非ネットワークプロセスとは、notepad.exe のようにネットワーク経由で通信することが想定されていないプロセスです。これらのプロセスが送信ネットワーク接続を行う場合、侵害を受けているか、攻撃者によって悪意を持って使用されている可能性があります。PowerShell で RemoteSigned 実行ポリシーが設定されているのは、デジタル署名なしでローカルスクリプトを実行できるデフォルト設定です。インターネットブラウザが複数の DNS 要求を実行するのは、Web ブラウジングにおける通常の動作です。PowerShell が PowerShell スクリプトを起動することも、正当なタスクでは一般的な動作です。

tableコマンドは、すべてのイベント発生のリストと、フルパス、時間、ユーザー名などの選択されたフィールドのリストを生成するために使用されます。1つ以上のフィールド名を引数として受け取り、表形式で表示します。fieldsコマンドは、検索結果からフィールドを保持または削除するために使用され、リストに表示するために使用されません。distinct_countコマンドは、フィールドの一意の値をカウントするために使用され、リストに表示するために使用されません。valuesコマンドは、すべてのイベント発生を表示するためではなく、各グループ内のフィールドの一意の値のリストを表示するために使用されます。

このクエリは、サブ検索を使用してFileNameがbadprogram.exeであるprocessrollup2イベントを検索し、TargetProcessld_decimalフィールドの名前をParentProcessld_decimalに変更してメイン検索のフィルターとして使用することで、badprogram.exeを起動した親プロセスを返します。その後、statsを使用して各FileNameの_timeによる出現回数をカウントします。他のクエリでは、親プロセスが返されないか、フィールド名または構文が不適切になります。

テクニックIDは、MITRE ATT&CKフレームワークから検出の実行詳細で提供される情報です。テクニックIDは、MITRE ATT&CKフレームワーク内の各テクニックの一意の識別子です。例えば、コマンドおよびスクリプティングインタープリタの場合はT1059、フィッシングの場合はT1566などです。テクニックIDは、検出を特定の攻撃者の行動や戦術にマッピングするのに役立ちます。グループ化タグ、コマンドライン、トリガーインジケーターは、MITRE ATT&CKフレームワークから検出の実行詳細で提供される情報ではありません。

DNS要求イベントのContextProcessld_readableフィールドは、DNS要求を開始したプロセスのプロセス識別子を読み取り可能な形式で表したものです。このフィールドを使用することで、特定のドメインまたはIPアドレスと通信していたプロセスを特定できます。TargetProcessld_decimal、ContextProcessld_decimal、およびParentProcessId_decimalフィールドは、処理対象のプロセスを指しません。