカバリースキャンによって 次のことを行うことができます ネットワーク上の新規ホストを特定する 次のことを決定する セグメントがネットワーク全体をスキャンする方法 および使用するポリシー ホストオペレーティングシステムが最新 または企業標準に従っているかどうか ネットワークにアクセスしているユーザーが認証されているかどうか ネットワーク上のすべてのプラットフォームをサポートするのに十分な IT スタッフがいるかどうか ディスカバリースキャンが提供するホスト情報 ディスカバリースキャンは 次の情報をホストテーブルに追加します IP アドレス NetBIOS 名 DNS 名 OS 名 NetBIOS ドメイン名 注記 : ホストが Internet Scanner または Enterprise Scanner の接続リクエストに応答しない場合 そのホストはホストテーブルに追加されていません 118 IBM Internet Security Systems

119 脆弱性データが完全および正確であることの確認 脆弱性データが完全および正確であることの確認 脆弱性データが完全および正確であることを確認するには 次の作業を行います スキャンの一貫性を維持する すべてのホストがアクセス可能であることを確認する 実行可能な高レベルのユーザーアクセス権限を使用する スキャン間の一貫性の維持 一貫性を維持するには 次の作業を行うことを検討します 脆弱性が修正されたことを検証する場合は 前回のスキャンと同じポリシーと XPU レベルを使用する 前回のスキャンと同じアカウント権限およびスキャナー設定を使用する XPU およびスキャナーポリシーをスキャンサイクルの合間に適用する 通常のスキャンスケジュール中に使用できない可能性のあるホストをスキャンする時間を変更する 悪用される可能性のある脆弱性を特定できるように 不正侵入検知の取り組みとスキャンを調整する ホストがアクセス可能であることの確認 ホストがアクセス可能であることを確認するには 次の作業を行います ホストが有効であることを確認する - 次の状況により ホストが無効である可能性があります 電源が入っていない IP ネットワークに接続されていない 標準以外のサービスを実行している 標準以外のポート経由で通信している ファイアウォールが通信を許可していることを確認する - 特定のファイアウォール設定によって Internet Scanner または Enterprise Scanner が次のようなホストとの接続を確立するのに使用するトラフィックがブロックされます ICMP リクエスト Internet Scanner または Enterprise Scanner インスタンスで使用されるホストからの通信 注記 : Internet Scanner または Enterprise Scanner インスタンスが スキャン中のアセットと同じセグメントにある場合に 最高のパフォーマンスを実現することができます 最高レベルのユーザーアクセス権の使用 すべてのシステムリソースにアクセスするには スキャン時にアクセス権を昇格させることをお勧めします 重要なドメインまたはホストをスキャンするときは ドメイン管理者権限を使用します ドメイン管理者権限を使用したスキャンでは 終了するまでにかなりの時間を必要とする可能性があります SiteProtector System User Guide for Security Analysts Version 2.0, SP

120 第 6 章 : スキャンの管理 脆弱性スキャンのスケジューリング スキャンがネットワークに与える影響が少ない場合 および役立つデータを生成することができる場合に スキャンをスケジューリングします 検討事項 脆弱性スキャンのスケジュールを作成するときには 次の作業を行うことを検討します システム所有者と調整する - 常に スキャン時間をシステム所有者と調整します 複数のタイムゾーンを許可する - 2 つ以上のタイムゾーンにサービスを提供しているネットワークがある場合 ユーザーがすべてのタイムゾーンに適応できるように スキャンセッションの日時をずらすことを検討します 企業ポリシーを順守する - デバイスが利用できないときに スキャンを無効にできるように スキャンをスケジューリングします 企業ポリシーによって デスクトップなどの特定のデバイスが 次の時間にシャットダウンするよう要求される場合があります 営業終了時 定期的なメンテナンス中 ピーク時に重要なサーバーを回避する - システムパフォーマンスへの影響を回避するには 重要なアプリケーションサーバーに 多数のユーザーがアクセスする可能性のあるピーク時には それらのサーバーをスキャンしません 特定ホストをスキャンするタイミング 表 44 では スキャンのスケジューリングに関する提案事項をいくつか説明します 時間帯スキャンのタイプ 早朝 正午前後 デスクトップ 重要でない NT および UNIX サーバー 夜間または深夜 重要なアプリケーションサーバー プリンターサーバー 表 44: 特定ホストをスキャンするタイミング 120 IBM Internet Security Systems

121 バックグラウンドスキャンの実行 バックグラウンドスキャンの実行 バックグラウンドスキャンは ディスカバリースキャンおよびアセスメントスキャンに対して個別に定義された周期で実行する 自動化された定期的なスキャンです 推奨事項 スキャン時間を短く抑えるために 狭い範囲の IP アドレスを使用します 可能な限り 脆弱性を持つことがわかっているアセットを含めてください タスクの概要 表 45 では バックグラウンドスキャンを設定する 5 段階のプロセスを説明します タスク 影響を受けるポリシー ポリシーの変更 1 Discovery バックグラウンドディスカバリースキャンを有効にし スキャ ン対象の IP アドレス範囲を定義します 2 Assessment バックグラウンドアセスメントスキャンを有効にし 実行する チェックを定義します 3 Scan Window 任意で スキャンを許可する日時を定義します 4 Scan Control 任意で 最初のスキャンサイクルの開始時刻と 各スキャンサ イクルの長さを定義します 5 All ポリシーを保存し スキャンを監視します 表 45: バックグラウンドスキャンプロセスの概要 参照 : バックグランドスキャンの詳細については manuals.html または から IBM Proventia Network Enterprise Scanner User Guide を参照してください SiteProtector System User Guide for Security Analysts Version 2.0, SP

122 第 6 章 : スキャンの管理 スキャンの実行に必要な時間の短縮 ネットワークスキャンでは 大容量のデータを生成します また 時間もかかり Internet Scanner または Enterprise Scanner のインスタンスおよびネットワークのパフォーマンスに影響を与える可能性もあります スキャンの実行に必要な時間を短縮するには 次の作業を行うことを検討します ネットワークの帯域幅とアクセシビリティーを向上させる スキャンに含めるホストの数を制限する デフォルトポリシーレベルを下げる またはポリシーでの脆弱性チェック数を制限する ネットワークの帯域幅とアクセシビリティーの向上 ネットワークの帯域幅とアクセシビリティーを向上させるには 次の作業を行うことを検討します ネットワーク帯域幅を向上させる - ネットワーク上のデバイスがデバイスに送信されたパケットに対応する速さは スキャン時間に影響を与えます 50 ミリ秒以上の Ping レスポンスまたは Internet Control Message Protocol (ICMP) エコーリクエストによって スキャン時間が大幅に増加します Ping レスポンスが減速した場合 ネットワーク帯域幅が十分かどうか判断します アクセシビリティーを向上させる - Ping レスポンスなしでスキャンするよう設定されている周辺スキャンでは さらに時間がかかります スキャン時間を短縮する必要がある場合は スキャンするデバイスをファイアウォール内に移動させることを検討します スキャンに含めるホストの制限 スキャンに含めるホストを制限するには 次の作業を行うことを検討します 全体のホスト数を制限する - 1 回のスキャンセッションにつき 2500 以上のホストをスキャンしないことをお勧めします この数を超えると スキャンが正常に完了しない可能性があります 1 セッションでスキャンできる最大ホスト数は スキャナーエンジンがインストールされているネットワークおよびデバイスのパフォーマンスによって異なります ドメインコントローラーホストを制限する - ユーザーアカウントの大規模なレジストリを持つドメインコントローラーホストは ユーザーアカウントの列挙やパスワードチェックのために スキャン時間が長くなる可能性があります ドメインコントローラーをスキャンするとき またはスキャンからこれらのホストを削除するときには これらのチェックを無効にすることを検討します デフォルトポリシーレベルの引き下げ 中レベルから高レベルのスキャンポリシーでは 低レベルのポリシーよりも 実行に時間がかかります 最後の手段として デフォルトポリシーレベルを引き下げるか ポリシーでの脆弱性チェック数を制限することを検討してください 122 IBM Internet Security Systems

123 パート III 脅威の調査と分析

124

125 第 7 章 疑わしいアクティビティーの検出 概要 この章では ネットワーク上の疑わしいアクティビティーを検出するための開始点として使用する SiteProtector システムのビューをいくつか紹介します さらに SiteProtector システムアナリシスビューおよびフィルタリングツールの使用についてのガイドラインも説明します 疑わしいアクティビティー検出の目標 疑わしいアクティビティーを検出するための目標は 次のとおりです 高レベルのパターンを監視して 特定のアクティビティーをさらに詳細に監視する必要があるかどうか判断する イベントを継続的にフィルタリング ソート および関連付けする間に 攻撃危険度および範囲の早期指標を検索する インシデントの本格的な追跡 または公式調査の開始などの追加アクションを取るために十分な理由付けがあるかどうかを判断する この章の内容 この章には 次のセクションがあります セクション ページ セクション A: 疑わしいアクティビティー 127 セクション B: Event Analysis ビューの監視 129 セクション C: Analysis ビューからのアクティビティーのフィルタリング 139 SiteProtector System User Guide for Security Analysts Version 2.0, SP

126 第 7 章 : 疑わしいアクティビティーの検出 126 IBM Internet Security Systems

127 セクション A: 疑わしいアクティビティー 概要 疑わしいアクティビティーは さまざまなソースから生じます このセクションの説明を参考に ネットワークを監視するときの疑わしいアクティビティーを特定および分類します このセクションの用語は パート Ⅲ : 脅威の調査と分析 でよく参照されます 反復プロセス 疑わしいアクティビティーの検出は 反復プロセスです アクティビティーが疑わしいかどうかを決定しているときの反復方法で 次のタスクを実行します Event Analysis ビューとガイド付き質問を繰り返す 分析の一部ではないアクティビティーを除外するように ベースラインと例外を作成する 許可されたアクティビティー 許可されたアクティビティーとは 疑わしく思われるが 実際は無害である通常のアクティビティーのことです 許可されたアクティビティーに対する例外を作成 またはコンソールベースラインにこのアクティビティーを含めることを検討してください Analysis ビューからのアクティビティーのフィルタリング (139 ページ ) を参照してください 例 : 許可された DNS サーバー間の DNS ゾーン転送により イベントがトリガーされる可能性がありますが ほとんどの場合 その転送は許可されたアクティビティーです ただし 外部 IP アドレス主導の DNS 転送は 不正アクティビティーです 不正アクティビティー 不正アクティビティーとは 企業に害を与える可能性のある異常な動作のことです 不正アクティビティーは False Positive として誤って分類される場合があります ただし 不正アクティビティーは 通常懸念材料であり さらなる調査や対処法を必要とする場合があります 表 46 では 不正アクティビティーについて説明します 不正アクティビティー 誤用 悪用 悪意のあるアクティビティー 説明 加害者は 組織に害を及ぼすつもりはないが 知らないうちに脆弱性を引き起こしてしまった可能性があります 通常 このアクティビティーは 重大な過失ではなく 正当な注意義務の違反によって引き起こされます 例として ファイアウォールの設定を試みようとするが 見落としや無知のために 組織のアセットを攻撃を受けやすい状態のままにしている管理者が挙げられます 加害者は 組織に害を及ぼすつもりはないが アクティビティーが不正であるとよくわかっています 通常 このアクティビティーは 明らかに不注意な行為 または法や組織の行動規範に明らかに違反する行為によって引き起こされます 悪用の例として 企業のイントラネット上でポルノサイトを閲覧するユーザーや ファイアウォールの設定を怠りアセットを攻撃を受けやすい状態のままにしている管理者が挙げられます 加害者は 意図的に組織に害を及ぼし アクティビティーが不正であるとわかっています 例として 企業のイントラネットに対してサービス不能攻撃を開始する攻撃者や 企業の会計サーバーから不法に入手した部外秘の財務情報から利益を得ようとする内部ユーザーが挙げられます 脅威の評価および調査では 悪意のあるアクティビティーの検出および調査が最初に対応されます 悪意のあるアクティビティーのタイプについては 181 ページで説明します 表 46: 不正アクティビティーの説明 SiteProtector System User Guide for Security Analysts Version 2.0, SP

128 第 7 章 : 疑わしいアクティビティーの検出 128 IBM Internet Security Systems

129 セクション B: Event Analysis ビューの監視 概要 アナリシスビューでは 複数のパースペクティブに適切なレベルの詳細情報を与えるため 疑わしいアクティビティーを検出するための有効開始点を提供します このセクションでは 選択したアナリシスビューの説明と その使用に関するガイドラインを説明します 関連情報 ガイド付き質問の使用およびアナリシスビューの管理に関する手順については アナリシスビューとモード (31 ページ ) を参照してください このセクションでのガイドライン このセクションでのガイドラインは イベントの検出のほかに 脅威の分析や対処中に実行される多くのタスクに適用される場合があります このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ 監視および関連付けるトラフィックの選択 130 Summary ビュー 131 Event Name ビュー 133 Target ビュー 135 Attacker ビュー 136 ガイド付き質問および Event Analysis ビューの使用に関するシナリオ 137 SiteProtector System User Guide for Security Analysts Version 2.0, SP

130 第 7 章 : 疑わしいアクティビティーの検出 監視および関連付けるトラフィックの選択 監視し イベントアナリシスビューと関連付けるために選択するトラフィックは 要素の数によって決まる可能性があります このトピックでは 監視するトラフィックの選択 および発信元ごとのイベントの手動による関連付けについてのガイドラインを説明します 重要 : アセットの体系化および優先順位付けの手順は ネットワークセキュリティーの計画および評価の不可欠な部分です SiteProtector システムをインストールおよび設定したときに これらのタスクの多くを実行しておく必要があります グループ化構造の利点 グループ化構造では 頻繁に実行するタスクに応じて ホストやセンサーをグループ化することでより効果的にアセットを保護することができます 通常 サイトは ジオグラフィーやトポロジーなど 2 つ以上の構造を使用して アセットおよびセンサーをグループ化します 監視用アセットのグループ化 表 47 は 監視用アセットのグループ化基準を一覧にしたものです グループ化構造説明 トポロジー アセットクリティカリティ ジオグラフィー ビジネス機能 トポロジー基準を使用し 発信元に基づいてトラフィックを監視します これは 内部アセット ( イントラネット ) または外部アセットを監視するために使用される効果的で一般的な基準です これらの領域は DMZ VPN パートナーエクストラネット および内部ゲートウェイなどのトポロジーによって さらに分類される可能性があります 主幹業務のアセットをあまり重要でないアセットよりも詳細に監視するために選択する場合があります ほとんどの場合 アセットクリティカリティも これらのアセットの調査およびアセットに対する攻撃への対応方法に影響を与えます SiteProtector システムによって Asset Properties のアセットにクリティカリティの格付けを割り当てることができます ジオグラフィー構造を使用して 組織の物理的なロケーションに従ってアセットをグループ化します この構造は アセットが位置している都市 州 または大陸に適用される場合があり 組織の別のロケーションからイベントを比較することができます ビジネス機能構造を使用して 重要な情報を扱い機密トラフィックを処理する 販売や経理などの特定の部門に位置するホストを監視します 表 47: グループ化構造の説明 発信元ごとのイベントの関連付け イベント検出の目標の 1 つとして 疑わしいアクティビティーの発信元の解明が挙げられます イベントアナリシスビューでは いくつかの発信元が表示されます 発信元を表示することにより 疑わしいアクティビティーの発信元の検索を絞り込むことができますが 必ずしも発信元に直接つながるとは限りません 発信元表示の例は 次のとおりです インターネットサービスプロバイダー (ISP: Internet Service Provider) に登録されている攻撃者の IP アドレス データストリームで疑わしいアクティビティーが検出された場所 ( 発信元ではない ) を示すエージェントのロケーション 一連のログイン失敗を示すファイアウォールイベント 130 IBM Internet Security Systems

131 Summary ビュー Summary ビュー Summary ビューには 選択したサイトやグループの高レベルの概要が表示されます このビューのデータを使用して サイトやグループイベントの高レベルな監視を実行します Summary ビューとは Summary ビューは [Vulnerability History by Day] [Today's Event Summary by Event Name] など それぞれセキュリティーの状況のスナップショットを表示する 複数のポートレットに分割されます これらのビューの多くは 特定のタイムフレームに基づいています タイムフレームを変更し 例外を含めるには ポートレットの多くに表示されたデータを修正することができます また 大部分のポートレットから直接 SiteProtector システムのデータの発信元に移動できます Summary ビューのポートレット デフォルトでは Summary ビューには 6 つのポートレットが含まれています ただし 最大 16 ポートレットまで追加および削除することができます Summary ビューからのポートレットの追加または削除 Summary ビューからポートレットを追加または削除するには 次の手順に従います 1. [Go to] リストから [Summary] を選択します 2. 次のいずれかを行います ポートレット [Summary] タブ上のタイトルバーを右クリックし ポップアップメニューからポートレットオプションをオンまたはオフにします [Action] を選択し メニューからポートレットオプションをオンまたはオフにします 注記 : 特定のビューで有効なポートレットの隣に チェックマークが表示されます Summary ビューのポートレットの修正 Summary ビューのポートレットに表示されたデータを修正するには : 1. [Go to] リストから [Summary] を選択します 2. ポートレットに表示されたデータの期間を調整するには から番号を選択するか ポートレットの [Number of Days] [Number of Weeks] [Number of Months] または[Agents Active in Days] リストから数字を選択します ポートレットのデータは 選択した新しい期間に基づいて 直ちに更新します 3. ポートレットに表示されたデータに例外イベントを含めるには ポートレット内の [Include Exceptions] チェックボックスをオンにします ポートレット内のデータは直ちに更新され イベント例外を追加します 注記 : [System Health, Site Summary] [Group Summary] [Scan Progress] [Ticket Status] および [Offline / Stopped Agents portlets] に表示されるデータを修正することはできません Summary ビューのポートレットから移動 Summary ビューのポートレットから SiteProtector システムのデータの発信元に移動する印は : 1. [Go to] リストから [Summary] を選択します 2. 次のいずれかを行います ポートレットタイトルをクリックして ポートレット内の全データの詳細ビューを表示します ポートレット内のデータ ( グラフを含む ) をクリックして 特定のデータの詳細ビューを表示します 例 SiteProtector System User Guide for Security Analysts Version 2.0, SP

132 第 7 章 : 疑わしいアクティビティーの検出 [Agent Event History by Day] ポートレットヘッダーをクリックすると 開始日時でフィルタリングされた Event Analysis-Details ビューが表示されます [Agent Event History by Day] ポートレット内のグラフのバーをクリックすると Event Analysis-Details ポートレットでクリックしたデータでフィルタリングされたビューが表示されます 132 IBM Internet Security Systems

133 Event Name ビュー Event Name ビュー Event Analysis - Event Name ビューでは ネットワーク上で検出されたイベントタイプを決定するためや 特定タスクのアナリシスビューをカスタマイズするための有効開始点を表示します イベント検出の初期段階で このビューを使用します Event Name ビューとは Event Name ビューには イベントのタグ名 ステータス (SecurityFusion が有効な場合に最も有用 ) 危険度 イベント総数 および日時が表示されます Event Name ビューの例 図 3 は Event Name ビューの例を示しています SecurityFusion Module からのステータスと組み合わせた場合 Event Name ビューに ネットワークのセキュリティーの正確なスナップショットを表示することができます 図 3: SecurityFusion Module が有効な場合の Event Name ビュー Event Name ビューの表示についてのガイドライン 次のガイドラインを使用して Event Name ビューにイベントを表示します 特定攻撃のフィルタリング特定のエクスプロイトを監視している場合 Event Name ビューに 有効開始点を表示することができます たとえば Microsoft リモートプロシージャーコールと SQL インジェクション攻撃の組み合わせを使用する広範囲にたる攻撃が進行中であることをセキュリティー調査から解明した場合 Event Name ビューをフィルタリングして これらのシグネチャーをトリガーするイベントのみを表示することができます セクション C: Analysis ビューからのアクティビティーのフィルタリング (139 ページ ) を参照してください 危険度またはステータス別のフィルタリング SecurityFusion Module が有効で 脆弱性データが最新の場合 脆弱性の程度や危険度別にビューをソートし もっとも脆弱なイベントまたはもっとも危険なイベントがリストの1 番目 SiteProtector System User Guide for Security Analysts Version 2.0, SP

134 第 7 章 : 疑わしいアクティビティーの検出 に表示されます さらなるアクションを最も必要としそうなイベントが リストの 1 番目に表示されるように このフィルタリングによってビューを並べ替えます ヒント : 同じビューで複数の列をソートする場合 [SHIFT] キーを押しながら列名をクリックします より多くの発信元を関連づけるための Event Name ビューのカスタマイズ Event Name には さまざまなカスタマイズ方法があります [Sensor Name] [SourceIP] および [DestinationIP] 列を [Event Name] ビューに追加し [Event Name] 列ごとにビューをソートすることを検討します [Sensor Name] 列と [SourceIP] 列を使用して イベントを発信元ごとに関連付けます 134 IBM Internet Security Systems

135 Target ビュー Target ビュー Event Analysis - Target ビューでは 疑わしいアクティビティーの対象となりそうなホストを判断するためのよいパースペクティブを表示します 一方 これらのホストは最終的な攻撃対象ではないかもしれないが 攻撃範囲の早期指標となる可能性があります Target ビューとは Target ビューは 疑わしいアクティビティーの対象となる可能性のある IP アドレスおよび DNS 名についての情報を提供するデフォルトアナリシスビューです Target ビューには アクティビティーに関連する発信元ホストおよびタグ名のイベント総数を表示します また 危険度数およびイベントの日時も表示します Target ビューの例 図 4 は Target ビューの例を示しています 図 4: Target ビュー Target ビューの表示についてのガイドライン Target ビューにイベントを表示するときに 次のガイドラインを使用します 外部調査およびスキャン DMZ またはネットワークの外側にあるエージェント ( 例 : 外部ファイアウォールの外側にあるネットワークアプライアンス ) から外部イベントを監視している場合 自動調査およびスキャンからの何百ものイベントを表示し そのイベントの多くは無害である可能性があります このアクティビティーを監視するよう選択した場合 これらのイベントを効率的にフィルタリングできる方法を検討してください Analysis ビューからのアクティビティーのフィルタリング (139 ページ ) を参照してください SiteProtector System User Guide for Security Analysts Version 2.0, SP

136 第 7 章 : 疑わしいアクティビティーの検出 Attacker ビュー Event Analysis - Attacker ビューでは 疑わしいトラフィックが発生したホストを判断するための有効開始点を表示します Attacker ビューを使用して イベントを発信元 IP アドレスと関連付けます Attacker ビューとは Attacker ビューは 疑わしいトラフィックの発信元である IP アドレスおよび DNS 名についての情報を提供するデフォルトアナリシスビューです また 日付 イベント総数 危険度の格付けも表示します デフォルトでは [High] [Medium] および [Low] 列が 危険度別にソートされます Attacker ビューの例 図 5 は Attacker ビューの例を示しています 図 5: Attacker ビュー Attacker ビューでのイベントの表示についてのガイドライン Attacker ビューにイベントを表示するときに 次のガイドラインを使用します IP アドレスを登録する組織を決定する [SourceIP] 列にリストアップされている SourceIP を所有する企業を把握することによって 攻撃者の検索範囲を限定することができます ガイド付き質問 What is the WhoIs record of this IP address? を使用して SourceIP が登録されている IP アドレスを決定します また RIPE ARIN および APNIC などのこの情報のほかのインターネットソースを検討します 発信元を検討する Attacker ビューの [SourceIP] 列にリストアップされている IP アドレスは 必ずしも疑わしいトラフィックの発信元であるとは限りません この IP アドレスは インターネットサービスプロバイダーやほかの機関に登録されている可能性があり トラフィックを送信する IP アドレスは ネットワークアドレス変換 (NAT: Network Address Translation) を使用するファイアウォールの裏側に存在する場合があります その IP アドレスは 内部ホストを使用して ほかの内部ホストを攻撃しようとしている攻撃者に乗っ取られた内部ホストのものである可能性があります 136 IBM Internet Security Systems

137 ガイド付き質問および Event Analysis ビューの使用に関するシナリオ ガイド付き質問および Event Analysis ビューの使用に関するシナリオ ガイド付き質問およびイベントアナリシスビューによって 疑わしいアクティビティーの発信元を関連付けることができます このトピックを参考にして 直面する可能性のある状況をよく理解します 参照 : ガイド付き質問およびイベントアナリシスビューの使用に関する手順については 次のトピックを参照してください デフォルトアナリシスビューの選択 (32 ページ ) ガイド付き質問の選択 (39 ページ ) シナリオ 1 表 48 では アナリストが疑わしいアクティビティーを発見して より具体的な情報を参照するために Event Analysis ビューにアクセスするプロセスについて説明します 段階 説明 1 Event Analysis - Event Name ビューを監視しながら アナリストはイベントの急増を検知します タグ名は 特定のシグネチャーのカテゴリーと関連付けられていないように見えます 2 アナリストは リストの先頭にあるイベントを選択してから What are the sources of this event? を選択します Event Analysis - Attacker ビューが表示され 単一 IP アドレスがこのタグ名と関連するイベントすべての発信元であることがわかります 3 アナリストが Which sensors detected this attacker? を選択すと Event Analysis - Sensor ビューが表示されます Sensor ビューから 攻撃者の IP アドレスから生じるイベントすべては DMZ にあるネットワークアプライアンスによって検出されるということがわかります ネットワーク上のほかのエージェントは この攻撃者からのイベントをレポートしていません 4 アナリストは この攻撃者が ネットワークの DMZ のサーバーをターゲットとしている一連の調査やスキャンを開始していると断定します アナリストは このイベントに対するインシデントを作成し 手動で残存イベントを関連付けることを決定します 表 48: 発信元ごとに関連づけるためのガイド付き質問の使用例 SiteProtector System User Guide for Security Analysts Version 2.0, SP

138 第 7 章 : 疑わしいアクティビティーの検出 138 IBM Internet Security Systems

139 セクション C: Analysis ビューからのアクティビティーのフィルタリング 概要 疑わしいアクティビティーを正常に検知するには Analysis ビューから通常のアクティビティーを除外する必要があります このセクションでは 分析に必要なものに焦点を当てることができるように アクティビティーをフィルタリングするための背景情報や手順を説明します フィルタリングの重要性 フィルタリングは 疑わしいアクティビティーを検出するための重要な部分です 毎日 多数のフィルターを作成する場合があります 通常 この段階で行うフィルタリングは 確認済み攻撃またはセキュリティー侵害されたシステムの調査時に実行するさらに対象を絞ったフィルタリングとは異なります このセクションの内容 このセクションでは次のトピックについて説明します トピック ページ ベースラインの作成 140 インシデントおよび例外の作成 142 SiteProtector System User Guide for Security Analysts Version 2.0, SP

140 第 7 章 : 疑わしいアクティビティーの検出 ベースラインの作成 ベースラインによって Analysis ビューのイベント数が増加 もしくは新規イベントが表示されたかどうかが 一目でわかります たとえば 1 つの IP アドレスもしくはタグ名が イベント数の非常に高い伸び率に関連している場合 さらに詳しく調べることができます 重要 : 一度に 1 つのベースラインビューしか設定できません ベースラインデータは イベント総数に対してのみ表示されます イベント総数行がビューに表示されない場合 ベースラインデータを見ることはできません ベースライン作成についてのガイドライン ベースラインは分析からデータを除外するため ベースラインの作成に関するガイドラインに従う必要があります 自身の環境でのトラフィックをよく理解するネットワークでのトラフィックをよく理解してから ベースラインを有効にしてください ネットワークに対して何が正常かを規定し この状態と現在の状態を比較する必要があります これは 進行中の過程であり 常に注意する必要があります 変更管理プロセスがベースラインに影響を与える方法を理解するネットワークで実施している変更内容が どのようにベースラインに影響しているのかを理解します たとえば ソフトウェアパッチをサーバーグループにインストールした場合 これにより 調査中のイベント数が著しく増加または減少する可能性があります Analysis ビューで変更される項目 ベースラインを作成するときに 次の項目が Analysis ビューで変更されます 項目説明 イベント総数 ステータスバー エージェントが新規イベントを検出した場合 増加は 該当する [event count] 列 (source target tag object) に赤字で表示されます 例 : 241 (+34) 減少の場合 減少数が青字で表示されます ベースラインが有効なときに ベースラインアイコンがステータスバーに表示されます このアイコン上でポインターを移動して Baseline [date and time] 情報を表示します 表 49: ベースライン作成時に Analysis ビューで変更される項目 ベースラインビューの例 図 6 は Event Name ビュー用に作成されたベースラインの例を示しています 増加を示すイベント総数は 括弧内に表示されていることに注意してください 図 6: Event Analysis - Event Name ビュー用に作成されたベースラインの例 140 IBM Internet Security Systems

141 ベースラインの作成 手順 ベースラインを作成するには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Analysis] タブで ベースラインを定義するビューを選択します ヒント : [Event Count] 列が現在のビューに表示されない場合 追加するか その列を含む Analysis ビューを選択します 3. [Action] [Baseline] [Establish] の順に選択します 現在のビューがベースラインビューです 4. イベントの詳細 追加された列やフィルター または選択済みのほかのグループを調査する拡張項目があり ベースラインビューに戻る場合 [Action] [Baseline] [Restore] の順に選択します 5. ビュー全体ではなく 選択した行のイベント総数をリセットする場合 リセットする 1 行または複数行を右クリックし ポップアップメニューから [Reset Selected Values] を選択します SiteProtector System User Guide for Security Analysts Version 2.0, SP

142 第 7 章 : 疑わしいアクティビティーの検出 インシデントおよび例外の作成 インシデントおよび例外は 特定の基準に合うイベントを強調または除外するために使用できるイベントフィルターです このトピックでは 次の作業についてのガイドラインと手順を説明します インシデントおよび例外の作成 インシデントおよび例外の編集 インシデントおよび例外の削除 参照 : 例外を使用して 許可された脆弱性スキャンにより生成されたイベントを除外する方法については スキャンアクティビティーをフィルタリングするための例外の作成 (150 ページ ) を参照してください SecurityFusion 攻撃パターンに関連するインシデントおよび例外を管理する方法については インシデント 例外 および攻撃パターン (192 ページ ) を参照してください インシデントおよび例外を使用するタイミング 表 50 では インシデントおよび例外を使用するタイミングについて説明します 実行内容作成するもの 分析において特定イベントを強調または追跡する 分析から特定イベントを除外する インシデント 例外 表 50: インシデントおよび例外を使用するタイミング インシデントまたは例外に含めることができる情報 SiteProtector システムは 特定のイベントの詳細をインシデントまたは例外と自動的に関連付けます 最初にイベントまたはイベントグループを右クリックして インシデントまたは例外を作成した場合 SiteProtector システムは 該当するイベントの詳細とともに 情報を [New Incident/ Exception] ウィンドウのフィールドに表示します インシデント作成についてのガイドライン 次のインシデント作成に関するガイドラインを使用します 特定のアクティビティーが脅威であることを確認する場合に インシデントをチケットとマージするインシデントを公式調査する必要があると判断した場合に 情報をインシデントからチケットへマージすることを検討します チケットによって アクティビティーを分類および追跡し SiteProtector システムのインシデント追跡システムを使用して所有権を割り当てることができます 例外作成についてのガイドライン 次の例外作成についてのガイドラインを使用します 特定パターンに適合するアクティビティーの例外を作成する例外を使用して 特定パターンに適合するイベントをフィルタリングします 通常 例外では 担当者や担当組織によって実行される今後のアクションが必要となります SecurityFusion Module を設定して 例外として分類されたイベントを無視する SecurityFusion Module では トラフィックを分析するときに システムリソースを必要とします 例外は 明らかに分析の一部ではないため SecurityFusion Module を設定して 例外として分類されたイベントを無視します 重要性がはっきりしないイベントの例外は作成しない 142 IBM Internet Security Systems

143 インシデントおよび例外の作成 重要性がはっきりしないイベントを例外として分類したくなる場合があります 監視しているイベントの重要性がわからない場合 これらのイベントを分類せずに継続して監視し 判断できるまでこれらのイベントを手動で関連付けます インシデントおよび例外の作成 インシデントまたは例外を作成するには 次の手順に従います 1. 次のいずれかを行います インシデントまたは例外の派生元 選択したイベントまたはイベントグループ スクラッチ 作業 Analysis ビューで イベントまたはイベントグループを右クリックし ポップアップメニューから [Incidents/ Exceptions] [New] の順に選択します [ Action] [Incident/Exception] [Manage, ] の順に選択して [Create] をクリックします 注記 : 選択したイベントから派生する例外を作成する場合 同時に 1 つのイベントしか含めることができません [New Incident/Exception] ウィンドウが表示されます 2. 次のオプションのいずれかを選択します Incident Exception 3. SecurityFusion Module が有効で Module にインシデントまたは例外を無視させる場合 [Ignore these events in SecurityFusion attack patterns] チェックボックスをオンにします 4. [Name] ボックスに インシデントまたは例外の名前を入力します 5. ( 任意 ) [Description ] ボックスに インシデントまたは例外に関する役立つ情報を入力します 6. 攻撃パターンに関連するインシデントまたは例外を作成していますか? 作成している場合は 手順 13 に進みます 作成していない場合は 手順 7 に進みます 7. [Start] および [End] 矢印をクリックして 時間を設定し インシデントまたは例外に含めるイベントの開始日と終了日を選択します 注記 : 選択したイベントから派生するインシデントまたは例外を作成している場合 [New Incident/Exception] ウィンドウのフィールドに 該当するイベント情報が表示される場合があります 必要に応じて この情報を編集または削除することができます 8. [Source] セクションで 該当する場合 [Start] および [End] ボックスに IP アドレスを入力します 注記 : IP アドレスが 1 つしかない場合 両方のボックスにその IP アドレスを入力します 9. [Target] セクションで 該当する場合 [Start] および [End] ボックスに IP アドレスを入力します 10. [Tag Name] ボックスに イベント名を入力します 11. [Object Name] ボックスに このイベントに関連付けられたオブジェクトを入力します 12. [Observance Type] リストで 該当するカテゴリーを選択します 13. [OK] をクリックします SiteProtector System User Guide for Security Analysts Version 2.0, SP

144 第 7 章 : 疑わしいアクティビティーの検出 インシデントおよび例外の編集 インシデントまたは例外を編集するには 次の手順に従います 1. [Action] [Incident/Exception] [Manage] の順に選択します 2. [Incidents/Exceptions] エリアで リストに表示するインシデントや例外の種類のチェックボックスをオンにして [Load] をクリックします 3. 編集するインシデントまたは例外を選択し [Edit] をクリックします 4. 必要に応じて 次の項目を編集します Name Description Source IP Address Target IP Address Tag Name Object Name Observance Type 注記 : 攻撃パターンに関連したインシデントまたは例外を編集している場合 [Name] および [Description] ボックスの値のみを変更することができます 5. [OK] をクリックします インシデントおよび例外の削除 インシデントまたは例外を削除するには 次の手順に従います 1. [Action] [Incident/Exception] [Manage] の順に選択します 2. [Incidents/Exceptions] エリアで リストに表示するインシデントや例外の種類のチェックボックスをオンにして [Load] をクリックします 3. [Manage Incident/Exception] ウィンドウで 削除するインシデントまたは例外を選択し [Delete] をクリックします 確認画面が表示されます 4. [Yes] をクリックして インシデントまたは例外を削除します 5. [OK] をクリックします 144 IBM Internet Security Systems

145 第 8 章 疑わしいアクティビティーは深刻ですか? 概要 疑わしいアクティビティーを効果的に検出するには 検出プロセスの早い段階で 深刻でないアクティビティーを除外する必要があります このようにすることで 重要でないイベントをフィルタリングし 深刻な攻撃に焦点を当てることができます この章では 主に 次のアクティビティーによって引き起こされる疑わしいアクティビティーの除外について説明します セキュリティーポリシーに従って 徹底調査またはレスポンスを必要としない 不正アクティビティー 疑わしく思われるが 実際は無害である 許可されたアクティビティーまたは通常のアクティビティー この章の内容 この章では 次のトピックについて説明します トピック ページ 攻撃位置の特定 147 脆弱性スキャンによって発生したアクティビティーの特定 148 攻撃パターンを使用した許可されたスキャンのフィルタリング 149 スキャンアクティビティーをフィルタリングするための例外の作成 150 間違って構成されたシステムによって発生したアクティビティーの特定 151 疑わしいと一般に特定される通常アクティビティーの特定 152 SiteProtector System User Guide for Security Analysts Version 2.0, SP

146 第 8 章 : 疑わしいアクティビティーは深刻ですか? この章で取り上げるタスクのクイックリファレンス 表 51 は この章で取り上げるタスクのクイックリファレンスです この表を使用して 特定の問題に対応するトピック ( 複数可 ) を選択することができます 条件 いつ許可されたスキャンの実行が予定されているかを知っている 追加条件 SecurityFusion Module が無効である 手順 スキャンの実行が予定されるまえに スキャンアクティビティーをコンソールからフィルタリングする例外を作成します スキャンアクティビティーをフィルタリングするための例外の作成 (150 ページ ) を参照してください いつ許可されたスキャンの実行が予定されているかを知らないが Internet Scanner のスキャンが実行中であると思っている SecurityFusion Module が有効である SecurityFusion Module が無効である Internet Scanner インシデントを Event Analysis - Incident ビューで表示します 攻撃パターンを使用した許可されたスキャンのフィルタリング (149 ページ ) を参照してください イベントの詳細を分析することで 許可されたスキャンを特定し アクティビティーをコンソールからフィルタリングする例外を作成します 次のトピックを参照してください 脆弱性スキャンによって発生したアクティビティーの特定 ] (148 ページ ) スキャンアクティビティーをフィルタリングするための例外の作成 ] (150 ページ ) いつ許可されたスキャンの実行が予定されているかを知らないが サードパーティのスキャンが実行中であると思っている アクティビティーが 間違って構成されたシステムによって発生したと思っている アクティビティーが 疑わしいと一般的に特定された許可されたアクティビティーによって発生したと思っている イベントの詳細を分析することで 許可されたスキャンを特定し アクティビティーをコンソールからフィルタリングする例外を作成します 次のトピックを参照してください 脆弱性スキャンによって発生したアクティビティーの特定 ] (148 ページ ) スキャンアクティビティーをフィルタリングするための例外の作成 ] (150 ページ ) 間違って構成されたシステムによって発生したアクティビティーの特定 ] (151 ページ ) を参照してください 疑わしいと一般に特定される通常アクティビティーの特定 ] (152 ページ ) を参照してください 表 51: この章の情報の使用方法 146 IBM Internet Security Systems

147 攻撃位置の特定 攻撃位置の特定 攻撃位置は 攻撃の深刻さを判断するときに検討する必要のある重要事項です インターネットファイアウォールでの疑わしいアクティビティーは Accounting ファイルサーバーへのアクセス権を持っている攻撃者よりも深刻ではありません このトピックでは Event Analysis -Agent ビューを使用した攻撃位置の特定の手順について説明します 攻撃位置の重要性 アクティビティーを検出したセンサーの位置から 攻撃が近いことがわかります 通常 ネットワークの外側で検出した疑わしいアクティビティーが あまりにも頻発するため 正常に監視することができません たとえば 内部ネットワークにあるエージェントによって検出されたイベントは ファイアウォールの外側にあるエージェントによって検出されたイベントよりも注意する必要があります Event Analysis ñ Agent ビューの分析 攻撃位置を判断するのに最適な方法は Event Analysis - Agent ビューを使用することです 特定イベントの Event Analysis - Agent ビューを分析するには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Event Analysis - Event Name] ビューを選択します 3. 調査しているイベントを右クリックし メニューから Which agents detected this event? を選択します 注記 : この質問は Event Name ビューに限定されるものではありません このガイド付き質問は Event Analysis - Agent ビューを除くすべての Event Analysis ビューで使用可能です 4. [Agent IP] および [DNS Name] 列を表示し ネットワーク上のエージェントの位置を判断します 注記 : このイベントを検出したエージェントが ネットワークの外側 DMZ または脆弱でないと判断した位置にある場合 このアクティビティーの監視および追跡に向けられた時間と労力を制限することを検討します 参照 : また ガイド付き質問を使用して 脆弱性イベントについて問い合わせることもできます 詳細については ガイド付き質問の選択 ](39 ページ ) を参照してください SiteProtector System User Guide for Security Analysts Version 2.0, SP

148 第 8 章 : 疑わしいアクティビティーは深刻ですか? 脆弱性スキャンによって発生したアクティビティーの特定 ネットワーク上で実行中または実行する予定の脆弱性スキャンに関する重要な情報は 影響を受けた領域に タイムリーに伝達されない可能性があります 脆弱性スキャンがネットワーク上で実行中だと知っている またはそう思っている場合 このトピックの情報を使用することにより このアクティビティーを特定することができます コミュニケーションおよび計画の重要性 コミュニケーションおよび計画は 予想外の脆弱性スキャンによって発生した誤報を回避する手助けをするのに重要です スキャンが意外な結果とならないように ネットワーク上で脆弱性スキャンを実行する担当者との緊密なコミュニケーションを維持します 不正脆弱性スキャン 脆弱性スキャンは 攻撃者が行うのと同様の方法でホストを調査するため 許可された脆弱性スキャンと攻撃者によって開始されたスキャンをいつも区別できるとは限りません 脆弱性スキャンが許可されていることを確認できない場合 攻撃であると考えられます コンソールでのスキャンを特定するためのガイドライン 次のうちの 1 つ以上を監視する場合 脆弱性スキャンは進行中である可能性があります 注記 : 許可されたスキャンアクティビティーが攻撃アクティビティーと非常によく似ているため これらのガイドラインを使用するときに注意します 1 つの発信元および多数のターゲットホストに関連する過剰な数のイベント 機能分野または部門などの論理的内部パターンによって進歩するアクティビティー 短期間に広範囲のシグネチャーをトリガーするアクティビティー 148 IBM Internet Security Systems

149 攻撃パターンを使用した許可されたスキャンのフンのフィルタリング 攻撃パターンを使用した許可されたスキャンのフィルタリング 許可された脆弱性スキャンでは 短い期間内で大量の疑わしいトラフィックを生成することができます 通常 このトラフィックは 攻撃でなく疑わしいと正確に特定されます このトピックでは Internet_Scanner_Scan 攻撃パターンを使用して 許可された脆弱性スキャンを特定するための背景情報およびガイドラインについて説明します 重要 : SecurityFusion Module を有効にしてから Internet_Scanner_Scan 攻撃パターンを使用してください 詳細については SecurityFusion Module での影響の分析 ](49 ページ ) を参照してください Internet_Scanner_Sca n 攻撃パターンの機能 Internet_Scanner_Scan 攻撃パターンは ホストから Internet Scanner のスキャンの開始を特定し 1 つ以上のターゲットホストに対して同じ発信元ホストがトリガーしたイベントがその後に続きます 適切に設定されたエージェントとアプライアンスは スキャンを実行中のネットワークを監視しているときに この攻撃パターンをトリガーすることができます デフォルト設定で Internet_Scanner_Scan 攻撃パターンは このパターンと一致するイベントのインシデントを自動的に作成し それに応じてイベントをフィルタリングし続けます Internet_Scanner_Sca n 攻撃パターンの例 図 7 は Event Analysis - Incidents ビューでの 2 つの Internet_Scanner_Scan 攻撃パターンを示しています これらのインシデントは SecurityFusion Module が有効な場合にのみ表示されます 1 つの発信元の総数 ( スキャンホスト ) および 2 つのターゲットの総数 ( スキャンされているホスト ) に関連する大規模イベントの総数に注意してください 図 7: Event Analysis - Incidents ビューでの Internet_Scanner_Scan 攻撃パターンの例 Internet_Scanner_Sca n 攻撃パターンの使用に関するガイドライン 次のガイドラインを使用して Internet_Scanner_Scan 攻撃パターンを分析します 攻撃者はスキャナーを使用して 調査を実行し さらに攻撃を開始するため 不正ユーザーが Internet Scanner を使用してこれらのタイプのスキャンを実行しないことを確認する スキャンホストとターゲットホストが いつも一対一で対応するわけではないため SecurityFusion Module は 1 回のスキャンに対して 1 つ以上のインシデントを作成する可能性があります 反対に 複数のスキャンに対して 1 つのインシデントを作成する可能性もあります 重要 : SecurityFusion Module がホストを正しくペアにしていないと思われる場合 スキャンホストとターゲットホストを手動で関連付ける必要があります SiteProtector System User Guide for Security Analysts Version 2.0, SP

150 第 8 章 : 疑わしいアクティビティーは深刻ですか? スキャンアクティビティーをフィルタリングするための例外の作成 脆弱性スキャンが実行している またはネットワーク上で実行する予定であるとわかっている場合 このトラフィックをコンソールからフィルタリングするための例外を作成することを検討します このトピックのガイドラインと手順を使用することで スキャンアクティビティーをフィルタリングするための例外を作成することができます スキャンをフィルタリングするタイミング 次の状況での脆弱性スキャンの例外の作成を検討します 組織内の誰かが ネットワークのスキャンに Internet Scanner ではなく サードパーティー製スキャンツールを使用している SecurityFusion Module が無効である 重要 : 例外は 全体的ではなく 例外を作成するコンソールにのみ適用されます 例外作成に関するガイドライン 次のガイドラインを使用して スキャンアクティビティーをフィルタリングするための基準を指定します スキャンと関連していないアクティビティーをフィルタリングしないように スキャンに特有の基準を使用する 疑わしい場合は フィルタリングするアクティビティーの範囲を拡張するよりも縮小する スキャンの対象アドレスを内部ネットワークの IP アドレスに制限する 手順 コンソールからスキャンをフィルタリングするための例外を作成するには 次の手順に従います 1. インシデントおよび例外の作成 ] (142 ページ ) の手順を実行します 2. 次の表を参考に [New Incidents/Exceptions] ウィンドウの情報を指定します フィールド Start End 説明スキャンの開始予定日時を指定します スキャンの終了予定日時を指定します Source IP スキャンホストの IP アドレスを指定します これは スキャンエージェントがインストールされたホストです Target IP スキャンする予定の IP アドレス範囲を指定します 注記 : [Source IP] フィールドで スキャンエージェントを指定した場合 この例外の [Target IP] を指定する必要がない場合があります 150 IBM Internet Security Systems

151 間違って構成されたシステムによって発生したアクティビティーの特定 間違って構成されたシステムによって発生したアクティビティーの特定 システムを間違って構成することによって 誤動作を引き起こし 検出および修正が難しいこともある脆弱性を取り込みます 設定ミスが単純な間違いか悪意のあるものなのか 必ずしも明確ではありません 間違って構成されたシステムに関する情報を使用すると ネットワークの問題をトラブルシュートし 危険性のある脆弱性を特定することができます 間違って構成されたシステム システムは 従業員の誤用によって または不完全な設計のため 偶然間違って設定された可能性があります 攻撃者は 間違って構成されたシステムを悪用して アクセス権を取得することもあります 次のことにより ネットワークで間違った設定してしまう可能性があります 新規またはアップデートされたソフトウェアやハードウェア 互換性のないソフトウェアやハードウェア 従業員によって偶然に間違って構成されたシステム 正当なメンテナンスの理由で作成されたバックドア注記 : 攻撃者がシステムを間違って設定し アクセス権を取得または害を及ぼす場合 これは 間違って構成されたシステムではなく攻撃と見なされ 調査する必要があります 間違って構成されたシステムによって発生するイベントの例 間違って構成されたシステムによって 対応するシグネチャーがポリシーで有効な場合 特定のイベントがトリガーされる可能性があります 次の例を参考にして 間違って構成されたシステムを特定します サブネットマスク正当なホストは などのブロードキャストアドレスに通常使用される IP アドレス上に存在する可能性もあります これらのホストは サービス不能攻撃や Smurf 攻撃のような ブロードキャストアドレスを使用するエクスプロイトを特定するイベントをトリガーする可能性もあります SMB 認証および共有イベントこれらのイベントは データをほかのホストと自由に共有する またはパスワードを要求せずに認証したり 脆弱なパスワードや簡単に推測できるパスワードを要求して認証するホストによって発生します ベストプラクティスではないが 内部ホストがこの方法を伝達することを許可するホストもあります このアクティビティーは Smb_empty_password や Smb_guessable_password イベントのような 脆弱または規制に従っていない ホスト対ホストの通信を検知するイベントをトリガーする可能性があります 表 52 (152 ページ ) を参照してください ルーティングエラー 管理者が Unix オペレーティングシステムを実行しているホスト上ではデフォルトで有効な IP ルーティングを無効にし忘れることがあります ほとんどの場合 これらのホストは 通常適切に設定されていないため 非常に多くのパケットをドロップする可能性があります SiteProtector System User Guide for Security Analysts Version 2.0, SP

152 第 8 章 : 疑わしいアクティビティーは深刻ですか? 疑わしいと一般に特定される通常アクティビティーの特定 エージェントおよびアプライアンスポリシーには 高危険度から低危険度までのアクティビティーすべてを特定する何百ものチェックが含まれています 疑わしいアクティビティーの検出時の最大の難問は 疑わしいと特定される通常アクティビティーのフィルタリングです このトピックでは このアクティビティーをコンソールからフィルタリングするのに役立つ情報について説明します 通常のアクティビティーが疑わしいと特定される理由 特定の事前定義済みしきい値を超えた場合 トラフィックが使用するプロトコルが脆弱だと見なされた場合 または監査目的で主に使用されるイベントをトリガーした場合に 通常のアクティビティーは 一般的に疑わしいと特定されます 通常のトラフィックは 一般的に不正な形式ではないですが セキュリティーポリシーによって禁止されているか ネットワークで実行しているシステムと互換性がない可能性があります 一般的に 通常のトラフィックは 次のカテゴリーに分類されます 監査イベント False Positive 通常疑わしいと特定されるイベント 表 52 は 通常疑わしいと特定されるイベントを一覧にしたものです 重要 : この情報は 変更されることがあります Events DHCP a ftp_* http_* Lanman_share_enum netbios_session* Nnntp_* 説明 DHCP プロトコルは IP アドレスをネットワーク上のホストに動的に割り当てます このプロトコルが環境において有効な場合 このトラフィックはおそらく正当なトラフィックです 管理者は FTP プロトコルを使用して ネットワークデバイス間でデータをやり取りします このトラフィックは セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです HTTP プロトコルは インターネットトラフィックが許可されたネットワークに 広範囲にわたって存在します これは セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです ただし 技術研究所などのインターネットトラフィックが拒否される特定のサブネットがある場合 HTTP トラフィックを監視する必要があります このイベントは 指定したターゲット上の割り当てを列挙しようとしているホストを特定します セキュリティーポリシーが ネットワーク上のホスト間の列挙を許可している場合 このトラフィックはおそらく正当なトラフィックです NetBIOS によって 異なるコンピューター上のアプリケーションが ローカルエリアネットワーク内で通信できるようになります この下位層プロトコルは Windows オペレーティングシステムを使用するほとんどすべてのデバイスで使用されています NNNTP は ユーザーが Usenet メッセージを通知 配布 読むことができるようになるプロトコルです このトラフィックは セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです 表 52: 事前定義済みしきい値を超える正当なトラフィックに 通常フラグを立てるイベント 152 IBM Internet Security Systems

153 疑わしいと一般に特定される通常アクティビティーの特定 Events Ospf_* 説明 OSPF は ルーターがほかのルーターと通信するために使用するルーティングプロトコルです ネットワーク上のルーターがこのプロトコルを使用するよう設定されている場合 このトラフィックは おそらく正当なトラフィックです Smb_* SMB は ホストが情報をほかのホストと共有しアクセスできる ホスト対ホストの通信プロトコルです 攻撃者は 再開するためにこのプロトコルを使用することができますが セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです Snmp_community Snmp_activity Tcp_probe_xwindows SNMP は 管理者がネットワークデバイスをリモートで監視しトラブルシュートできる ネットワーク管理プロトコルです このトラフィックは セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです X Windows System は デバイスが分散環境で通信できる これまでの Windows にインストールされているグラフィカルインターフェースプロトコルです このトラフィックは セキュリティーポリシーによって許可された場合 おそらく正当なトラフィックです 表 52: 事前定義済みしきい値を超える正当なトラフィックに 通常フラグを立てるイベント a. これらのイベントは 特定カテゴリーのシグネチャーにおけるすべてのイベントを参照します SiteProtector System User Guide for Security Analysts Version 2.0, SP

154 第 8 章 : 疑わしいアクティビティーは深刻ですか? 154 IBM Internet Security Systems

155 第 9 章 攻撃は脅威ですか? 概要 疑わしいアクティビティーが攻撃であると判断してから アクティビティーがネットワークに対して脅威であるかどうか決定する必要があります この章では SecurityFusion Module およびその他の SiteProtector システムツールを使用して 攻撃が脅威であるかどうかを評価するための情報について説明します SecurityFusion Module とほかの SiteProtector システムツールとの組み合わせ SecurityFusion Module 情報は 必ずしも確実なものではないですが 攻撃に関する大量のデータを提供することができます SecurityFusion Module の状況と SiteProtector システムアナリシスビューに表示されるほかの情報とを組み合わせることを検討します このセクションの内容 この章では 次のトピックについて説明します セクション ページ セクション A: SecurityFusion Module を使用した攻撃の評価 157 セクション B: 手動による攻撃の評価 163 SiteProtector System User Guide for Security Analysts Version 2.0, SP

156 第 9 章 : 攻撃は脅威ですか? 156 IBM Internet Security Systems

157 セクション A: SecurityFusion Module を使用した攻撃の評価 概要 イベントの SecurityFusion ステータスは 攻撃が深刻な脅威をもたらすかどうかを決定する上で 重要な要因となります これは 別の方法で手動で収集する必要のあった 調査の重要な範囲のいくつかに関する情報を提供することができるためです 影響の分析 SecurityFusion Module は 影響分析と呼ばれるプロセスを使用して 1 つのイベントからの攻撃が成功したかどうかを判断します 不正侵入検知センサーが攻撃を検出するときに モジュールは 攻撃をホストに関する情報 ( オペレーティングシステム 脆弱性 ホストエージェントが取る対応など ) と関連付け 攻撃の成功または失敗を判断します モジュールは 影響の分析の結果を SiteProtector システムに表示されるステータスとしてレポートします このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ 攻撃ステータスの表示 158 SiteProtector System User Guide for Security Analysts Version 2.0, SP

158 第 9 章 : 攻撃は脅威ですか? 攻撃ステータスの表示 攻撃ステータスには 攻撃に関する有益な情報を表示します このトピックでは SiteProtector システムでの攻撃ステータスの表示に関する情報を説明します 影響の分析を提供するエージェントとアプライアンス 特定のエージェントのみが 影響の分析情報を SiteProtector システムに提供します 次のエージェントおよびアプライアンスは 攻撃ステータスを SiteProtector システムに提供するよう設定されている可能性があります Network Multi-Function Security アプライアンス Network Intrusion Prevention アプライアンス Server Sensor 攻撃ステータス 相関イベントのステータスは 攻撃またはその他セキュリティーイベントの影響を表しています これらのステータスは [Status] [Reason] および [Description] 列が有効な場合に [Analysis] ビューに表示されます SecurityFusion Module は 脆弱性評価データおよびターゲットホストに関するほかのホスト情報とイベントを関連づけることによって 影響を引き出します 次の表では 優先度が高いものから低いものまでの不正侵入検知イベントに対する 脆弱性ステータスについて説明します ステータス Attack Successful 理由 Confirmed by agent 説明 イベントを検出したエージェントは 攻撃が成功したと判断しました File accessed イベントを検出したエージェントは ターゲットホスト上のファイルがアクセスされたと判断しました Successful attack likely Vulnerable 脆弱性評価スキャンは ホストがこの攻撃に対して脆弱であるため 攻撃に成功したと示しています 表 53: 不正侵入検知イベントのステータス 158 IBM Internet Security Systems

159 攻撃ステータスの表示 ステータス 理由 説明 Attack detected No correlation イベントの影響は ホストデータ ( 脆弱性またはオペレーティングシステム ) がこのイベントに対応していないため不明です これらのイベントは login successful のような監査イベント センサーからのステータスイベント またはほとんどの場合 SecurityFusion が関連付けていないイベントである可能性があります SecurityFusion not configured for this host SecurityFusion Module は このサイトまたはこのホストに対して無効です SecurityFusion not licensed 発信元ホストも宛先ホストも SecurityFusion 相関に対してライセンスが与えられていません Vuln not scanned recently 次のいずれかの理由によって 脆弱性またはほかのホストデータを攻撃の影響を判断するために使用することができません このステータスは No correlation または Not scanned recently などのほかの適用可能なステータスに優先する ホストが 一度もスキャンされていない ホストのスキャンデータが ユーザー定義の有効期限を過ぎている OS check indeterminate 攻撃の影響は 脆弱性評価スキャンがターゲットのオペレーティングシステムを判断できないため不明です Simulated block response not enabled Block response not enabled 模擬ブロックレスポンスは この攻撃を検出したエージェントに設定されていません ブロックレスポンスは この攻撃を検出したエージェントに設定されていません 表 53: 不正侵入検知イベントのステータス ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

160 第 9 章 : 攻撃は脅威ですか? ステータス Vulnerable 理由 Attack will be detected and prevented Attack will be detected and partly blocked Attack will be detected Attack will not be detected 説明 スキャンエージェントは ターゲットホストが脆弱だと判断しましたが このトラフィックを監視するよう設定したエージェントは この脆弱性を悪用する攻撃をブロックします スキャンエージェントは ターゲットホストが脆弱だと判断しましたが このトラフィックを監視するよう設定したエージェントは この脆弱性を悪用する攻撃を部分的にブロックします スキャンエージェントは ターゲットホストが脆弱だと判断しましたが このトラフィックを監視するよう設定したエージェントは この脆弱性を悪用する攻撃を検出します スキャンエージェントは ターゲットホストが脆弱だと判断しましたが このトラフィックを監視するよう設定したエージェントは この脆弱性を悪用する攻撃を検出しません Not Vulnerable Not applicable エージェントは ホストが攻撃に対して脆弱 でないと判断しました Vuln check indeterminate Not applicable 脆弱性ステータスは ターゲットホストが脆弱かどうか 脆弱性評価スキャンが判断できないため不明です Failure possible Scanned, vuln not confirmed Internet Scanner は ターゲットに対して 相関脆弱性チェックを実施しましたが ターゲットは脆弱性があるかどうか確認していません 表 53: 不正侵入検知イベントのステータス ( 続き ) 160 IBM Internet Security Systems

161 攻撃ステータスの表示 ステータス 理由 説明 Attack failure No vulnerability 脆弱性評価スキャンは ホストがこの攻撃に 対して脆弱でないと示しているため 攻撃は おそらく失敗しました Failed attack Simulated block Rolled-back change Wrong OS Connection reset Process terminated File not accessed Port not open Blocked at host Dynamically blocked at host Blocked by Proventia appliance Attacker quarantined by Proventia appliance Proventia appliance in simulation mode Protection not enabled センサーは レジストリーキー または共有のような保護されたシステムオブジェクトに対する不正な変更を検出し 以前の状況にオブジェクトを戻しました ホストは この攻撃に対して影響を受けにくいオペレーティングシステムを実行しています エージェントまたはファイアウォールは 攻撃者の接続をリセットします ターゲットプロセスまたはサービスは終了しました 攻撃者は ターゲットホストのファイルにアクセスすることができませんでした ターゲットポートは ターゲットホストまたはファイアウォール上で開きませんでした ホストを保護しているセンサーまたはエージェントが攻撃をブロックしたため 攻撃が失敗しました ホストを保護しているエージェントが動的に攻撃をブロックしたため 攻撃が失敗しました インラインプロテクションモードでホストを保護しているアプライアンスが 攻撃をブロックしたため 攻撃が失敗しました ホストを保護しているアプライアンスが攻撃を検疫したため 攻撃が失敗しました アプライアンスがシミュレーションモードだったため アプライアンスは攻撃をブロックしませんでした アプライアンスは プロテクションモードの場合に 攻撃をブロックします プロテクションがアプライアンス上で有効でないため アプライアンスは攻撃をブロックしませんでした 表 53: 不正侵入検知イベントのステータス ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

162 第 9 章 : 攻撃は脅威ですか? ステータス 理由 説明 Not Compliant Application access blocked ネットワークにアクセスしようとしているホストが準拠せず ホストがアプリケーションへのアクセスをブロックされたと エージェントは判断しました Corporate access blocked Network access blocked ネットワークにアクセスしようとしているホストが準拠せず ホストが企業ネットワークへのアクセスをブロックされたと エージェントは判断しました ネットワークにアクセスしようとしているホストが準拠せず ホストがネットワークへのアクセスをブロックされたと エージェントは判断しました 表 53: 不正侵入検知イベントのステータス ( 続き ) 手順 エージェントまたはエージェントグループの攻撃ステータスを表示するには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Status] 列を含む [Event Analysis] ビューを開きます 3. アセットのグループに対するイベントを表示し 次の作業を行います 検索対象 成功しそうな攻撃 成功する可能性のある攻撃 失敗した攻撃および失敗しそうな攻撃 相関を防止する問題 Status 列で検索するステータス Success likely (target vulnerable) Unknown impact (SecurityFusion not licensed) Failure possible (scanned, vuln not confirmed) Unknown impact (no correlation) Unknown impact (OS check indeterminate) Failed attack (blocked at host) Failed attack (blocked by Proventia appliance) Failure likely (no vulnerability) Failure likely (rolled-back change) Failure likely (wrong OS) Unknown impact (SecurityFusion not enabled) Unknown impact (not scanned recently) 162 IBM Internet Security Systems

163 セクション B: 手動による攻撃の評価 概要 SecurityFusion Module が無効 またはモジュールによって提供された影響分析データが確実でない場合 ほかの分析ツールを使用して 攻撃の脅威レベルを評価することができます このセクションを参考にして ほかの SiteProtector システム分析ツールを使用し 攻撃が脅威であるかどうかを判断することができます このセクションの内容 このセクションでは 次のトピックについて説明します トピック ページ 攻撃の X-Force 危険度の決定 164 攻撃対象は脆弱でしたか? 166 ターゲットサービスまたはオペレーティングシステムが影響を受けやすいですか? 169 SiteProtector System User Guide for Security Analysts Version 2.0, SP

164 第 9 章 : 攻撃は脅威ですか? 攻撃の X-Force 危険度の決定 X-Force 危険度により イベントの詳細を分析せずに 素早く攻撃の危険度を判断することができます X-Force 危険度を使用して 攻撃が脅威かどうか判断することができます コンソールでの X-Force 危険度の表示方法 X-Force では コンソールに表示される各イベントの危険度を提供しています 危険度 (High Medium Low) が 次のとおり アナリシスビューの [Severity] 列に表示されます 図 8: コンソールでの X-Force 危険度の表示 X-Force 危険度 X-Force は 危険度を割り当てて セキュリティー問題によって発生する可能性のある損害の程度について説明します 考えられる危険度は 次のとおりです 危険度 High ( 高 ) Medium ( 中 ) 説明 リモートやローカルの即時アクセス または不正な権限を使用したコードやコマンドの即時実行を許可するセキュリティー問題 例として ほとんどのバッファオーバーフロー バックドア デフォルトパスワードやパスワードなし ファイアウォールやほかのネットワークコンポーネントでのセキュリティーの回避などが挙げられます 複雑または冗長なエクスプロイトプロシージャによってアクセス権を付与したり コード実行を許可したりする可能性のあるセキュリティー問題 または主要なインターネットコンポーネントに適用される低危険度の問題 例として クロスサイトスクリプティング man-in-the-middle 攻撃 SQL インジェクション 主要アプリケーションのサービス不能 サービス不能によるシステム情報の公開 ( コアファイルなど ) が挙げられます 表 54: X-Force 危険度の説明 164 IBM Internet Security Systems

165 攻撃の X-Force 危険度の決定 危険度 Low ( 低 ) 説明 サービスを拒否したり ターゲットに対する構造化された攻撃を構築するのに使われる可能性のあるシステム以外の情報を提供したりするが 直接的には不正アクセスに結びつかないセキュリティー問題 例として ブルートフォース攻撃 システム以外の情報 ( 構成 パスなど ) の公開 サービス不能攻撃が挙げられます 表 54: X-Force 危険度の説明 ( 続き ) SiteProtector System User Guide for Security Analysts Version 2.0, SP

166 第 9 章 : 攻撃は脅威ですか? 攻撃対象は脆弱でしたか? ターゲットホストが脆弱でない場合 攻撃はおそらく脅威ではありません このトピックでの情報を参考にして ターゲットホストが脆弱かどうかを判断することができます ターゲットが脆弱かどうかを判断するためのガイドライン 次のガイドラインを使用して 攻撃を受けたホストをスキャンします 攻撃者が使用している特定のエクスプロイトがわかっていて このエクスプロイトを実行することができる場合 コンソールコンピューターからエクスプロイトを実行する 攻撃者が使用している特定のエクスプロイトがわからない場合 次のチェックが有効な Internet Scanner または Enterprise Scanner ポリシーを使用してホストをスキャンする Windows:DCOM LSASS ASN およびヌルセッション Unix: ルーターソフトウェアのデフォルトのコミュニティー文字列 オープン NFS マウント および一般的なバッファオーバーフロー 攻撃者が使用している特定のエクスプロイトがわかっている場合 攻撃者が使用しているエクスプロイトに対応するチェック ( 複数可 ) のみと Internet Scanner または Enterprise Scanner ポリシーを使用してスキャンする Internet Scanner または Enterprise Scanner L5 ポリシーが適用されたターゲットホストの前回のスキャンデータを検索する 攻撃対象に対する Internet Scanner を使用したスキャンの実行 Internet Scanner を使用して 特定エクスプロイトの攻撃対象に対する脆弱性スキャンを実行するには 次の手順に従います 1. [Go to] リストから [Asset] を選択します 2. アセットを右クリックし ポップアップメニューから [Scan] を選択します [Remote Scan] ウィンドウが表示されます 3. [Internet Scanner] を選択します 4. 使用するスキャナーを [Agent Name] リストから選択します 5. 左ウィンドウ枠で [Scan Policy] アイコンを選択します 6. 攻撃者が使用しているエクスプロイトがわかっていますか? わかっている場合 右ウィンドウ枠のリストから空白のポリシーを右クリックし ポップアップメニューから [Derive from new] を選択して手順 7 に進みます わかっていない場合 [Policy] ボックスで使用する Internet Scanner ポリシーを選択し 手順 9 に進みます 7. [Derive New] ウィンドウに 新しいポリシーの名前を入力します 選択したポリシーが ポリシーエディターで開きます 8. エクスプロイトに対応するチェック ( 複数可 ) を選択し ポリシーを保存します 9. 左ウィンドウ枠で [Scan Session] アイコンを選択してから このスキャンで使用するセッションを右ウィンドウ枠のリストから選択します 10. [OK] をクリックします 11. スキャンが完了したら [Asset] ビューでホストを右クリックし メニューから [What are the known vulnerabilities] を選択します ホストで検出された脆弱性が [Vuln Analysis - Vuln Name] ビューに表示されます 166 IBM Internet Security Systems

167 攻撃対象は脆弱でしたか? Enterprise Scanner を使用したアドホックアセスメントスキャンの実行 Enterprise Scanner を使用してアセットのグループ全体 または 1 つ以上の選択したアセットのアドホックアセスメントスキャンを実行するには 1. [Go to] リストから [Asset] を選択します 2. 次のいずれかを行います 左ウィンドウ枠で グループを選択します 右ウィンドウ枠で アセットを 1 つ以上選択します 3. スキャンするグループまたはアセットを右クリックして [Scan] を選択します [Remote Scan] ウィンドウが表示されます 4. [Enterprise Scanner] を選択します 5. [Adhoc Scan Control] アイコンをクリックします 6. [Ad hoc Assessment] セクションで [Perform one-time assessment scan of this group] チェックボックスをオンにします 7. [Command Jobs] ウィンドウに表示された場合にジョブを識別するための名前を [Job name] に入力します 8. スケジューリング済みのスキャン期間に限ってスキャンを実行する場合は [Run only during open discovery windows] チェックボックスをオンにします 9. 左ウィンドウ枠で [Assessment] をクリックします 10. バックグラウンドアセスメントポリシーの設定と同じ方法で ポリシーを設定します 11. [OK] をクリックします アドホックアセスメントスキャンが [Command Jobs] ウィンドウに表示されます Enterprise Scanner を使用してアドホックディスカバリースキャンを実行 ネットワーク上で実行しているデバイスを検出するために IP アドレス範囲を使用する Enterprise Scanner からワンタイムアドホックディスカバリースキャンを実行するには : 1. SiteProtector のナビゲーションウィンドウ枠で ポリシービュー以外のビューでタブを設定します 2. サイトを展開して スキャン対象グループを表示します 3. スキャンするグループを右クリックして [Scan] を選択します [Remote Scan] ウィンドウが表示されます 4. [Enterprise Scanner] を選択します 5. [Ad hoc Assessment] セクションで [Perform one-time assessment scan of this group] チェックボックスをオンにします 6. [Command Jobs] ウィンドウに表示された場合にジョブを識別するための名前を [Job name] に入力します 7. スケジューリング済みのスキャン期間に限ってスキャンを実行する場合は [Run only during open discovery windows] チェックボックスをオンにします 8. 左ウィンドウ枠で [Discovery] をクリックします 9. [IP range(s) to scan] ボックスに スキャン対象の IP アドレス範囲 ( 単数または複数 ) を入力します 10. 除外するアセットの IP アドレス ( ドット付き 10 進法または CIDR 表記 ) を [IP range(s) to scan] ボックスに入力します IP アドレスを入力し [ENTER] キーを押します IP アドレス範囲を入力し [ENTER] キーを押します 例 : SiteProtector System User Guide for Security Analysts Version 2.0, SP

168 第 9 章 : 攻撃は脅威ですか? 一連の個別 IP アドレスおよび / またはカンマ区切りのアドレス範囲を入力します 注記 : データが検証されるまでの間 [IP range(s) to scan] ボックスのあたりに赤いボックスが表示されます 11. スキャンの定義を行ったグループに新しく検出されたアセットを追加するには (Ungrouped Assets グループに追加するのではなく ) [Add newly discovered assets to group] チェックボックスをオンにします 12. [OK] をクリックします アドホックアセスメントスキャンが [Command Jobs] ウィンドウに表示されます 168 IBM Internet Security Systems

169 ターゲットサービスまたはオペレーティングシステムが影響を受けやすいですか? ターゲットサービスまたはオペレーティングシステムが影響を受けやすいですか? 不正アクティビティーが悪意のあるものであっても 悪用しようとしている対象オペレーティングシステムは 影響を受けにくい可能性があります アセットが影響を受けやすいかどうかを判断することができるように このトピックの情報を使用して エクスプロイトと対象アセットに関するセキュリティー情報を表示することができます タスクの概要 このトピックでは 次のタスクについて説明します タスク 説明 1 イベントに関するセキュリティー情報へアクセスする 2 ターゲットホスト上で実行しているオペレーティングシステムを判断する 3 攻撃の対象であるサービスを判断する 表 55: タスクの概要 サービスやオペレーティングシステムに関する情報 脆弱性データの完全性により ターゲットに関する情報がどのくらい正確で詳細かを判断することができます たとえば ホストまたはオペレーティングシステムバージョン上で実行しているサービスに関する詳細情報は この情報をチェックするポリシーを使用してターゲットがスキャンされた場合 使用できない可能性があります 注記 : ターゲットホストが最近スキャンされていない場合 ターゲットに対してアドホックスキャンを実行するよう検討してください 攻撃対象は脆弱でしたか? (166 ページ ) を参照してください オペレーティングシステムの影響の受けやすさ 図 9 は Sun RPC rwall メッセージオーバーフローのセキュリティー情報を示しています Unix が [Systems affected] の下にリストアップされている唯一のオペレーティングシステムであることに注意してください Windows のホストは このエクスプロイトによって攻撃を受ける可能性はありません SiteProtector System User Guide for Security Analysts Version 2.0, SP

170 第 9 章 : 攻撃は脅威ですか? 図 9: Unix オペレーティングシステムのみに影響を与えるエクスプロイトの例 サービスの影響の受けやすさ 図 10 は PeopleSoft Iclient サーブレットのセキュリティー情報を示しています PeopleSoft が このエクスプロイトによって影響を受ける唯一のサービスであることに注意してください 170 IBM Internet Security Systems

171 ターゲットサービスまたはオペレーティングシステムが影響を受けやすいですか? 図 10: PeopleSoft サービスのみに影響を与えるエクスプロイトの例 イベントに関するセキュリティー情報へのアクセス イベントに関するセキュリティー情報へアクセスするには 次の手順に従います [Event Analysis] ビューで イベントを右クリックし ポップアップメニューから [Open Event Details] を選択します 選択したイベントのセキュリティー情報が 右ウィンドウ枠に表示されます 対象アセットのオペレーティングシステムの判断 攻撃の対象であるアセットのオペレーティングシステムを判断するには 次の手順に従います 1. [Go to] リストから [Analysis] を選択します 2. [Event Analysis - Event Name] ビューを選択し 問い合わせるイベントを右クリックしてから [What are the targets of this event?] を選択します 攻撃の対象である 1 つ以上の IP アドレスをリストアップした [Event Analysis - Target] ビューが表示されます SiteProtector System User Guide for Security Analysts Version 2.0, SP