リスク分析ダッシュボード

[リスク分析] ダッシュボードでは、リスクベースの視点から環境を確認できます。エンティティリスクの傾向を可視化すると、異常な動作を特定し、エンティティが企業にもたらす潜在的なリスクを理解できます。

[リスク分析] ダッシュボードには、リスクのあるエンティティとリスク要因の詳細が一覧表示されます。データ RBAC を使用するシステムでは、グローバルスコープを持つユーザーのみがリスク分析にアクセスできます。詳細については、データ RBAC がリスク分析に与える影響をご覧ください。

[リスク分析] ダッシュボードを表示する手順は次のとおりです。

ナビゲーションバーで、[検出] をクリックします。
[検出] から [リスク分析] をクリックします。

エンティティ数、リスクスコア、エンティティテーブル

[リスク分析] ダッシュボードには、選択したフィルタに基づいて、企業内で最もリスクの高い上位 10,000 個のエンティティのみが表示されます。ダッシュボード内のすべてのグラフとテーブルは、このエンティティセットのみを表します。

左上の [エンティティの合計数] グラフには、企業で追跡されている、リスクが 0 より大きいエンティティの数が表示されます。リスクスコアが 0 のエンティティは引き続き追跡されますが、このグラフには表示されません。合計数は、アセットとユーザーに分類されます。

エンティティの詳細については、論理オブジェクト: イベントとエンティティをご覧ください。リスクスコアの計算方法の詳細については、リスクスコアの計算をご覧ください。

[エンティティ] テーブルには、エンティティリスクスコアに関連する複数の列があります。

列	値
エンティティ名	エンティティの名前
エンティティタイプ	エンティティのタイプ（アセットまたはユーザー）。
正規化	正規化: 正規化されたスコアはエンティティ間で計算され、最小 / 最大正規化を使用して 0～1,000 の間でスケーリングされます。
正規化された変化	前のリスク計算ウィンドウからの正規化されたエンティティリスクスコアの変化。
正規化されたトレンド	以前のリスクウィンドウと比較した、正規化されたリスクスコアの変化の増減率。
ベース	ベースエンティティのリスクスコアは、最大の検出リスクスコアと、残りの検出リスクスコアの合計に重み付けを掛けた値に等しくなります。重み付けのデフォルトは 0.2 です。設定で変更できます。
基本スコアの変化	前のリスク計算ウィンドウからのベースエンティティのリスクスコアの変化。
基本スコアの傾向	前のリスクウィンドウと比較した、ベースのリスクスコアの変化の増減率。
検出数	リスク計算期間中にこのエンティティを含む検出結果（アラートと検出）の数。
期間中に初めて検出	リスク計算期間中に、エンティティが検出結果（アラートまたは検出）で最初に確認された時刻のタイムスタンプ。
期間中に最後に検出	リスク計算期間中に、エンティティが検出結果（アラートまたは検出）で最後に確認された時刻のタイムスタンプ。

リスク計算期間を調整する

エンティティによってもたらされる計算されたリスクは、検査期間によって異なります。右上の [リスク計算期間] の設定を変更すると（[24 時間の期間] または [7 日間の期間] のいずれかを選択）、ここに表示される計算されたリスクスコアが変更されます。検出する攻撃の種類に応じて、この設定を変更することをおすすめします。たとえば、[リスク計算期間] を [24 時間] に設定すると、ブルートフォース攻撃がより明確になります。期間が長いほど、長期的な攻撃を発見できます。

エンティティリスクスコアは、選択したリスク計算ウィンドウに応じて変化します。エンティティリスクスコアは、リスク期間中に生成された検出結果に基づいて計算されます。

クイックフィルタで検索を絞り込む

クイックフィルタを使用すると、特定のニーズに関連する検索結果のみを表示して、検索結果を絞り込むことができます。

[リスク分析] ダッシュボードでクイックフィルタを使用するには、次の手順に従います。

[エンティティ] テーブルの上にある [ filter_alt ] をクリックします。[フィルタ] ウィンドウが表示されます。
いずれかの列を選択します。
- 結果の数。
- 正規化されたエンティティリスクスコア
- 正規化されたエンティティリスクの傾向
- 型
[表示のみ] または [除外] を選択します。
値を選択します（複数の値を選択して範囲を拡大することもできます）。
- 検出結果の数: 0～1,000 より大きい値。
- 正規化されたエンティティリスクスコア: 0～1,000 の値。
- 正規化されたエンティティリスクの傾向: -99% 未満から 199% 超までの割合。
- タイプ: [アセット] または [ユーザー] を選択します。
（省略可）フィルタを追加するには、[フィルタを追加] をクリックして、ステップ 2 のこのプロセスを繰り返します。
フィルタの設定が完了したら、[適用] をクリックします。

たとえば、[正規化されたエンティティリスクの傾向] を選択して [表示のみ] を選択し、[>199%] をオンにすると、199% を超える正規化されたエンティティリスクの変化が表示されます。

エンティティページを使用してエンティティを調査する

エンティティを調査する手順は次のとおりです。

[エンティティ名] 列をスクロールするか、検索バーを使用してエンティティを検索します。
調査するエンティティをクリックします。

エンティティページが開きます。このページでは、1 つのエンティティに関連付けられた検出結果のみを調査することができます。上部の [検出結果のタイムライン] グラフは、エンティティのリスクスコアと検出結果の推移を示します。このグラフは事前に計算された指標で構成され、時系列の傾向が折れ線グラフで表示されます。異常値は折れ線グラフで急上昇として確認できます。グラフの下には [検出結果] テーブルが表示されます。ここには、選択したエンティティが関連付けられているイベントとアクティビティが表示されます。

右下には折りたたみ可能な [エンティティの詳細を表示] パネルがあり、選択したエンティティに関する重要な情報の要約が表示されます。選択したエンティティの詳細な検査を完了するには、[エンティティの詳細を表示] をクリックして、エンティティがアセットかユーザーかに応じて、[アセット] ビューまたは [ユーザー] でエンティティを表示します。詳細については、アセットエンティティの調査またはユーザーの調査をご覧ください。

エンティティ分析を使用してエンティティを調査する

エンティティ分析により、SOC アナリストと脅威ハンターは、エンティティのベースラインプロファイル、異常、コンテキストの拡張など、エンティティの動作を詳細に把握できます。

エンティティページから、[検出結果のタイムライン] で最大 90 日までの期間を選択し、[選択した期間の分析を表示] をクリックします。サイドバーが開き、選択した期間内のこのエンティティに関連付けられた分析が表示されます。各分析には、期間内のすべての分析値の集計が表示されます。検出された場合、分析には関連するアラートと検出のリストが含まれます。このリストは、さらに表示対応するアラートまたは検出ビューをクリックするとさらに確認できます。詳細については、アセットの調査をご覧ください。

次のエンティティ分析が提供されます。

アラートイベント名カウント
認証試行の成功
認証試行の失敗
認証試行の合計回数
送信 DNS バイト数
DNS クエリの失敗
DNS クエリの成功
DNS クエリの合計数
ファイル実行の成功
ファイル実行の失敗
ファイル実行の合計数
HTTP クエリの成功
HTTP クエリの失敗
HTTP クエリの合計数
受信ネットワークバイト数
送信ネットワークバイト数
合計ネットワークバイト数
ワークスペースの認証試行の合計回数
ワークスペースのメール送信数の合計
ワークスペースのネットワークバイトの送信
ワークスペースのネットワークの合計バイト数
ワークスペースの合計変更アクション数
ワークスペースの合計ダウンロードアクション数

エンティティリスクスコアを変更する

外部情報やイベントがエンティティの真のリスクに影響を及ぼす場合は、エンティティリスクスコアを更新できます。

たとえば、レッドチーム演習（ペネトレーションテストなど）を完了したばかりの従業員のリスクスコアを一時的に下げることができます。これにより、アナリストは、その従業員のリスクが上昇した理由を調査する時間を節約できます。また、訴訟に関わる従業員のリスクスコアを一時的に引き上げることもできます。

[リスク分析] ページの [エンティティ] テーブルで、行の右端の列にポインタを合わせます。ディスプレイを右にスクロールしなければならない場合があります。[more_vert] をクリックし、

[エンティティリスクスコアの更新] を選択します。
[エンティティリスクスコアの更新] ダイアログで、次の値を構成します。
- 乗算係数: 乗算係数 0.0～100.0 でエンティティのリスクスコアを増減できます。たとえば、エンティティのリスクを 2 倍にする新しい証拠を発見した場合は、乗算係数を 50 に更新して、エンティティの真のリスク要因を反映します。
- 期間: 乗算係数が適用される期間。[現在] または [1 日] から [14 日] までの日数を選択できます。[現在] を選択すると、現在のリスク計算期間のエンティティリスクスコアに乗算係数が適用されます。既存のアラートと検出のみが計算に含まれます。選択した期間が終了すると、エンティティリスクスコアの更新は停止し、リスクスコアは通常の状態に戻ります。
- 理由: 他のユーザーに、この更新が行われた理由に関する追加のコンテキストを提供できます。次のオプションから選択します。新しいエビデンス、誤ったリスクスコア、変更されたリスクプロファイル、コンプライアンス要件、または Other）

すでに実行済みの変更を行おうとする場合（たとえば、エンティティの乗算係数を 25% に更新したいが、別のチームメンバーがすでにその変更を行っているなど）、変更を行った人や日時に関する情報を含め、変更がすでに反映されていることを示すダイアログが表示されます。

エンティティの詳細でリスクスコアの更新を表示する

エンティティのすべてのリスクスコアの更新は、[エンティティプロファイル] ページで確認できます。

リスクスコアの更新履歴を表示するエンティティをクリックして、[エンティティプロファイル] ページを開きます。
[イベントのタイムライングラフ] では、エンティティのリスクスコアが変更されるたびに、[リスクスコアの変更] ラベルが白色のテキストで表示されます。
テキストにポインタを置くと、日付、ユーザー、変更理由を含むダイアログが表示されます。

ウォッチリスト

[ウォッチリスト] ページでは、企業全体の特定のエンティティをモニタリングできます。

[ウォッチリスト] タブに移動する

左側のナビゲーションバーで [検出] をクリックします。
[検出] から [リスク分析] をクリックします。
[ウォッチリスト] タブをクリックします。

ウォッチリストを追加する

Google Security Operations アカウントにフィードを追加する手順は次のとおりです。最大 200 個のウォッチリストを設定できます。

[ウォッチリストを作成] をクリックします。
[ウォッチリストの名前] を指定します。
（省略可）[説明] を指定します。
（省略可）[乗算係数] を 0～100 の範囲で指定します。デフォルト値は 1 です。
（省略可）[ウォッチリストにエンティティを追加] セクションの下にあるウィンドウの右側でエンティティを指定します。ここに次のエンティティタイプを追加できます。
- ASSET_IP_ADDRESS
- EMAIL
- EMPLOYEE_ID
- HOSTNAME
- MAC
- PRODUCT_OBJECT_ID
- PRODUCT_SPECIFIC_ID
- USERNAME
- WINDOWS_SID
[ウォッチリストを作成] をクリックします。

ウォッチリストを固定する

[ディスプレイを編集] をクリックします。
固定するウォッチリストの横にあるチェックボックスをオンにします。
[保存] をクリックします。

ウォッチリストの固定を解除する

[ウォッチリスト] ダッシュボードで、固定を解除するウォッチリストを選択し、[ more_vert ] を選択します。
[表示から削除] をクリックします。

ウォッチリストを編集する

[ウォッチリスト] ダッシュボードで、編集するウォッチリストを選択し、[ more_vert ] アイコンをクリックします。
[ウォッチリストを編集] をクリックします。

ウォッチリストを削除する

[ウォッチリスト] ダッシュボードで、削除するウォッチリストを選択し、[ more_vert ] をクリックします。
[ウォッチリストを削除] をクリックします。

エンティティをウォッチリストに追加する

エンティティをウォッチリストに追加するには、次のいずれかの形式を使用して、エンティティ名、タイプ、名前空間（省略可）を 1 行ずつ指定します。

NAME,TYPE
NAME,TYPE,NAMESPACE

TYPE は、以下のいずれかになります。
- ASSET_IP_ADDRESS
- EMAIL
- EMPLOYEE_ID
- HOSTNAME
- MAC
- PRODUCT_OBJECT_ID
- PRODUCT_SPECIFIC_ID
- USERNAME
- WINDOWS_SID
NAMESPACE は、アセットエンティティタイプに対してのみ指定できます。
- ASSET_IP_ADDRESS
- HOSTNAME
- MAC
- PRODUCT_OBJECT_ID
- PRODUCT_SPECIFIC_ID

例:

205.148.5.0,ASSET_IP_ADDRESS
website.com,HOSTNAME,chronicle

この例は、ウォッチリストに追加された 2 つのエンティティ（chronicle 名前空間のアセット IP アドレス 205.148.5.0 とホスト名 website.com）を表しています。ウォッチリストには最大 10,000 のエンティティを含めることができます。

ウォッチリストからエンティティを削除する

ウォッチリストからエンティティを削除するには、削除するエンティティを表す行を削除して、[保存] をクリックします。

リスクスコアの設定を変更する

[エンティティリスクスコア] ページでは、エンティティ、アラート、検出のリスクスコアの計算方法を定義できます。このページでは、検索の固有のニーズに基づいてリスクの計算方法を調整できます。

[エンティティリスクスコア] ページには、更新可能なフィールドが 3 つあります。

エンティティリスクスコアの重み付け
デフォルトのアラートリスクスコア
デフォルトの検出リスクスコア

これらの設定を変更する手順は次のとおりです。

ナビゲーションバーで、[設定] > [エンティティリスクスコア] を選択します。
これに合わせてリスクスコアを更新します。
[保存] をクリックします。[リスク分析] のメインページに戻ると、[エンティティリスクスコア] に変更が行われたことを確認するメッセージが画面の上部に表示されます。
（省略可）これらの値をリセットするには、値の右側にある [リセット] をクリックします。

更新は、新しいアラートと検出にのみ適用されます。変更が有効になるまで最大で 30 分かかることがあります。

エンティティリスクスコアの重み付け

重み付けでは、アラートと検出のリスクスコアがエンティティリスクスコアの計算にどのように影響するかを定義します。重み付けは 0～1 の値で、デフォルトは 0.2 です。

さまざまな数値がエンティティリスクスコアの計算にどのように影響するかの例を次に示します。

エンティティリスクスコアの重み付け 0。未加工のリスクスコアは、エンティティのすべての検出で最大の検出リスクスコアです。
エンティティリスクスコアの重み付け 1。未加工のリスクスコアは、エンティティに対するすべての検出リスクスコアの合計です。
エンティティリスクスコアの重み付け 0.5。リスクスコアは、エンティティの最大リスクスコアで検出に完全な重みを、他のすべての検出には半分の重みを設定します。

検出のデフォルトのリスクスコア

[検出のデフォルトのリスクスコア] では、検出リスクスコアのデフォルト値を割り当てることができます。検出のリスクスコアは、エンティティリスクスコアの計算に使用されます。検出のリスクスコアは、ルールの作成時に定義されます。ルールでリスクスコアが定義されていない場合は、デフォルト値が使用されます。デフォルトのスコアは 15、リスクスコアの範囲は 0～100 です。

アラートのデフォルトのリスクスコア

検出のデフォルトのリスクスコアと同様に、このフィールドではアラートのリスクスコアにデフォルト値を割り当てることができます。ルールにリスクスコアが定義されていない場合は、デフォルトの 40 が使用されます。リスクスコアの範囲は 0～1,000 です。

ルールでリスクスコアを定義する方法については、結果セクションの構文をご覧ください。

[終了] アラート係数

[終了] アラート係数は、アナリストによって [終了] とマークされたアラートのリスクスコアを変更します。0～1 の範囲内の数値（0 と 1 を含む）の浮動小数点修飾子です。デフォルトは 1.0 です。つまり、[対応待ち] アラートと [終了] アラートはすべて元のスコアを保持します。[終了] アラート係数が 0.0 の場合、[終了] アラートはすべてリスクスコア 0 を受け取り、エンティティ全体のリスクスコアを増加させなくなります。