FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3（インシデント相関にMITRE ATT&CKマッピングを使用）およびFortiSOAR 7.6（インシデント分類とプレイブックのトリガーにこれらの戦術を使用）の公式ドキュメントに基づくと、以下のようになります。
* 偵察（戦術 TA0043）：この戦術は、攻撃者が標的設定を支援するために使用できる情報を能動的または受動的に収集する手法で構成されています。このシナリオでは、攻撃者は「公開されたプレスリリースから従業員の名前、役割、および電子メールのパターン」を特定します。これは、「被害者組織情報の収集（T1591）」および「公開技術データベースの検索（T1596）」に分類されます。この活動は侵害前に発生し、情報収集を伴うため、厳密には偵察です。
* 初期アクセス（戦術 TA0001）：この戦術は、さまざまな侵入経路を使用してネットワーク内で最初の足がかりを得る手法を対象としています。「受信者にリンクを使用して添付された議題を確認するよう指示するカスタマイズされた電子メールを送信する」行為は、フィッシングの定義です：スピアフィッシングリンク（T1566.002）。これは、最初の侵入を得るために使用される具体的な配信メカニズムです。
他の選択肢が間違っている理由：
* 発見（B）：この戦術は、攻撃者が既にアクセス権を取得した後、内部ネットワークに関する情報を得るために使用する技術を含みます。攻撃者は公開されているプレスリリースを閲覧しているため、ネットワーク境界の外で活動しています。
* 防御回避（D）：この戦術は、攻撃者が侵入全体を通して検出を回避するために使用する技術で構成されています。外部リンクを使用することで基本的な評判フィルターの一部を回避できる可能性がありますが、レポートで説明されている主な目的は、接触とアクセスを確立することであり、これは初期アクセス戦術の中核です。

* MITRE ATT&CKマトリックスの理解：
* MITRE ATT&CKフレームワークは、現実世界の観察に基づいた、攻撃者の戦術と技術に関する知識ベースです。
* マトリックス内の各戦術は攻撃手法の「理由」を表し、各手法は敵が戦術を実行する「方法」を表します。
* 提供された証拠資料の分析：
* この展示では、FortiAnalyzerに表示されたMITRE ATT&CKエンタープライズマトリックスの一部を示しています。
* 重点は技術T1071（アプリケーション層プロトコル）に置かれており、そのサブ技術としてT1071.001、T1071.002、T1071.003、T1071.004というラベルが付けられています。
* 各サブテクニックは、コマンド＆コントロール（C2）に使用される異なるタイプのアプリケーション層プロトコルを指定します。
* T1071.001 ウェブプロトコル
* T1071.002 ファイル転送プロトコル
* T1071.003 メールプロトコル
* T1071.004 DNS
* 重要なポイントの特定：
* T1071 の下位技術: 主要技術 T1071 の下には 4 つの下位技術がリストされており、ステートメント B が正しいことが確認されます。
* T1071のイベントハンドラ：FortiAnalyzerには、さまざまな戦術やテクニックを監視するためのイベントハンドラが含まれています。戦術T1071のイベントハンドラが存在するということは、これらの特定のサブテクニックに対してアクティブな監視とアラートが行われていることを示唆しており、ステートメントCが正しいことを裏付けています。
* 誤解を解消します：
* ステートメント A (戦術 T1071 の下に 4 つのテクニックがある) は誤りです。T1071 は 4 つのサブテクニックを持つ単一のテクニックだからです。
* ステートメントD（戦術に関連するイベントが15件）は誤解を招く表現です。15という数字は、アプリケーション層プロトコルに基づく技術の数を指しており、イベントの数とは直接関係ありません。
結論：
* 展示物の正確な解釈により、技術T1071の下に4つのサブ技術があり、戦術T1071をカバーするイベントハンドラーが存在することが確認されました。
参考文献：
MITRE ATT&CK フレームワークのドキュメント。
FortiAnalyzerのイベント処理とMITRE ATT&CKの統合に関するガイド。

* カスタムイベントハンドラーの設定について理解する：
* イベントハンドラは、特定のログデータに基づいてイベントを生成するように設定されています。
* 目標は、FortiMailによって検出されたスパムメールに特化したイベントを生成することです。
* 問題の分析：
* イベントハンドラは現在、スパムメールとクリーンメールの両方に対してイベントを生成しています。
* これは、ルールのフィルタリング基準がスパムメールと非スパムメールを正しく区別していないことを示しています。
* 選択肢の評価：
* オプションA：[ログの種類]フィールドで「スパム対策ログ（スパム）]を選択すると、スパムメールに関連するログのみが対象となります。これは、スパムメールをフィルタリングする最も簡単で正確な方法です。
* オプション B: [テキストによるログフィルタ] フィールドに type==spam と入力するとログのフィルタリングに役立つ可能性がありますが、正しいログタイプを選択するほど直接的で信頼性の高い方法ではありません。
* オプション C: データセレクターでフィルターを使用してイベントを作成するルールを無効にしても、スパムログのフィルタリングの問題は解決されません。
* オプション D:「グループ内で、ログ フィールドのスパム名 (snane) に 2 つ以上の一意の値がある」を選択しても、スパム ログのフィルタリングに直接関係がなく、フィルタリング基準が間違っている可能性があります。
* 結論：
ルールの正しい変更点は、「ログタイプ」フィールドで「スパム対策ログ（スパム）」を選択することです。これにより、イベントハンドラーはスパムメールに関するイベントのみを生成するようになります。
参考文献：
Fortinetのイベントハンドラーとログタイプに関するドキュメント。
FortiMailのスパム対策設定を構成するためのベストプラクティス。

* イベントハンドラーの設定を理解する:
* イベントハンドラーは、FortiSandboxなどの他のFortinet製品から転送されたログに基づいて、スピアフィッシングなどの特定のセキュリティインシデントを検出するように設定されています。
* イベントハンドラには、イベントがトリガーされるべき条件を定義するルールが含まれます。
* 現在の構成の分析:
* 現在のイベントハンドラは「スピアフィッシングハンドラ」という名前で、「スピアフィッシングルール1」というタイトルのルールが設定されています。
ログビューアには、FortiSandboxによってログが転送されていることが示されていますが、FortiAnalyzerによってイベントは生成されていません。
* イベント処理の主要コンポーネント：
* ログタイプ: イベントハンドラをトリガーするログの種類を決定します。
* データセレクタ：イベントをトリガーするためにログが満たすべき条件を指定します。
* オートメーションステッチ：イベント発生時にトリガーできるオプションのアクション。
* 通知: イベントが検出された際に、アラートがどのように伝達されるかを定義します。
* 問題の特定:
* FortiSandboxのログは正しく転送されているにもかかわらずイベントが生成されないため、問題はデータセレクタの設定またはログタイプのマッチングにある可能性が高いです。
* データセレクタは、FortiSandboxによって転送されるログを含めるように設定する必要があります。
* 解決：
* B. FortiSandboxデータセレクターを設定し、イベントハンドラーに追加します。
FortiSandboxログ専用のデータセレクターを設定し、それをイベントハンドラーに追加することで、FortiAnalyzerは転送されたログに基づいてイベントを正確に識別し、トリガーすることができます。
* ソリューションを導入するための手順：
* ステップ 1: FortiAnalyzer のイベント ハンドラー設定に移動します。
* ステップ 2: FortiSandbox によって転送されたログに一致する条件 (ログのサブタイプ、マルウェア検出の詳細など) を含む新しいデータセレクタを追加します。
* ステップ 3: このデータセレクタを既存のスピアフィッシングイベントハンドラにリンクします。
* ステップ 4: 設定を保存し、テストしてイベントが生成されていることを確認します。
* 結論：
イベントハンドラー内でFortiSandboxデータセレクターを正しく構成することで、FortiAnalyzerが関連するログに基づいてイベントを生成できるようになります。
Fortinet のイベント ハンドラーとデータ セレクターに関するドキュメント FortiAnalyzer イベント ハンドラー Fortinet のデータ セレクターの設定に関するナレッジ ベース FortiAnalyzer データ セレクター FortiSandbox データ セレクターを設定してイベント ハンドラーに追加することで、FortiAnalyzer は適切なログに基づいてイベントを正確に生成できるようになります。

* FortiAnalyzerにおける自動化プロセスの理解：
* FortiAnalyzerは、FortiGateデバイス上でコマンドを実行するなど、検出されたセキュリティイベントへの対応を自動化できます。
* 顧客要件の分析：
* 顧客は、ボットネットのC&CサーバーのIPアドレスが検出された場合に、FortiGate上でCLIコマンドを実行して、事前に定義されたURLをブロックしたいと考えています。
* これは、特定のイベントによってトリガーされる自動応答を必要とします。
* 選択肢の評価：
* オプション A: プレイブックは複雑なワークフローをオーケストレーションしますが、通常はイベントによって直接トリガーされる自動化プロセスには使用されません。
* オプションB：データセレクタは基準に基づいてログをフィルタリングしますが、自動化プロセスは開始しません。
* オプション C: イベント ハンドラは、特定のイベント (ボットネットの C&C サーバーの IP アドレスの検出など) を検出して、自動化ステッチをトリガーし、事前定義されたアクションを実行するように構成できます。
* オプション D: コネクタは FortiAnalyzer と他のシステム間の通信を容易にしますが、ログ イベントに基づいて自動化を開始するための主要なメカニズムではありません。
* 結論：
* ボットネットのC&CサーバーのIPアドレスが検出されたときに自動化プロセスを開始するには、FortiAnalyzerのイベントハンドラーを使用する必要があります。
参考文献：
FortiAnalyzerにおけるイベントハンドラーと自動化ステッチに関するFortinetのドキュメント。
FortiAnalyzerで自動応答を設定するためのベストプラクティス。