説明
トリアージは、イベントまたは誤検知を開始するために、対応者が実行できる最初の検出後のインシデント対応方法です。効率的で正しいトリアージ方法を構築すると、アナリストの疲労を軽減し、インシデントへの対応と適切な対応にかかる時間を短縮し、有効なアラートのみを「調査またはインシデント」ステータスに昇格させることができます。
危機的状況では一秒一秒を争うため、トリアージ方法のあらゆる部分を緊急に実行する必要があります。しかし、トリアージ対応者は、扱いにくい入力供給をフィルタリングして、凝縮されたイベントの細流にするという厳しい課題に直面しています。知識が検証される前に分析を迅速化するためのいくつかの提案を次に示します。
* 組織: 対応者にタスクを割り当てるワークフローを開発することで、冗長な分析を削減します。
複数の応答者間で電子メール ボックスまたは電子メール エイリアスを共有しないようにしてください。代わりに、セキュリティ オーケストレーション、自動化、および応答 (SOAR) ソリューションのようなワークフロー ツールを使用して、タスクを割り当てます。
トリアージの対象外のタスクを再割り当てまたは拒否するメソッドを実装します。
* 相関: Security Info and Even Management (SIEM) などのツールを使用して、類似したイベントを混合します。潜在的に関連するイベントを 1 つの有用なイベントにリンクします。
* データ強化: レスポンダーが毎日実行する一般的なクエリ (DNS 逆引き参照など) を自動化します。
* 脅威インテリジェンスの検索、および IP/ドメインのマッピング。この知識をイベント レコードに追加するか、簡単にアクセスできるようにします。
全速力で前進することは、最初の分類方法を通過できたおかげですが、イベントの検証全体を通じて、多くの詳細で慎重なアプローチが必要です。セキュリティ オペレーション センター (SOC) またはサイバー インシデント対応チーム (CIRT) のアナリストによって正確に評価される確実な事例を提示することが重要です。
検証に関する多くのヒントを次に示します。
* 隣接データ: イベントに隣接するデータを確認します。たとえば、エンドにウイルス シグネチャがヒットした場合、より多くの応答メトリクスを得るために、キャリアの前にウイルスが実行されている証拠があるかどうかを視覚化します。
* インテリジェンスのレビュー: インテリジェンスに関するコンテキストを理解します。IP アドレスが先週ボットネットの一部としてフラグを立てられたからといって、それが現在もボットネットの要素であることを意味するわけではありません。
* 初期優先度: 運用上のインシデントの優先順位に合わせて、インシデントを適切に分類します。すべてのインシデントに適切なレベルの取り組みが適用されるようにします。
* クロス分析: 知識の正確性を高めるために、複数の知識ソース間で科学アドレスやドメイン名などの潜在的に共有されているキーを探して分析します。

WS-Address は、非同期通信をサポートするために SOAP ヘッダーに追加のルーティング情報を提供します。この技術により、異なる TCP 接続を使用した Web サービス要求と応答メッセージの送信が可能になります。
https://www.google.com/search?client=firefox-bd&q=WS-Address+spoofing
CEH V11 モジュール 14 ページ 1896

True Positive - IDS は動作を攻撃と呼んでいますが、実際には True Negative - IDS は動作を攻撃ではなく参照しており、実際には攻撃ではありません False Positive - IDS は動作を攻撃と呼んでいますが、実際にはそうではありません偽陰性 - IDS は攻撃ではなく動作を指しますが、実際には攻撃です。
偽陰性 - 最も深刻で危険な状態です!!!!