データ損失防止 (DLP) は、機密データの不正な開示を防ぐことを目的とした一連のポリシーとツールです。DLP トランスポート ルールは、組織のメール サーバーで送受信される電子メール メッセージに適用されるルールです。これらのルールは、詳細なコンテンツ分析を提供できます。つまり、電子メール メッセージと添付ファイルのコンテンツをスキャンして、クライアント リストや連絡先情報などの機密データ パターンを探すことができます。ルールが DLP ポリシー違反を検出した場合、ブロック、隔離、送信者または受信者への通知などのアクションを実行できます。これにより、セキュリティが向上し、営業チームのメンバーが機密クライアント リストを個人アカウントに送信するのを防ぐことができます。参照: CompTIA サイバーセキュリティ アナリスト (CySA+) 認定試験の目標 (CS0-002)、14 ページ、https://docs.microsoft.com/en-us/exchange/security-and-compliance/mail-flow-rules/data-loss-prevention

SIEM アラート内の IP アドレスが既知の悪意のある IP アドレスかどうかをすばやく確認する最適なオプションは、C です。取り込みパイプラインに IPS のデータ エンリッチメントを追加します。データ エンリッチメントとは、外部ソースを使用して、IP アドレスなどの生データに情報とコンテキストを追加するプロセスです。データ エンリッチメントにより、アナリストは直面している脅威の性質と発生源についてより深い洞察を得て、それに応じて優先順位を付けて対応することができます。IPS (侵入防止システム) のデータ エンリッチメントとは、IPS がエンリッチメントされたデータを使用して、地理的位置、評判、脅威インテリジェンス、動作などのさまざまな基準に基づいて悪意のあるトラフィックをブロックまたは警告できることを意味します。取り込みパイプラインに IPS のデータ エンリッチメントを追加することで、アナリストは IPS の機能を活用して、SIEM に到達する前に既知の悪意のある IP アドレスをフィルター処理したり、関連情報でタグ付けしてさらに分析したりすることができます。これにより、アナリストの時間とリソースを節約し、SIEM の精度と効率を向上させることができます。その他のオプションは、取り込みパイプラインでの IPS のデータ強化ほど効果的でも効率的でもありません。会社の業界に特化した情報共有分析センター (ISAC) に参加すると (A)、貴重な脅威インテリジェンスとベスト プラクティスが得られますが、すべての悪意のある IP アドレスを網羅するにはタイムリーで包括的ではない可能性があります。脅威インテリジェンスを STIX/TAXII 形式で IPS にアップロードすると (B)、IPS は標準化された侵害指標に基づいて悪意のある IP アドレスを識別してブロックできるようになりますが、手動または定期的な更新と SIEM との統合が必要になる場合があります。SIEM アラートを表示した後に脅威フィードを確認すると (D)、アナリストは悪意のある IP アドレスを検証してコンテキストを把握できますが、損害を防止または軽減するには遅すぎるか、遅すぎる可能性があります。したがって、選択肢の中では C が最適なオプションです。

コンピュータ システムで最初に収集する必要がある最も不安定なタイプの証拠は、実行中のプロセスです。実行中のプロセスとは、現在コンピュータ システムで実行されており、メモリ、CPU、ディスク領域、ネットワーク帯域幅などのリソースを使用しているプログラムまたはアプリケーションのことです。実行中のプロセスは、システムのシャットダウン、再起動、ログオフ、またはクラッシュ時に急速に変化したり、完全に消えたりする可能性があるため、非常に不安定です。実行中のプロセスは、それらを変更または終了する可能性のある他のプロセスまたはユーザーの影響を受けることもあります。したがって、実行中のプロセスは、コンピュータ システム内の他のタイプの証拠よりも先に収集する必要があります。

アナリストはまず、ネットワーク上で最も疑わしいデバイスである p4wnp1_aloa.lan (192.168.86.56) を調べる必要があります。P4wnP1 ALOA は、キーストローク インジェクション、ネットワーク スニッフィング、中間者攻撃、バックドア作成など、さまざまな攻撃を実行できる悪意のある USB デバイスを作成するために使用できるツールです。この名前のデバイスがネットワーク上に存在する場合、攻撃者が悪意のある USB デバイスをシステムに接続し、ネットワークにアクセスした可能性があります。公式リファレンス:
https://github.com/mame82/P4wnP1_aloa