FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEMのルールエンジンは、サブパターンを評価して複雑な攻撃動作を検出します。ルールでCOUNT（一致したイベント）などの集計条件を使用する場合、エンジンは特定のアーキテクチャパラメータに基づいてこの値を計算します。
* グループ化属性 (A): エンジンは、各固有の組み合わせごとに個別のカウンターを保持します。
サブパターンで定義された「グループ化」属性。たとえば、「送信元IPアドレス」でグループ化すると、エンジンは各固有IPアドレスのイベント数を個別に追跡します。
* 時間枠（C）：カウントは特定の時間間隔（例：5分）を基準としています。エンジンは、このスライディングウィンドウまたは固定ウィンドウの範囲内にあるイベントのみをカウントします。イベントがこのウィンドウの範囲外になると、集計カウントには含まれなくなります。
* 検索フィルター（D）：特定の「検索フィルター」条件（例：イベントタイプ＝「ログイン失敗」）を満たすイベントのみが「一致イベント」とみなされます。このフィルターは、ルールエンジンがカウントを適用する前に処理するデータの範囲を定義します。
他の選択肢が間違っている理由：
* データソース（B）：データソースはログの出所を決定しますが、ルールエンジン自体は、生のデータソースではなく、解析された属性（検索フィルターで定義）を使用してカウントを決定します。
複数のデータソースが同じフィルターやカウント結果に影響を与える可能性があります。
* インシデントアクション（E）：インシデントアクション（メールの送信やSOARプレイブックのトリガーなど）は、ルールの実行結果です。これらは、評価フェーズにおける内部ロジックやイベント数の計算には影響しません。

FortiSIEM 7.3およびFortiSOAR 7.6で使用されているMITRE ATT & CKマッピングに従って、記述された動作は、次の技術に対応します。
* 非標準ポート (T1571): この手法では、攻撃者が通常関連付けられないプロトコルとポートの組み合わせを使用して通信を行います。インシデントレポートでは、標準ポート443ではなくTCP 8443でHTTPS (TLS) トラフィックが実行されていることが特定されます。FortiSIEMには、このようなプロトコルとポートの不一致を検出するように設計された「疑わしい典型的なマルウェアのバックコネクトポート」などの相関ルールが組み込まれています。
* 代替プロトコルによるデータ漏洩 (T1048): この手法では、攻撃者が主要なコマンドおよび制御 (C2) チャネルとは異なるプロトコルを使用してデータを漏洩させることでデータを盗み出すことを説明します。このシナリオでは、C2 チャネルはポート 8443 で HTTPS を介して確立されますが、攻撃者はサイズの大きい TXT ペイロードを使用した DNS クエリを使用してステージングされたファイルを転送します。DNS は、標準的なデータ転送監視および送信フィルタリングを回避するために使用される一般的な「代替プロトコル」です。
誤った選択肢の分析：
* リモートサービスの悪用（B）：この手法は、初期アクセスまたは横方向移動の戦術に分類され、SMBやRDPなどのネットワークサービスの脆弱性を利用してシステムへの侵入を図ることに重点を置いています。確立されたC2チャネルの維持やデータの持ち出しには適用されません。
* 痕跡の隠蔽 (D): これは、攻撃者がログファイルやレジストリキーなどの痕跡を削除することで、自身の存在を隠蔽しようとする防御回避技術です。攻撃者は「通常のトラフィックを模倣」していますが、非標準ポートの使用やDNSの漏洩といった具体的な行為は、より具体的な技術によって定義される主要な行動シグネチャです。

* 脅威ハンティングデータの理解：
* 提供された資料にある脅威ハンティングモニターには、さまざまなアプリケーションサービス、その使用回数、および送信バイト数、平均送信バイト数、最大送信バイト数などのデータメトリックが表示されます。
* 展示の2番目の部分は、特定の送信元IPアドレス（10.0.1.10）から宛先IPアドレス（8.8.8.8）への接続試行を一覧表示し、「接続失敗」メッセージが繰り返し表示されていることを示しています。
* アプリケーションサービスの分析：
* DNSは、非常に高い件数（251,400）と注目すべき送信バイト数（9.1 MB）を誇る、トップのアプリケーションサービスです。
* この大量の DNS トラフィックは、通常の DNS クエリとしては異例であり、DNS トンネリングの存在を示している可能性があります。
* DNSトンネリング：
* DNSトンネリングとは、攻撃者がDNSクエリとレスポンスにデータをエンコードすることでセキュリティ制御を回避するために用いる手法です。これにより、攻撃者は検出されることなくローカルネットワークからデータを抽出できます。
* 大量のDNSトラフィックと詳細なメトリクスから、DNSトンネリングが使用されている可能性が示唆される。
* 8.8.8.8への接続失敗:
* 送信元IPアドレス(10.0.1.10)から宛先IPアドレス(8.8.8.8)への接続試行が繰り返され、接続に失敗している場合は、外部サーバーとの通信を試みている可能性があります。
* Google DNS (8.8.8.8) は、その信頼性とグローバルな普及率から、DNS トンネリングによく使用されます。
* 結論 ：
* 大量のDNSトラフィックと接続試行の性質を考慮すると、DNSトンネリングがローカルネットワークから機密データを抽出するために使用されていると結論付けるのは妥当である。
* 他の選択肢が実現しにくい理由：
* スピアフィッシング（A）：提供されたデータには、電子メールログやフィッシング指標など、スピアフィッシングの試みを示す証拠はありません。
* 偵察（C）：データには、メールサーバーのスキャンやプロービングなどの典型的な偵察活動は示されていません。
* FTP C & C (D) : 提供されたデータには、FTP トラフィックや FTP を使用したコマンドおよび制御通信の証拠はありません。
:
SANS Institute: " DNS トンネリング: DNS クエリによるデータ漏洩とトンネリングの検出方法 " SANS DNS トンネリング OWASP: " DNS トンネリング " OWASP DNS トンネリング 提供された脅威ハンティングデータを分析すると、DNS トンネリングがデータ漏洩に使用されていることが明らかになり、ネットワークから機密情報を抽出する高度な方法が示されています。

* 問題の理解：
* FortiGateデバイスのうち1台が、他のデバイスと比較して著しく大量のログを生成しており、ADOMのストレージ容量を超過しています。
* これにより、FortiAnalyzer内でのパフォーマンスの問題やログの効率的な管理の困難が生じる可能性があります。
* 考えられる解決策：
* 目標は、ログの量を管理し、ADOM が割り当て量を超えないようにしつつ、効果的なログ分析と監視を維持することです。
* 解決策 A: 最初の FortiGate デバイスのストレージ容量クォータを増やす:
ストレージ容量の割り当てを増やすことで一時的な緩和は得られるかもしれませんが、問題の根本原因である過剰なログ容量の解決にはなりません。
* 丸太の量は今後も増加し続ける可能性があるため、この解決策は長期的には持続可能ではないかもしれません。
長期的に見て効率的な解決策とはならないため、選定されませんでした。
* 解決策 B: 最初の FortiGate デバイス用に別の ADOM を作成し、異なるストレージ ポリシー セットを構成します。
* 個別の ADOM を作成することで、ログ量の多いデバイスに特化したストレージ ポリシーと管理をカスタマイズできます。
* これにより、ストレージ負荷を分散し、より厳格な、またはカスタマイズされた保持およびストレージポリシーを適用するのに役立ちます。
* ログの保存と整理を効果的に管理できるため選定しました。
* 解決策 C: 最初の FortiGate デバイスを再設定して、FortiAnalyzer に転送するログの数を減らします。
* FortiGateデバイスのログ設定を調整することで、FortiAnalyzerに転送されるログの量を減らすことができます。
* これには、不要なログ記録の無効化、ログレベルの引き下げ、重要度の低いログのフィルタリングなどが含まれます。
* ログ容量過多の問題に直接対処できるため、選定しました。
* 解決策 D: 最初の FortiGate デバイスから送信されるデータをフィルタリングするようにデータセレクターを設定します。
* データセレクタを使用すると、FortiAnalyzerに送信されるログをフィルタリングして、関連するログのみが転送されるようにすることができます。
* これはログの量を減らすのに役立ちますが、重要なログを見落とさないようにするためには、詳細な設定と定期的な更新が必要になる場合があります。
* FortiGateデバイス上でログ設定を直接再構成するほど効果的ではない可能性があるため、選択しませんでした。
* 実装手順：
* 解決策Bの場合：
* ステップ 1: FortiAnalyzer にアクセスし、ADOM 管理セクションに移動します。
* ステップ 2: ログ量の多い FortiGate デバイス用に新しい ADOM を作成します。
* ステップ 3: FortiGate デバイスをこの新しい ADOM に登録します。
* ステップ 4: 新しい ADOM に対して、ログの保持と保存を管理するための特定のストレージ ポリシーを設定します。
* 解決策Cの場合：
* ステップ 1: FortiGate デバイスの設定インターフェースにアクセスします。
* ステップ2：ログ設定に移動します。
* ステップ 3: ログレベルを調整し、不要なログを無効にします。
* ステップ 4: 設定を保存し、FortiAnalyzer に送信されるログ ボリュームを監視します。
FortiAnalyzer ADOMとログ管理に関するFortinetドキュメント FortiAnalyzer管理ガイド FortiGateでのログ設定の構成に関するFortinetナレッジベース FortiGateロギングガイド ログ量の多いFortiGateデバイス用に個別のADOMを作成し、そのロギング設定を再構成することで、ログ量を効果的に管理し、ADOMがクォータを超えないようにすることができます。

* FortiAnalyzerのデータポリシーとディスク使用率について理解する：
* FortiAnalyzerは、データポリシーを使用してログの保存、保持、およびディスク使用量を管理します。
* データポリシーのセクションでは、分析およびアーカイブ目的でログがどのくらいの期間保持されるかを示します。
* 「ディスク使用率」セクションでは、割り当てられたディスク容量、分析およびアーカイブに使用される割合、ならびにディスク使用状況に基づいてアラートをトリガーするタイミングを指定します。
* 提供された証拠資料の分析：
* 分析用ログの保持期間：60日間
* アーカイブ用ログの保持期間：120日間
* ディスク割り当て：300 GB（最大441 GBまで利用可能）
* 分析：アーカイブ比率：30％：70％
* 使用率が90%に達したらアラートと削除を実行する
* 潜在的な問題点の特定：
* ディスク容量の割り当て: 割り当てられているディスク容量は、可能な 441 GB のうち 300 GB です。ログの量が多い場合は不足しないかもしれませんが、与えられたデータに基づくと、これが主な懸念事項ではありません。
* 分析とアーカイブの比率：分析に30%、アーカイブに70%という比率は異例です。
通常、リアルタイムまたは最新のデータ分析が優先されるため、分析用に割り当てられる割合は高くなります。一般的な構成としては、分析用70%、アーカイブ用30%といった比率が挙げられます。この比率が適切でないと、分析用の容量が不足し、リアルタイムの監視や分析に問題が生じる可能性があります。
* 保持期間: 保持期間が長いように見えるかもしれませんが、具体的なログ量やコンプライアンス要件がわからない限り、必ずしも問題を示すものではありません。
これらの期間の長さは、組織のニーズや法的要件によって異なる場合があります。
* 結論：
分析の結果、主な問題点として、分析データとアーカイブデータの比率が正しく設定されていないことが挙げられます。この設定ミスは、FortiAnalyzerのリアルタイムログ分析の有効性に重大な影響を与え、脅威の検出と対応の遅延につながる可能性があります。
参考文献：
FortinetのFortiAnalyzerデータポリシーとディスク管理に関するドキュメント。
FortiAnalyzerのログ管理とディスク使用率に関するベストプラクティス。