プロセスタイムラインリンクは、ハッシュ検索など、Falconの様々なページからプロセスタイムラインに移動するためにクリックするものです。プロセスタイムラインリンクは、3本のドットが入った横棒のようなアイコンです。ハッシュ検索結果、検出詳細、イベント検索結果など、Falconの様々なページで、各プロセス名またはIDの横に表示されます。クリックすると、そのプロセスのプロセスタイムラインを含む新しいタブが開きます。PID、プロセスIDまたは親プロセスID、CIDは、プロセスタイムラインに移動するためにクリックするものではありません。

カスタムアラートルールを適切に作成するために必要な手順は次のとおりです。カスタムアラートは、定義済みのテンプレートを使用してメールアラートを設定できる機能です。これにより、環境内の特定のアクティビティについて通知を受け取ることができます。疑わしいPowerShellアクティビティ、危険な国へのネットワーク接続など、さまざまなユースケースに対応する様々なテンプレートから選択できます。アラートをスケジュールする前に、テンプレートの検索結果をプレビューすることもできます。アラートのクエリを作成したり、アラートのメールテンプレートを設定したり、新しいカスタムテンプレートを作成したりする必要はありません。これらは定義済みのテンプレートによって既に提供されています。

エージェントID (AID) とターゲットプロセスIDは、プロセスタイムラインを適切に実行するために必要な要素です。エージェントID (AID) は、Falconセンサーがインストールされている各ホストの一意の識別子です。ターゲットプロセスIDは、調査対象のプロセスのプロセスIDを10進数で表したものです。これら2つの要素は、ホスト上のプロセスに関連するイベントをクラウドに照会するために使用されます。エージェントID (AID)、ホスト名、ローカルプロセスID、ターゲットプロセスIDだけでは、プロセスタイムラインを実行するには不十分です。

Falcon脅威ハンティングのリードとは、Falconプラットフォーム内で脅威ハンティング活動を開始またはガイドするために使用できる情報です。日常的な脅威ハンティングクエリで、一時ディレクトリから1文字のファイル名（例：a.exe）のプロセス実行を示すことは、Falcon脅威ハンティングのリードの一例です。これは、Falconのデータと機能を用いてさらに調査できる潜在的な悪意のあるアクティビティを示唆する可能性があるためです。セキュリティアプライアンスのログ、ヘルプデスクのチケット、外部レポートは、Falconプラットフォームやデータに直接関連していないため、Falcon脅威ハンティングのリードの例にはなりません。

このプロセスツリーはフィッシング攻撃を示唆しています。ユーザーがメールの添付ファイル（outlook.exe）を開くと、悪意のあるマクロ（cmd.exe）が起動し、ペイロード（powershell.exe）がダウンロードされて実行され、リモートサーバー（svchost.exe）に接続します。フィッシング攻撃は、ソーシャルエンジニアリング攻撃の一種で、偽のメールやメッセージを使ってユーザーを騙し、システムや認証情報を侵害する可能性のある悪意のある添付ファイルやリンクを開かせるものです。