[Cortex XDR/XSIAM]XQLで指定したドメインに対するアクティビティを調査する - network_story

[massaito]

あるドメインにアクセスしたアクティビティを調査したい場合、

XQLのpresetsを使用すると便利にデータを抽出できます。presetsはデータフィールドをグルーピングしたもので

効果的にデータの抽出ができます。

ここでは「network_story」と言うpresetsを使用します。network_storyで使用可能なフィールドはこちらで確認できます。

network_storyを使って抽出する

例えば、ホスト名が「WIN-0TNTTQOMGDR」で、「xxxxxxx.co.jp」にアクセスしたアクティビティについて調べたい場合、

以下のように記述します。

preset = network_story | filter agent_hostname ="WIN-0TNTTQOMGDR" and dst_action_external_hostname contains "xxxxxxx.co.jp"

もしヒットすれば、xxxxxxx.co.jp(サブドメインも含む)にアクセスしたアクティビティが検出され、フィールド「dst_action_external_hostname」に

該当のドメインが、フィールド「agent_hostname」に該当ホスト名が表示されます。

 

 １つのレコードを選択し、プロセスの連鎖を確認するためにCausality Chainを確認すると、

 Chrome.exeでアクセスしていることをプロセスの連鎖から確認できます。

 また、緑の枠にあるアイコンに注目すると、ホスト「WIN-0TNTTQOMGDR」がIPアドレス「192.168.68.XXX」に

アクセスしたといった趣旨の内容が記載されていますが、その下の緑の枠の中にある「CONNECTION」見ると「192.168.68.116:3128」にアクセスしたとあり、これはこのホストが使用しているプロキシサーバーを指しています。

したがって、この例ではChrome.exeが、プロキシサーバ経由でxxxxxxx.co.jpを含むドメインを持つサイトにアクセスした、

ということがわかります。

ちなみに次世代ファイアウォール(PAシリーズ)のトラフィックログからも同じように調査できますが、

デバイスの種類やシリアル番号なども取得します。

Tech Doc

network_storyのフィールド名についてはこちら