出力には、ポート スキャンの結果が表示されます。ポート スキャンは、開いているポートとネットワーク ホスト上で実行されているサービスを識別するために使用される手法です。ポート スキャンは、攻撃者が潜在的な脆弱性を発見して悪用するために使用したり、防御者がネットワーク デバイスのセキュリティ体制と構成を評価したりするために使用できます1。出力には、ターゲット ホスト上で開いている 6 つのポートが、関連するサービス名とバージョンとともにリストされます。各ポートで。サービス名は、ポートを使用しているアプリケーションまたはプロトコルのタイプを示し、バージョンはサービスの特定のリリースまたはアップデートを示します。サービス名とバージョンは、サービスの機能、特徴、弱点を明らかにすることができるため、攻撃者と防御者の両方に有益な情報を提供します。
リストされている 6 つのポートのうち、2 つは特に危険であり、セキュリティ チームによってさらに調査される必要があります。
ポート 23 とポート 636。
ポート 23 は、リモート ログインおよびコマンド実行用の古くて安全でないプロトコルである Telnet によって使用されます。
Telnet は、ユーザー名やパスワードを含め、ネットワーク上で送信されるデータを暗号化しないため、攻撃者による盗聴、傍受、変更に対して脆弱になります。Telnet には、攻撃者が不正アクセスを取得したり、任意のコマンドを実行したり、ターゲット ホストでサービス拒否攻撃を引き起こしたりする可能性がある既知の脆弱性が多数あります23。ポート 636 は、LDAP over SSL/TLS (LDAPS) によって使用されます。安全な接続を介したディレクトリ サービスへのアクセスと変更。LDAPS は、認証、機密性、整合性を提供する SSL/TLS 証明書を使用して、クライアントとサーバー間で交換されるデータを暗号化します。ただし、LDAPS は、証明書が適切に構成、検証、または更新されていない場合、攻撃に対して脆弱になる可能性があります。たとえば、攻撃者は自己署名証明書または期限切れの証明書を使用して、LDAPS 接続に対して中間者攻撃、スプーフィング攻撃、または証明書失効攻撃を実行する可能性があります。
したがって、セキュリティ チームは、ターゲット ホストでポート 23 とポート 636 が開いている理由と、それらのホストでどのようなサービスが実行されているかをさらに調査する必要があります。セキュリティ チームは、これらのサービスを無効にするか、ポート 23 の SSH やポート 6362 の StartTLS など、より安全な代替サービスに置き換えることも検討する必要があります。

これは、マクロを使用してマルウェアをダウンロードして実行する PowerShell コマンドを実行するという一般的な手法を反映しているため、会社のラップトップ上で不審なアクティビティが発生した可能性が最も高いのは、悪意のあるマクロを含む Office ドキュメントが開かれたということです。マクロは、タスクを自動化したり、Word ファイルや Excel スプレッドシートなどの Office ドキュメントでアクションを実行したりできるコードの一部です。マクロは便利で正当なものですが、脅威アクターによって悪用されて、マルウェアを配布したり、システム上で悪意のあるアクションを実行したりする可能性もあります。悪意のあるマクロは、フィッシングメールの添付ファイルとして送信されたり、侵害された Web サイトでホストされたりする Office ドキュメントに埋め込まれる可能性があります。ユーザーがドキュメントを開くと、悪意のあるコードの実行を引き起こすマクロまたはコンテンツを有効にするように求められる場合があります。悪意のあるマクロは、Windows に組み込まれているスクリプト言語およびコマンド ライン シェルである PowerShell を使用して、リモート URL からのマルウェアのダウンロードと実行、セキュリティ制御のバイパス、システム上での永続性の確立などのさまざまなタスクを実行できます。 。ログの抜粋では、PowerShell が WebClient.DownloadString メソッドを使用して URL から文字列をダウンロードするために使用されたことを示しています。これは、インターネットから悪意のあるコードを取得して実行する一般的な方法です。ログには、難読化されたコードを含む式 (iex) を呼び出すために PowerShell が使用されたことも示されています。これは、検出と分析を回避するもう 1 つの一般的な方法です。
他のオプションは、ログの抜粋の証拠と一致しないため、悪意のあるマクロを含む Office ドキュメントが開かれた可能性は低くなります。資格情報を盗む Web サイトにアクセスした可能性はありますが、URL からコードをダウンロードして実行するために PowerShell が使用された理由は説明されていません。電子メール内のフィッシング リンクがクリックされた可能性もありますが、リンクをクリックした後に何が起こったのか、PowerShell がどのように関与したのかについては説明されていません。URL からコードをダウンロードして実行するために PowerShell が使用された理由が説明されていないため、Web ブラウザーの脆弱性が悪用された可能性は低いです。

説明
従業員のメールボックスに訴訟ホールドを設定すると、潜在的な法的または法医学的な目的で、削除されたアイテムや変更されたアイテムの元のバージョンを含むすべてのメールボックスのコンテンツが保存されるため、最初に実行するのが最善のアクションです。訴訟ホールドは、ユーザーのアクションや保持ポリシーに関係なく、管理者がユーザーのメールボックス データを無期限または指定した期間保持できるようにする機能です。訴訟ホールドは、Exchange Server または Exchange Online の訴訟ホールドまたはインプレース ホールドを使用してメールボックスに適用できます。訴訟ホールドは、データの流出やその他の悪意のある活動の証拠が紛失したり改ざんされたりしないようにし、組織が法的または規制上の義務を遵守できるようにするのに役立ちます。その他の措置は、データ損失や侵害の差し迫った脅威に対処するものではないため、従業員のメールボックスに法的ホールドを適用するほど緊急性も効果性もありません。Web プロキシでフィルタリングを有効にすると、一部の種類のデータ漏洩や悪意のあるトラフィックを防ぐことができますが、すでに外部に電子メールで送信されたデータを回復したり保存したりすることには役立ちません。CASB (クラウド アクセス セキュリティ ブローカー) を使用してパブリック電子メール アクセスを無効にすると、従業員によるパブリック電子メール サービスの使用をブロックまたは監視するのには役立ちますが、既に外部に電子メールで送信されたデータの回復や保存には役立ちません。ファイアウォールで拒否ルールを構成すると、従業員のラップトップからのネットワーク トラフィックをブロックしたり監視したりするのには役立ちますが、既に外部に電子メールで送信されたデータを回復したり保存したりすることには役立ちません。

説明
しきい値は、アラートをトリガーするメトリックまたはイベントの最小レベルまたは最大レベルを定義するパラメータです。たとえば、ログイン試行の失敗回数が 2 回を超えたときに警告するようにしきい値を設定できます。
1 時間に 10 回、または CPU 使用率が 15 分以上続いて 20% を下回った場合。しきい値を設定することで、プロセスは無関係または重要ではないアラートを除外し、潜在的な問題や異常を示すアラートに焦点を当てることができます。しきい値は、アラート システムのノイズと誤検知を軽減し、分析の効率と精度を向上させるのに役立ちます12