[Dashboard] タブをクリックします。

1. ヘルスステータス。ネットワークで検出された脅威の全体的な概要をリスクレベル別に表示します。未解決のユーザは、リスクカテゴリ別にグループ化されます。多数の低リスクの脅威は、時間の経過とともにより深刻な脅威につながる可能性があることに注意してください。

2. 相対的な脅威の危険性。同じセクター内の他の企業、同規模の企業、および世界中のすべての企業と比較した、インシデントの数とリスクレベルに基づく脅威の危険性。

3. 特定の動作。ネットワークで検出された脅威と未解決の動作の高レベルの内訳。

4. 最高リスク。現在ネットワークに最も高いリスクをもたらし、早急な対応が必要な未解決のインシデント。

5. 上位のリスクエスカレーション。最近リスクが増加している未解決のインシデント。

[Confirmed] タブをクリックします。

1. このセクションでは、ネットワーク上で確認された脅威および侵害（100% の信頼レベルのインシデント）とその関連情報について示します。

2. 相関動作とともに検出されたインシデントは、脅威キャンペーンにグループ化され、各脅威キャンペーンは一意のハッシュタググループ名によってラベル付けされます。

3. 脅威キャンペーンは、ページの右側にある垂直のパネルに表示されます。状態ボックスをチェックして、どの脅威キャンペーンをパネルに表示するのかフィルタすることができます。

4. リスクの数字が大きければ、ネットワークに影響を与えるリスクが高い脅威であることを示します。クラスタ化されたインシデントを含む、より高いリスクの脅威を調査することで、分析の優先順位付けをします。

5. 調査に多くの時間を必要としないインシデントについては、迅速な対処が必要です。Cognitive Intelligence の結果に対してワークフローを調整するため、リカバリプロセスを設定します。

6. 脅威に固有の説明を確認し、対象をより明確にした修復のために推奨されるアクションを確認します。

[Detected] タブをクリックします。

1. このセクションでは、相関性のない Cognitive Intelligence インシデントおよび AMP のレトロスペクティブ インシデントを含む、検出されたインシデントの概要を示します。また、[Confirmed] セクションの脅威にグループ化された、相関性のある Cognitive Intelligence インシデントを表示することもできます。

2. AMP や Cognitive Intelligence を選択し、日付選択、検索フィールド、環境設定、および状態を調整することで、どのインシデントが示されるかをフィルタすることができます。

3. [Email Notifications] ページを使用して電子メールアドレスを入力し、24 時間おきに新しい更新されたインシデントのサマリーが送信されるようにします。

インシデントの調査を開始するには、そのインシデントをクリックして、その詳細を見直します。リスクと信頼性の高いものを優先してインシデントを調査します。インシデントは通常、複数のアクティビティや疑わしい動作のタイプで構成されます。

影響を受けているデバイスまたはサーバを識別します。

インシデント内の異常について情報を一覧できる並行座標グラフを調査します。相互接続情報を表示するには、折れ線グラフの各座標のノードにカーソルを合わせます。

1. リスク要因が最も高いものから開始し、低い方へと進みます。

2. [Time] 列の情報に注意します。マルウェアの活動がレポートされている時間の長さを確認します。高度なマルウェアの活動の特徴の 1 つは、通信が長期にわたって持続することです。インシデントが数日または数週間レポートされている場合は、高度なマルウェアによってインシデントが引き起こされている可能性が高まります。

3. 最近継続している活動を識別します。過去 48 時間の間に発生した異常に焦点を当てます。

4. 並行して発生する異常を探します。異常のシーケンスは、使用中のコマンドアンドコントロール通信チャネルを示唆する場合があります。

5. 接続された行を確認します。ドメインはまとまって成立していますか? それらが関連付けられていますか? IP アドレスが変わるのは、疑わしいドメインです。ドメインがデータを転送しているかどうかを判断するために、Web フローテーブルに関連付けます。

6. 多くの場合、より多くのマルウェアトラフィックが含まれているため、最も高いリスク要因に関連する異常を確認します。

7. 異常は、同じ AS、または異なる所有者および異なる場所の異なるシステムに結びついたものですか? ハッキングされ、攻撃元として使用されたシステムであることを示している可能性があります。

Web フローをフィルタリングするには、グラフを使用できます。1 つ以上のノードを選択してクリックし、関連する Web フローを表示します。

1. サーバの横のボックスに注意してください。赤のボックスは、そのサーバに対してマイナスの IP レピュテーションがあることを意味します。ドメイン名が含まれています。マイナスの IP レピュテーションは、攻撃者が運営するドメインからの疑わしい通信があったことを示すことがあります。

2. サーバから返される HTTP ステータスコードに注意してください。ステータスコードの横にある赤い [x] ボックスは、Web プロキシによってフローがブロックされたことを示します。ブロックされていないために、マルウェアの動作を許してしまっている、少なくとも 1 つのコマンドアンドコントロール（C&C）チャネルを持つインシデントに焦点を当てます。

検出されたインシデントは、100% 未満の信頼レベルです。実際のインシデントの詳細に基づいて、次の要因は、報告されたリスクを低減する、または増加する可能性があります。