ファイル名、パス、ローカルおよびグローバルの普及度は、外部ソースやツールに頼ることなくファイルの初期分析に役立つ指標です。ファイル名は、正規のアプリケーションか悪意のあるペイロードかなど、ファイルの目的や出所を示すことができます。ファイルパスは、一時ディレクトリかシステムディレクトリかなど、ファイルがどこに保存または実行されたかを示します。ローカルおよびグローバルの普及度は、環境内またはすべてのFalcon顧客におけるファイルの一般的またはまれな頻度を示し、ファイルのリスクや影響を評価するのに役立ちます。

ホスト検索ページのユーザー名列に「hostnameS」と表示されている場合、イベントに関連付けられたユーザー名がないことを意味します。これは、イベントがユーザーコンテキストを持たないシステムプロセスまたはサービスに関連している場合に発生する可能性があります。これは、ユーザー名がシステムユーザーである、ユーザー名がダッシュボードに関連しない、またはFalconセンサーがユーザー名を判別できなかったことを意味するものではありません。

探索仮説とは、データと分析を用いて検証可能な、悪意のある可能性のあるアクティビティを記述した記述です。優れた探索仮説は、具体的で検証可能であり、問​​題や目標に関連している必要があります。今回のケースでは、VPN などのリモート アクセス メカニズムに対してパスワード推測攻撃が実行されているという、以下に示す最適な探索仮説が考えられます。これは、ユーザー アカウントのロックアウトの考えられる原因と手法を具体的かつ検証可能な方法で説明しているためです。Microsoft Exchange サーバーのゼロデイ脆弱性は漠然としており、ロックアウトとの関連性が説明されていません。ハッキングされた Web アプリケーションも漠然としており、ロックアウトの原因が特定されていません。ユーザーが最近パスワードを変更したためにアカウントがロックアウトされたとしても、それは悪意のあるアクティビティではなく、通話の増加の原因にはなりません。

脅威ハンティングフレームワークとは、脅威ハンティング活動の計画、実行、改善を導くための方法論です。脅威ハンティングフレームワークを使用するメリットは、脅威ハンティングを一貫性と効率性をもって実施するための、実践的で反復可能な手順を提供することです。脅威ハンティングフレームワークは、インシデントレポートの自動生成、誤検知の排除、脅威アクターの高精度なアトリビューションの提供などを行うものではありません。これらの機能は、データソース、ツール、分析スキルといった他の要因に依存しているためです。

renameコマンドは、table、chart、statsなどの変換コマンドを使用する際にフィールド名を変更するために使用されます。このコマンドは変換コマンドの後に使用し、ASキーワードで古いフィールド名と新しいフィールド名を指定できます。クエリで正しいフィールド名を使用している限り、フィールド名を変更してもサブクエリや統計分析には影響しません。フィールド名の後にrenamedキーワードと希望する名前を続けて指定する方法は、フィールド名の変更には有効ではありません。