About massaito

MITRE Engenuity ATT&CK Evaluation Round 5の結果が公開されています。   Cortex XDRは唯一100%の保護と100%の分析検出を実現しました。 この結果は設定変更や、検出遅延が無くとも実現しています。   詳細は以下のリンクからご確認ください。 弊社の記事についてはこちらから MITRE Engenuity ATT&CK Evaluation Round 5における弊社の結果についてはこちらから   ... View more

Cortex製品を検討されるお客様からプライバシーやサービスに対する安全性や信頼性について お問い合わせをいただくことがあります。 弊社のトラストセンターはそのようなお問い合わせに関するコンテンツを提供しております。 必要に応じて以下のサイトにアクセスいただき内容を確認いただけますと幸いです。     認証 SOC2, FedRAMP, ISO, CC, FISP140-2など https://www.paloaltonetworks.jp/legal-notices/trust-center/technical-certifications     ISMAP 登録番号:C23-0048-2 https://www.ismap.go.jp/csm?id=cloud_service_list_detail&sys_id=5a33d54b472635103f0f6befe16d4399   https://www.paloaltonetworks.jp/company/press/2023/palo-alto-networks-completes-prisma-access-cortex-xdr-cloud-services-list       プライバシー データ処理拠点、GDPRなどのデータ移転、法令遵守に関して データシートもダウンロードしていただくことが可能です。 https://www.paloaltonetworks.jp/legal-notices/trust-center/privacy       セキュリティ Trust 360プログラム パロアルトネットワークスのセキュリティ、コンプライアンス、プライバシー管理策を網羅的に紹介する Trust 360ホワイトペーパーを提供しており、以下のサイトからダウンロードしていただくことが可能です。 https://www.paloaltonetworks.jp/legal-notices/trust-center/security       その他 クラウドサービスのステータス 状態の変更をメールで受信することも可能です。 https://status.paloaltonetworks.com/     ... View more

  この記事では、2023年6,7月にリリースされたCortexの新機能のハイライトについて説明します。   機械翻訳であることと、下記以外に多くの機能強化が行われていることから、 正確な情報を把握するにはそれぞれのRelease Informationを参照してください。   Cortex XDR 3.7 and Agent 8.1   新しいセキュリティモジュールの導入 IIS Protection（Windows）- インターネットインフォメーションサーバ（IIS）を標的とする脅威から保護します。 Cortex XDR は、Windows 32 ビットプロセス向けのプロセス内シェルコード保護を提供します。     Identity Threat Moduleの強化 Identity Threat Module (ITM)のアラート、インシデント、XQL検索のためのアセットロールの強化により、脅威に対する深い洞察が得られ、より効果的な対応が可能になります。Cortexは、より改善されたピアスコアリングの内訳、現在のホストリスクスコアのより深い理解、および資産のより良いリスク管理のためのグローバルホストスコアビューを導入しています。     Broker VM HAクラスター機能の追加 Broker VM上で実行されるサービスの配信における高可用性（HA）を確保するために、Cortex XDRにはBroker VM HAクラスタが含まれるようになりました。Broker VM HAクラスタは、ハードウェアの故障やソフトウェアのクラッシュなど、複数のシナリオにおいて単一ノードを障害点として排除し、高可用性と負荷分散を提供し、メンテナンスとアップグレードを合理化します。      Salesforce.comのデータ収集(Pro per GBライセンスが必要です) 新しいネイティブのSalesforce.com統合により、Cortex XDRはSalesforce Audit TrailとSecurity Monitoringイベントを取り込むことができるようになりました。これには、ログイン履歴やセキュリティイベントなど、効果的なモニタリングに不可欠なイベントが含まれます。     ダッシュボードのドリルダウン機能 新しいダッシュボードドリルダウンは、データポイント、テーブル行、その他の可視化要素をクリックすると、インタラクティブなデータインサイトが表示されます。ドリルダウンは、XQL検索、カスタムURL、他のダッシュボード、またはレポートにリンクできます。XQLウィジェットでドリルダウンを作成できます。      リリース情報の詳細はこちら    Cortex Xpanse Xpander 2.2   Threat Response Center リスクスコアリングと脅威レスポンスセンターを使用して、ゼロデイ対応を改善し、重要なエクスポージャに優先順位を付けます。     Incident Risk Scoring インシデント・リスク・スコアリング - セキュリティ・チームは、脅威とエクスプロイト・インテリジェンスに基づく適応的なリスク・スコアを使用して、攻撃される可能性が最も高いエクスポージャに優先順位を付け、取り組みを集中できるようになりました。     Security Rating Dashboard セキュリティ評価ダッシュボード - セキュリティの健全性と衛生状態を評価し、長期的なリスクトレンドを追跡し、業界の同業他社との評価を比較し、サイバー保険料を削減することができます。     AI-Powered Exposure Resolution 新しい修復パスルール、オンボーディング構成ウィザード、アクティブレスポンスコンテンツなど、AIを活用したプレイブックを使用して、攻撃対象の修復を改善します。事業部門管理 - 事業部門間で資産を移転することで、企業は分散した攻撃対象領域をよりコントロールできるようになります。     Prisma Cloudとの統合 Prisma Cloudを使用して包括的なクラウドセキュリティと中央ポリシーの実施を行うことで、未知のクラウド資産や管理されていないクラウド資産を可視化し、クラウドの攻撃対象領域を削減します。     リリース情報の詳細はこちら   Cortex XSOAR 8.3   Cortex Gatewayでユーザーグループとロールベースのアクセスコントロール設定を管理 Cortex Gatewayを使用してCortex XSOARのユーザー、ユーザーグループ、ロールベースのアクセスコントロール設定をコントロールし、権限体制を一元管理します。     改善されたナビゲーション シンプルなキーボードショートカットを使用して、インシデントIDまたはインシデント名を介して特定のインシデントに簡単にナビゲートします。     インジケータとしてマーク 調査中の時間を節約するために、ワールームから直接インジケータを追加できるようになりました。     インジケータの評決 インジケータの評決は、プレイブックのスクリプトや既存の評決を含むさまざまなソースからの統合されたレピュテーション結果を組み込むようになりました。   監査の改善 管理監査ログは、インシデントのレイアウトやインシデントフィールドのアクションの監査など、インシデントに関連するさまざまなアクションをカバーするようになりました。   リリース情報の詳細はこちら   Cortex XSIAM 1.5 Cortex XDR 3.7と同機能に加えて、以下の機能が追加されています。   きめ細かなデータ取り込みメトリクスとモニタリング 完全で中断のないデータ取り込みを保証するために、新しいモニタリングフレームワークは、データコレクターの健全性、接続性、パフォーマンスを即座に可視化します。これには以下が含まれます：   データ・ソースごとの内訳をサポートし、データ・パイプラインの洞察を提供する新しいきめ細かなメトリクスを使用して、データ収集をトレースします。メトリクスは、XQL クエリおよび相関ルールによるモニタリングで使用できます。   (BETA)新しい組み込みのデータ取り込み監視とアラートメカニズムで、データ収集の可用性と全体的な健全性を監視します。   改善されたモニタリングと新しい通知により、データコレクターのAPI接続エラーとステータス変更を追跡します。   新しいデータ取り込みの健全性ページですべての取り込みと収集のアラートを確認し、取り込みアラートの通知転送を設定します。   解析ルールのエラーレポート機能が強化されたため、データ取り込みにおける解析ルールのエラーを簡単に特定し、解決できます。   すぐに使用できる新しいXDR Collectorテンプレートを使用して、XDR Collectorの収集の健全性を監視します。   コンプライアンスモジュール 新しいコンプライアンスモジュールにより、組織がPCI、HIPAA、SOXなどの一般的なセキュリティフレームワークの規制ガイドラインに従っていることを確認できます。この新しいモジュールは、XSIAM上で別売りされ、発売後数ヶ月間は無料で利用できます。   プレイブックのインシデントコンテキスト 複数のアラートからインシデントコンテキストレベルの洞察を収集することで、調査中の修復能力を拡張します。CLIコマンドやプレイブックなどの自動化の目的でデータを使用します。     リリース情報の詳細はこちら     ... View more

なぜアイデンティティ(ID)の保護が必要なのか？   従来はセキュリティ上の脅威は外部からもたらされるものと考えられてきましたが、 内部の人間を標的とする攻撃が増えており、アイデンティティ（以下ID）に対する脅威と悪意のある内部犯行者という２つの 脅威生まれてきています。 いずれの場合も、正規の認証情報を悪用して不正行為を行うため、正当な活動と悪質な活動を区別するのは難しいです。   Cortex XDRのID脅威検出 Cortex XDRのIdentity Threat Detection and Response(ITDR)モジュールは、AIと自動化の力を活用して、 以下のようなID関連の脅威を検出する機能を提供します。   1.IDの脅威検出能力 ネットワーク、認証、クラウド認証基盤、エンドポイント、人事データなど様々なデータを AIと機械学習をモデルで分析し、ユーザーの通常のアクティビティと異なる不審なアクティビティ、 例えば通常は行わないシステムの設定に対する操作、ファイル操作、パーミッションの変更などを検出します。   2.アナリティクスとリスクベースの検出 アイデンティアナリティクスやリスクベースの検出を組み合わせて、高度な検出能力を提供します。       3.UEBA ユーザーとエンティティの行動分析を実施、過去の傾向やパターンなどから異常な活動を検出します。         4.統合されたソリューション 専用のITDRソリューション、UEBAソリューションなど分散したソリューションの必要性を減らし、 機能を統合することでコストを低減します。       Cortex XDRのITDRを実現するベネフィット 1.ID脅威への早期対応 　AIや機械学習により分析・検出を自動化し、IDの脅威を早期に検出、素早く対応することが可能です。   2.脅威検出のための手動対策が不要 　お客様による検出ルールの開発、メンテナンスが不要になるため、重要な仕事に集中できるようになります。   3.データ漏洩やセキュリティインシデントのリスク低減 　ID脅威からくるデータ漏洩やセキュリティインシデントのリスクを低減します。     4.総合的なセキュリティプラットフォーム 　Cortex XDRはIDからの脅威保護だけでなく、エンドポイント(EPP/EDR)、ネットワーク(NTA/NDR)、 　クラウド(CDR)など、幅広いセキュリティニーズに対応するセキュリティプラットフォームです。     Blog   Detection and Response for Identity Threats      Tech Doc ITDRのモジュールIdentity Threat Moduleの説明はこちら ライセンスはこちら   ... View more

    Intro   この記事ではCorrelation Rulesを使用してルールを作成し、アラートを生成する方法について説明します。 Correlation Rulesを使用すると、Cortex XDRに保存されているDatasetやPresetを対象にお客様環境に合わせたルールを 作成することができます。     サンプルルール   preset "network_story"を使用し、１つのホストから10分以内に 100以上のホストに対してポート番号445(SMB)宛にアクセスしている ローカルIPアドレスがある場合、アラートを生成します。   このクエリはCorrelation Ruleの作成方法を説明することを目的としておりますので、 より良いクエリのアイデアをお持ちであれば是非お知らせください。   preset=network_story | filter action_remote_port = 445 | comp count(action_remote_ip) by action_local_ip,action_remote_ip | comp values(action_remote_ip) as count_of_remote_ip by action_local_ip | filter array_length(count_of_remote_ip) > 100     ただここでは100以上のホストを準備することが難しいため、   | filter array_length(count_of_remote_ip) > 3   としたいと思います。   ちなみにこのルールを実行すると、以下のような結果が返ってきます。 1つのホスト(IPアドレス)から、4つのホストにアクセスしていたことがわかります。 (+ 3 moreをクリックすると他の3つのIPアドレスを確認できます)       クエリについて少し補足しておきますと、 comp countを実行した時点ではリモートIPアドレスをローカルIPアドレス・リモートIPアドレスで集計しただけになります。（下の図） 従ってローカルIPアドレスに対して複数のリモートIPアドレスを含むイベントが複数行あります。 例えば以下のスクリーンショットを見ると、 ローカルIP 192.168.68.10に対して、リモートIPが2つ、192.168.68.114,192.168.68.11 確認できます。     そこでcomp valuesを使い、複数あるリモートIPアドレスを1つのイベントにまとめています。 このリモートIPアドレスの一覧は配列になっており配列の長さを取得(array_length)することで、 リモートIPアドレスの数を取得することができます。     ルールを作成する   Detection Rulesから「Correlations」を選択します。       ルールの名前と説明（Rule Name, Rule Description）、Correlation Ruleに上記のXQLを入力します。       Time Scheduleにルールの実行間隔を設定します。10分毎、20分毎、30分毎、Hourly, Daily, Customのいずれかを選択できます。   Query time frameは上記のXQLクエリが対象とする時間の幅を設定します。ここでは10分間とします。   Alert Suppressionでアラートを抑制するかどうかを設定します。 ルールが実行されたときに、条件に一致するイベントが複数あるため同一アラートが複数生成されることがあります。 時間の間隔(Duration Time)やFields(上記のXQLで表示されるフィールド)を条件に、複数生成されないようにすることができます。       Actionを設定します。   ルールの実行結果をアラートとして使用するには「Generate alert」、datasetに保存したい場合は「Save to dataset」を選択します。実行結果を他の用途（別の相関分析ルールの材料にする、実行結果をサマリデータベース的なものとして保存するなど）は後者を選択しますが、ここでは「Generate alert」を選択します。 また、アラート名(Alert Name)、Severity、Category(MITRE ATT&CKのTacticに該当)を設定します。 アラートの説明(Alert Description)にこのアラートの説明を設定できますが、XQLのフィールド名を変数として埋め込むこともできます。変数を埋め込む場合はフィールド名の先頭に$を付けます。       アラートをドリルダウンした際、下記のDrill-Down Queryで詳細情報を確認することができます。 またこのアラートに対してMITRE ATT&CKのマッピングが可能です。     アラートに以下のようなフィールド情報をマッピングすることができます。   Saveボタンをクリックします。   以下のようにCorrelation Ruleが登録されます。       ルールを実行する   以下のようにアラートが生成されます。   上記のアラートを選択し、「Investigate Contributing Events」をクリックすると、   このアラート、Correlation Ruleに関連するイベントが表示されます。     この記事ではnetwork_storyだけでルールを作成しましたが、 複数のデータセット（エンドポイント、ネットワーク、クラウド、認証、プロキシなど）を組み合わせて 複雑な相関分析ルールを作成することも可能です。   またCortex XDRはCorrelationルールだけでなく、AI/機械学習(Analytics)、振る舞い分析ルール(BIOC)、 といった様々な分析機能があるので、SIEMに変わるセキュリティログ収集・分析の基盤として ご利用いただくことも可能であると考えております。   Tech Doc Correlation Ruleはこちら XQLのCompステージはこちら       ... View more

この記事では、Cortex Xpanseに寄せられる主な質問について回答します。     ・システムに何かインストールする必要はありますか？   Cortex XpanseはSaaS型のサービスです。 お客様の監視対象システムにソフトウェアなどをインストールする必要はありません。 管理コンソールにアクセスするためのWebブラウザが必要になります。   ・どのように資産を検出しているのでしょうか？   IPアドレス空間に対して、特定のポートとプロトコルのペアでスキャンを行います。 スキャンした情報に対して、インターネットにおけるオープンソースインテリジェンスあるいは お客様から提供いただく情報を関連づけて、お客様に帰属する資産を特定します。     ・どのようなポート・プロトコルをスキャンしていますか？   多くのポート・プロトコルをスキャンしています。代表的なものをこちらに記載しておりますので参照ください。     ・インターネットからスキャンをかけていて、自社のIT資産に負荷をかけたり破壊するようなことはないでしょうか？   はい、特別なスキャンや擬似攻撃をするものでは無いため負荷はかかりません。    また、アメリカ合衆国のCFAA（Computer Fraud and Abuse Act）、 日本語では「コンピュータ詐欺・不正利用防止法」と訳されてたりしています) に準拠しており、ネットワークサービスのファジング、認証テスト、DDoSテスト、パケット操作、侵入テストは行いません。     ・インターネットに公開するWebサイト以外のシステムなども検出できるのでしょうか？   はい、可能です。リモートアクセスのサーバーやVPNデバイスなど、さまざまな資産を検出することが可能です。 Webサイトの場合、Webサイト分析機能を用いることで、管理コンソールの露出状況なども確認することができます。     ・Webサイトで使用されている証明書の有効期限や信頼する証明書であるかどうか（自己証明では無い）を 確認したいが可能でしょうか？   はい、可能です。   ・パブリッククラウド上で実行するサービスも検出することは可能でしょうか？   はい、可能です。 御社に帰属していることを示す属性を発見できれば、 AWS/Azure/GCPなどのクラウド上で稼働するお客様資産も検出することができます。   また、クラウド資産のさらなる可視性を確保するために、 AWS/Azure/GCP各種クラウドサービスプロバイダーから、 イベントリ情報をインポートすることも可能です。     ・把握していなかった資産なども見つかったりするのでしょうか？   はい、可能です。それがASMの大きな特徴の1つです。     ・問題点が色々出てきても、何から対応すべきか判断がつかないかもしれません。 対策の優先度を支援する機能はありますか？   はい、ございます。 Cortex XpanseはAttack Surface Rulesというリスクを検出するルールを用いてアラートを生成します。 アラートにはそのリスクの重大度が示されているほか、リスク要因に対するスコアが示されており、 対応の優先度を示す指標を提供することが可能です。 具体的なAttack Surface Ruleとしてこちらやこちらの記事を参照ください。   また、Threat Response Centerに、脅威とその組織への影響に関する最も重要な情報が 1 か所に集約されているため、 最も優先すべき対象が明確になります。    ・認証などは取得していますか？   SOC2 type1 plus、ISO27001/27701を取得しております。   ・プライバシーや製品セキュリティなどはどのように取り組まれていますか？   こちらを参照ください。     ・SLAについて教えてください。   こちらを参照ください。     ・他のシステムやサービスと連携することは可能でしょうか？   はい、可能です。 Active Responseモジュールという対応プロセスを自動化を実現する機能を使う場合、 外部サービスとの連携が可能です。Active Responseモジュールのデータシートもありますのでこちらも参照ください。 またAPIやSDK公開されておりますので、独自の連携を構築することも可能です。   ・Palo Alto Networksのプロダクトと連携することは可能でしょうか？   はい、可能です。 Cortex XSOAR、Prisma Cloud, Panoramaと連携可能です。 Cortex XSOARが提供しているIntegrationはこちらから確認できます。     ・第三者からの評価はありますか？   はい、あります。 GIGAOM社によるEASMマーケットで、2年連続でリーダー、アウトパフォーマーとして評価されています。 こちらからデータシートをダウンロードすることができます。 またGartner社によるPeer Insightsはこちらから確認できます。   ・自分達の組織以外のサプライチェーンに連なる企業や、買収対象の企業などのリスクも把握したいです。 その場合Cortex Xpanseを使用することは可能でしょうか？    はい、可能です。詳しくは弊社営業窓口までお問い合わせください。     ・Cortex XpanseやASMを知る上で役立つ資料などはありますか？   こちらの記事も併せてご覧ください。   また経済産業省において、ASM導入ガイダンスという資料が公開されております。 ASMの概要、導入におけるポイントなどがわかりやすくまとまっておりますので、 参考になるかと思います。   ・導入事例などありましたら教えてください。   以下の資料を参照ください。 Why accenture chose cortex xpanse Palo Alto Networks Cortex Xpanse to Supercharge Cyber Defenses for Department of Defense     ・導入支援などのサポートはありますか？ はい、可能です。Customer Successをご購入いただくことで導入から支援することが可能です。 詳細はこちらを参照ください。   ・自分の組織のインターネット公開資産の状態が気になり始めました。 購入前にCortex Xpanseを使って実際に自分達の環境を確認することは可能でしょうか？   はい、可能です。 デモをご覧いただいたり無料の評価を実施することも可能です。 弊社の営業窓口あるいは、弊社のパートナー様までお問い合わせください。     ... View more

この記事では、アラートが発生した際に自動的なアクションを定義できる Automation Rulesについてご紹介します。この機能はCortex XDR 3.6でリリースされました。   Automation Rules SOCチームはアラートが発生した時に行っている対応プロセスにおいて、 Automation Rulesを使用することで以下のようなユースケースを自動化し、 手動プロセスによる対応負荷を削減することができます。     コミュニケーション メール・Slackへの通知、syslogサーバーへアラートを送ることができます。       アラートとインシデントの管理 インシデントに対する対応者の割り当て、アラートのSeverity, Statusの変更ができます。 例えば、ある業務アプリからアラートから発生するアラートのように、 既に誤検知・過検知だからステータスをFalse Positiveにして解決済みとしたい、 といった処理を自動化することができます。       エントポイントに対する対応 Cortex XDRエージェント導入端末に対して、ネットワークからの隔離、ファイルの収集、スクリプトの実行、マルウェアスキャンの実行ができます。 例えば、ある特定のアラートが発生した場合は、端末を隔離する、調査用のスクリプトを実行するといった処理を 自動的に行うことができます。           ルールは複数作成でき、定義された上から順に評価されます。     アラートのステータスをFalse positiveとしてResolvedにするケース     端末を隔離するケース     Automation Rulesの結果 ルールの実行結果は、Automation Rules Logから確認できます。     Tech Doc Automation Rulesの詳細はこちら ... View more

      Intro タイトルのとおり任意のXQLクエリをスケジューリングして実行することができます。     スケジューリングされたクエリを作成する この記事で使用したクエリを元に作成していきます。   Query Builderで以下のようにクエリを定義します。   以下のアイコンをクリックします。     スケジュール名と、実行スケジュールを設定します。 ここでは毎日9:00AMに実行する設定となっています。 完了したら[OK]をクリックします。   登録したクエリがScheduled queriesに表示されます。     クエリの実行結果を確認する   実行結果を確認するには、Query Centerか、あるいは登録したクエリのコンテキストメニューを開き「Show executed queries」 を選択します。       実行したクエリの結果が表示されます。毎日9:00AMに実行しているので、それぞれの結果が表示されています。     クエリ結果のコンテキストメニューを開き「Show results」を選択すると、     クエリの実行結果をクエリ文字列共に確認することができます。   このように、XQLでCorrelation Ruleを作成しアラート生成する必要はないが、 定期的に監視したい何かがある場合、Scheduled Queriesが便利でしょう。     TechDoc Scheduled Queriesの詳細はこちら         ... View more

  はじめに この記事では、XQLを使用してレポートを作成する方法について説明します。     XQLを使ってWidgetを作成する     [Cortex XDR]ダッシュボードを作成する、という記事で、 同じXQLを使ったWidgetの作成方法を記載しているのでそちらを参照して、 Widgetの作成方法を確認してみてください。     レポートテンプレートを作成する   [Reports Template] - [+ New Template]をクリックします。     Report Builderが起動します。 Report Nameを入力（ここではWeekly Report）、Data Timeframeで[Last 7D]、 Descriptionに[This is sample report] Report Typeを[Blank]とし、[Next]をクリックします。           [Widgets Library]からレポートにしたいWidgetをドラッグアンドドロップします。 ヘッダーに1つ前の手順で設定したReport NameとDescripitonが記入されていることを確認し、 [Next]をクリックします。             [Schedule]の[Schdule]にチェックを入れ、スケジュールを設定します。ここでは毎月、第一週の月曜日9:00AMに レポートを作成します。 [Email Distribution]にメールアドレスを設定すると、レポートが指定のアドレスを送信されます。 Slackの指定チャネルに送信することも可能です。 また、PDF形式のファイルの場合パスワードを付与することも可能です。 [Save Template]をクリックします。           テンプレートが作成されたことを確認します。       レポートテンプレートを実行する   スケジュール化されているので、指定した時間に実行されレポートが作成されますが、 ここではすぐにレポートの内容を確認したいので、テンプレートを右クリックし[Generate Report]をクリックします。         [Reports]から作成されたレポートを確認します。   作成されたレポートを右クリックし[Download]をクリックすると、     PDFファイルを取得することができます。       このようにして、レポートを定期的に作成し日々の運用管理に役立てることができます。   Tech Doc レポート機能についての詳細はこちら   ... View more

  はじめに   この記事ではBroker VMのWindows Event Collector(WEC)を使用して、 Windowsサーバー(ドメインコントローラー)のイベントログを収集する方法について説明します。 Windowsのイベントログは、Windows OSのWindows Event Forwarding(WEF)により、 HTTPSでBroker VM(WEC)へ転送され、その後Cortex XDRに取り込まれます。 WEFについてはこちらを参照ください。   Analytics   WECを使用することでIdentity AnalyticsなどによるID脅威保護に使用することが可能になります。 WECによって収集したデータによるAnalyticsはこちらから確認できます。   Broker VMの設定と証明書のエクスポート     Broker VMの設定画面から対象のBroker VMを選択し、 [Add App] - [Windows Event Collector]を選択します。     "Collected Events"を見ると、Sourceに"Security"という名前でデフォルトの収集対象のイベントレベル、イベントIDが選択されています。 収集対象のイベントIDが他にある場合はこの画面で追加しますが、ここでは行いません。 TLS Version 1.2を選択し、[Activate]をクリックします。     Activateされ、"Subscription Manger Url"が生成されます。この内容をコピーして控えておきます。 Windows OS側で実施するサブスクリプションマネージャーの登録で必要になります。     "Define Client Certificate Export Password"にパスワードを入力します。 この後のダウンロードする証明書をWindowsサーバにインポートする際に必要になるので、 こちらも控えておきます。 [Download]をクリックします。     証明書がダウンロードされたのでこれを対象サーバーにコピーします。     ドメインコントローラーの設定   証明書のインポート   Broker VMからエクスポートした証明書をダブルクリックします。     "ローカルコンピューター"を選択して「次へ」     ファイル名に対象の証明書のファイルパスが定義されているのを確認して、 「次へ」   "証明書の信頼に基づいて・・・"を選択して「次へ」       「完了」をクリックします。     「OK」をクリックします。       続いて登録の確認を行います。 「個人」-「証明書」   「信頼されたルート証明機関」-「証明書」     Network Serviceをグループに追加   [個人]-[証明書]から証明書を右クリックし、 [すべてのタスク]-[機密キーの管理]をクリックします。     NETWORK SERVICEを追加し、[適用]、[OK]をクリックします。     ローカルグループ Event Logs Groupの追加   Powershelで以下の通りコマンドを実行します。   wevtutilコマンドの実行   Powershelで以下の通りコマンドを実行し、channelAccessに定義された値を控えておきます。   以下のコマンドで、控えておいた値を設定しwevtutilコマンドを実行します。   wevtutil sl security "/ca:<channelAccess value>(A;;0x1;;;S-1-5-20)"   グループポリシーの作成    [フォレスト]-[ドメイン]-[自社のドメイン]-[グループポリシーオブジェクト]を右クリックし[新規]をクリックします。     Windows Event Forwardingという名前を入力し、[OK]をクリックします。     作成したWindows Event Forwardingグループポリシーを右クリックし[編集]をクリックします。     [コンピューターの構成]-[ポリシー]-[Windowsの設定]-[セキュリティ設定]-[システムサービス]から Windows Remote Management(WS-Management)をクリックします。     [このポリシーの設定を定義する]にチェックを入れ、[自動]を選択し、 [適用]、[OK]をクリックします。     [コンピューターの構成]-[ポリシー]-[管理用テンプレートローカルコンピューター]-[Windowsコンポーネントから [イベント転送]をクリックします。     [ターゲットサブスクリプションマネージャーを構成する]を右クリックし[編集]をクリックします。     [有効]にチェックし、[表示]をクリックします。     Broker VMで生成されたSubscription Manger Urlを値に設定し[OK]をクリックします。       [コンピューターの構成]-[基本設定-[コントロールパネルの設定]-[ローカルユーザーとグループ]- [新規作成]-[ローカルグループ]をクリックします。     グループ名で[Event Log Readers(ビルトイン)を入力し、 メンバーに[Network Service]を追加します。   Firewallの作成   必要に応じてアウトバウンドルール(送信の規則)に、TCP、リモートポート[5986]を設定したルールを追加してください。     グループポリシー(Windows Event Forwarding)の適用  [フォレスト]-[ドメイン]を右クリックし[既存のGPOのリンク]をクリックします。   グループポリシーオブジェクトからWindows Event Forwardingを選択し[OK]をクリックします。     gpupdate /forceでポリシーを更新します。   イベント転送確認のためGet-WinEventコマンドを実行します。 "WSManの操作 EventDeliveryが正常に完了しました"というメッセージが表示されれば、 正常にイベントが転送されことの確認になります。       Broker VMの確認 Windows Event CollectorでLogs Received, Logs Sentでlps(logs per seconds)が表示されることを確認します。       XQLクエリで確認   datasetはmicrosoft_windows_rawになります。以下のように検索してみて、 ログが取り込まれていることを確認してください。             他のサーバのイベントログを収集する場合 この手順ではドメイン配下にグループポリシーを適用しています。 特定のサーバーのログを収集したい時は、該当サーバー上でドメインコントローラ同様に、 上記手順内の ・証明書のインポート ・Network Serviceをグループに追加  ・ローカルグループ Event Logs Groupの追加  ・wevtutilコマンドの実行 の操作が必要になります。   Tech Doc   Broker VMのアクティベートはこちら             ... View more

この記事ではXDR Collectorを使用して、WindowsのDHCPサーバーログを収集する方法について説明します。   XDR Collector XDR Collectorはオンプレミスのログデータを収集するエージェントです。 Windows,Linuxマシンにインストールすることが可能です。   DHCPサーバーのログを収集する   WindowsのDHCPサーバーログは、デフォルトでDHCPサーバ内の %SystemRoot%\System32\DhcpフォルダにDhcpSrvLog-XXX.logというファイル名で保存されます。   このサンプルでは、直接DHCPサーバーのログフォルダを参照し収集するのではなく、 DHCPログを保存するログサーバ(windows)のフォルダを参照し収集します。 XDR Collectorはログサーバーにインストールします。 収集対象のログファイルはログサーバーのC:¥Logs¥dhcpフォルダに保存したDHCPログファイルを対象にします。   このようなイメージです。 |  DHCPサーバー(Windows) | ---- (copy logs) ------> | ログサーバー(windows) + XDR Collector | -------> | Cortex XDR |     XDR Collectorは以下の通り、ログサーバー(WinLogServer)にインストールされています。         プロファイル(filebeat)を作成する   XDR Collectors Profilesで、[+ Add Profile]をクリックします。   Windowsを選択します。    ここでは[Filebeat]を選択します。    「Profile Name」を入力し、「Filebeat Configuration File」から、「DHCP」を選択します。   Addボタンをクリックします。   DHCPサーバーのログ取り込みに関する設定が埋め込まれます。 pathsの設定を実際のログサーバーの保存先フォルダのパスに変更します。   変更前    変更後     encodingの設定を追加する 日本語OSの場合、ログファイルのエンコーディングがShift_JISになっている場合があり、 そのままですとDescriptionが文字化けしてしまいます。   encoding: shift_jisを追加することで、ファイルのエンコーディングをshift_jisとして読み込みます。 文字化けする場合は、このパラメータを調整し試してみてください。 encodingなどfilebeatのパラメータに関する詳細はfilebeatの設定ファイルのドキュメントを参照してください。    XDR Collectors Profilesにプロファイルが作成されたことを確認します。     Settingsプロファイルを追加する   XDR Collectors Profilesで「Settings」をクリックします。      XDR Collectorsの自動アップグレードに関する設定を行います。ここではそのままDefaultとします。     XDR Collectors Profilesにプロファイルが作成されたことを確認します。       ポリシーを作成する  XDR Collectors Policesで「+ Add Policy」をクリックします。       作成したFilebeatプロファイルと、Collector Settingsプロファイルを選択します。     このポリシーを設定するXDR Collectorを選択します。     内容を確認し、「Done」をクリックします。    最後に「Save」をクリックします。     ポリシーが追加されたことを確認します。     Audit Logs   端末を右クリックし「View Audit Logs」をクリックすると、    ポリシー更新などのログを確認できます。     XQLで確認する   datasetはmicrosoft_dhcp_rawです。dataset=microsoft_dhcp_rawで検索します。 以下のようにログがパースされ保存されていることがわかります。         Tech Doc XDR Collectorの詳細についてはこちら DHCPサーバーログの取り込みに関する詳細はこちら ... View more

増え続けるアタックサーフェス   企業のネットワーク環境はオンプレミスからクラウドとのハイブリッドな環境に移行が加速しています。 攻撃対象領域(Attack Surface)は、WebサイトをはじめとしてリモートアクセスシステムやIoTデバイス、 クラウドアプリケーションなど様々な領域に広がり、組織が全てのAttack Surfaceを管理していくことが困難になりつつあります。   攻撃者のアクションは早い   攻撃者はインターネット全体を45分でスキャンし、新たに脆弱性が公開されると15分以内にスキャンを開始する、 と言われています。一方守る側は資産全体を把握しシステムの脆弱な箇所を見つけ修復するのに それよりも多くの時間を費やしています。 この時間のギャップを考えると組織が検知・修復する間に攻撃が行われ、手遅れになる可能性もあります。   Active ASMで攻撃者の先手を打つ   Cortex XpanseのActive Attack Surface Managementを使用することで、 AIと自動化をキーに組織の攻撃対象範囲を特定し管理することができます。   インターネットからアクセス可能で攻撃に対して脆弱性があるデジタル資産を 検出・学習・対応し、組織が発見するまでの時間(MTTD)を改善することにより、 リスクを低減することができます。   Cortex Xpanseは大きく4つのCapabilityを提供します。 Active Discovery Active Learning Active Response Web ASM Active Discovery   Cortex XpanseはActive DiscoveryによりIPV4空間を隈なくスキャンし、 一日数回インターネット規模のデータベースを更新しており、 機械学習によってインターネットに接続する資産を正確にマッピングすることができます。       Active Learning   お客様の資産を継続的に分析・マッピングし、攻撃対象領域の変化を追跡します。 またビジネスに与える潜在的な影響（重大度や脆弱性など）に基づいて、アタックサーフェスのリスクレベルを評価します。 これにより最も重要かつ高リスクの資産に最初の焦点を当て、その後の対応アクションのための優先順位付けが可能になります。         Active Response   自動化されたカスタマイズ可能なレスポンスアクションを提供し、セキュリティチームが問題を解決するために実行できます。   例えばインターネット接続資産のインシデントが検知された場合、 ・インベントリ情報管理システムと連携して資産の詳細情報を確認する ・ディレクトリ情報を使ってその資産の管理者を特定する ・該当資産の脆弱な設定を修正する といったような、これまで手動で行っていた作業を自動化することができるため、 セキュリティインシデントの解決に必要な時間や労力を削減し、 インシデントが組織に与える潜在的な影響を最小限に抑えることができます。   昨今サイバーセキュリティにおいてアラートの増大とその対応におけるセキュリティ担当者の疲弊、 というのが大きな問題となっていますが、Palo Alto NetworksはASMの領域においてもいち早く自動化を実現し、 セキュリティオペレーションの効率化に寄与します。   Active Responseのデータシートも合わせてご確認ください。       Web ASM   クラウドへの移行が加速する中、Webサイトの可視性の欠如や管理情報のアップデートが適切に行われていないため、 Webサイトのアタックサーフェスの問題を正しく把握できず危険に晒してしまっていることがあります。 Web ASMの機能を活用することで、 ・セキュリティベストプラクティスに準拠していないサイト、 ・サイト上で使用されるサードパーティライブラリ・ミドルウェアなどの依存関係に起因するリスク、 ・セキュアでないプロトコルを使った入力フォーム などの問題を可視化、分析することができます。                 Blog   Introduction to Cortex Xpanse( You Tube )　  Active Attack Surface Management With Cortex Xpanse   Cortex Xpanse、攻撃対象領域管理(ASM)製品におけるリーダー的製品と評価  Palo Alto Networks Cortex Xpanse to Supercharge Cyber Defenses for Department of Defense  Why Accenture Chose Cortex Xpanse  攻撃対象領域のリスクを継続的に検出、評価、及び軽減 所有外の資産についても、組織に対するリスクを把握する PaloAlto Networksのブログ　   Tech Doc 製品ドキュメントはこちら   ... View more

この記事では、Boxのアクティビティログを取り込む方法について説明します。   詳細な手順や説明については、一番下のリンクからドキュメントを参照ください。   Cortex XDRはBoxからログを取り込み、XQLによるサーチやCorrelationルールによる検知などが可能です。 Boxの監査ログを使用したAI/MLアナリティクスはこちらから確認できます。 ここではBox Shields Alertsを除くデータの取り込みをおこないます。       Custom Appの作成   Custom Appの作成から、新規でAppを作成します。ここでは「Cortex XDR App」とします。     作成したAppから「Configuration」タブを指定し、「App + Enterprise Access」を選択します。       「Authorization」タブを指定し、「Review and Submit」を選択します。     「submit」をクリックして管理者に承認依頼します。                                     管理者はAdminコンソールにログインし、「Apps」から「Custom Apps Manager」タブを表示します。 このときAuthorizationがPending Authorizationになっています。 Enablement Statusから「Authorize App」をクリックすると完了します。               Authorizationが「Authorized」になり Enablement Status「Enabled」が表示されることを確認します。       Cortex XDRに登録するIDの確認   Cortex XDRの設定するID(Enterprise ID, Client ID, Client Secret)を控えておきます。   Enterprise ID Global Settingsから確認します。   Enterprise ID, Client Secret ConfigurationからClient IDを確認します。 Client Secretを取得するためにFetch Client Secretをクリックします。     生成されたClient Secretを控えておきます。     Cortex XDRの設定   Collection IntegrationsからBoxの箇所で「Add Instance」をクリックします。   控えておいたID, Secret、収集するイベントにチェックを入れます。 「test」ボタンをクリックし「Connection established」が表示されたら 連携が成功したことを示しているので、「Enabled」をクリックします。     イベントが入ってくれば、XQLで検索することが可能です。     Tech Doc Boxのログ取り込み方法はこちら ... View more

この記事ではcallというstageコマンドについて説明します。 callコマンドを使うと、Query Libraryに保存したXQLクエリ名で実行することができます。 コンピュータプログラムの関数名でコードを呼び出すようなものです。     クエリ名で呼び出す   こちらの記事で作成したXQLをQuery Libraryに登録し、登録した名前で呼び出してみます。   まずクエリを登録します。   その後、作成したクエリ名をcallコマンドの引数としRunをクリックします。   以下のように名前で呼び出すことができました。   注意点ですが、この記事を執筆した時点で、Correlation Ruleはcallコマンドをサポートしておりませんので、 XQLをそのまま記述していただく必要があります。   Tech Doc callコマンドの詳細はこちら ... View more

この記事では、Cortex XDRはLookupテーブルについてご紹介します。   Lookupテーブルを作成する方法は２つあります。 ・targetコマンドを使って、XQLクエリの検索結果を元に作成する ・テキスト(TSC/CSV/JSONなど)データを作成し、Cortex XDRにインポートする   ここでは後者の方法について説明します。 ここではサンプルとして、 サーバーの管理者情報をCSVフォーマットで作成しCortex XDRにアップロードして、 Lookupを構築してみたいと思います。   Lookupテーブルの作成 サンプルのデータは以下の通りです。ホストIPアドレスに対する管理者の名前、メールアドレス、電話番号を 定義しています。admin_table.csvという名前でファイルを作成します。   host_ip_address,admin_name,email_address,phone_number 192.168.68.114,adminA,adminA@company.lan,+81-00-0000-0000 192.168.68.115,adminB,adminB@company.lan,+81-00-0000-0000 192.168.68.102,adminC,adminC@company.lan,+81-00-0000-0000     Dataset Mangementから「Lookup」をクリックします。     ファイルをドラッグアングドロップすると、 Nameにファイル名が入るので、「Add」をクリックします。   Dataset ManagementにLookupとしてデータが追加されました。 Lookupの場合、データセットのTypeがLookupとなっています。     XQLからLookupを検索してみます。datasetと同じようにLookupの名前を設定します。   dataset= admin_table   他のdataset同様にLookupも検索できました。   ホスト情報と管理者情報を結合する endpointsデータセットと、admin_tableデータセット(Lookup)を結合して、 端末の管理者を引けるようにします。   サンプルのXQLは以下の通りです。データセットの結合にjoinコマンドを使用しています。 endpointsは多くのフィールドがありますが、 ここではわかりやすいようにいくつかのフィールドだけに限定しています。   dataset= endpoints | arrayexpand ip_address | join conflict_strategy = left type = left ( dataset = admin_table ) as admin_t admin_t.host_ip_address = ip_address | fields endpoint_name,agent_version ,ip_address, host_ip_address,admin_name, email_address ,phone_number   実行すると、以下のようにendpointsデータセットとadmin_tableが結合された結果が表示されます。 それぞれのデータセットにあるIPアドレスのフィールドが結合のためのキーとなっています。   また、endpointsのデータとしてEndpoint_Name, Agent_version, ip_addressを、 admin_tableのデータとしてhost_ip_address, admin_name, email_address, phone_numberを表示しています。 それぞれのデータセットのIPアドレスフィールド(ip_address,host_ip_address)が同じ値になっているので、 結合していることがわかるかと思います。       Tech Doc Lookupはこちら joinコマンドの詳細はこちら targetコマンドの詳細はこちら ... View more