* 脅威ハンティングデータの理解：
* 提供された資料にある脅威ハンティングモニターには、さまざまなアプリケーションサービス、その使用回数、および送信バイト数、平均送信バイト数、最大送信バイト数などのデータメトリックが表示されます。
* 展示の2番目の部分には、特定の送信元IPアドレス（10.0.1.10）から宛先IPアドレス（8.8.8.8）への接続試行がリストされており、「接続失敗」メッセージが繰り返し表示されています。
* アプリケーションサービスの分析：
* DNSは、非常に高い件数（251,400）と注目すべき送信バイト数（9.1 MB）を誇る、トップのアプリケーションサービスです。
* この大量の DNS トラフィックは、通常の DNS クエリとしては異例であり、DNS トンネリングの存在を示している可能性があります。
* DNSトンネリング:
* DNSトンネリングとは、攻撃者がDNSクエリとレスポンスにデータをエンコードすることでセキュリティ制御を回避するために用いる手法です。これにより、攻撃者は検出されることなくローカルネットワークからデータを抽出できます。
* 大量のDNSトラフィックと詳細なメトリクスから、DNSトンネリングが使用されている可能性が示唆される。
* 8.8.8.8への接続失敗:
* 送信元IPアドレス(10.0.1.10)から宛先IPアドレス(8.8.8.8)への接続試行が繰り返され、接続に失敗している場合は、外部サーバーとの通信を試みている可能性があります。
* Google DNS (8.8.8.8) は、その信頼性とグローバルな普及率から、DNS トンネリングによく使用されます。
* 結論：
* 大量のDNSトラフィックと接続試行の性質を考慮すると、DNSトンネリングがローカルネットワークから機密データを抽出するために使用されていると結論付けるのは妥当である。
* 他の選択肢が実現しにくい理由：
* スピアフィッシング（A）：提供されたデータには、電子メールログやフィッシング指標など、スピアフィッシングの試みを示す証拠はありません。
* 偵察（C）：データには、メールサーバーのスキャンやプロービングなどの典型的な偵察活動は示されていません。
* FTP C&C (D): 提供されたデータには、FTP トラフィックや FTP を使用したコマンドおよび制御通信の証拠はありません。
SANS Institute: "DNS トンネリング: DNS クエリによるデータ漏洩とトンネリングの検出方法" SANS DNS トンネリング OWASP: "DNS トンネリング" OWASP DNS トンネリング 提供された脅威ハンティングデータを分析すると、DNS トンネリングがデータ漏洩に使用されていることが明らかになり、ネットワークから機密情報を抽出する高度な方法が示されています。

正確な抜粋：「次に、SSH トンネリングを使用して、LAN デバイスが SOC ネットワーク内の一部のデバイスにアクセスできないようにするファイアウォール ルールを回避します。重要なネットワーク インフラストラクチャにアクセスできるようになります。」正解は D. プロトコル トンネリングです。図では、侵害された PC が SSH を使用して許可された中間システム (エンジニアリング ビルド サーバー) に接続し、そのパスを使用して、LAN ホストが通常直接アクセスできない内部サーバーに HTTPS トラフィックを中継している様子が示されています。これがトンネリングです。1 つのプロトコルまたはトラフィック フローが、別の許可されたチャネルを介してカプセル化または中継され、セグメンテーションまたはファイアウォール ポリシーを回避します。
Aは誤りです。ポートノッキングは、一連の接続試行によってポートを開くステルスアクセス制御メカニズムです。Bは誤りです。展示内容は内部サーバーへのアクセスに関するものであり、確立されたC2チャネルを介したデータの窃盗に関するものではありません。Cは誤りです。2つの被害者間のトラフィックの傍受や操作は行われておらず、ビルドサーバーがピボット/トンネルとして使用されています。
技術的な詳細分析: MITRE の用語では、この動作はトンネリング/プロキシスタイルの防御回避と横方向移動のサポートに該当します。実際の運用では、攻撃者は SSH ローカル転送、リモート転送、または動的 SOCKS プロキシを使用する可能性があります。たとえば、ssh -L 8443:internal-server:443 user@build-server または ssh -D 1080 user@build-server などです。Fortinet SOC の観点からは、FortiSIEM はワークステーションからビルドサーバーへの異常な SSH セッション、それに続くビルドサーバーから保護されたサーバーゾーンへの予期しない HTTPS 接続をフラグ付けする必要があります。FortiGate NP/CP オフロードは許可されたセッションを高速化する可能性がありますが、検出価値は ASIC の動作ではなく、ログの相関とセグメンテーション ポリシー違反から得られます。

* FortiAnalyzerにおけるインシデント作成の理解：
* FortiAnalyzerでは、セキュリティイベントを追跡および管理するためのインシデントを作成できます。
* インシデントは、検出されたイベントと事前定義されたルールに基づいて、自動的にも手動でも作成できます。
* 分析手法：
* オプション A:コネクタ アクションを使用すると、通常は他のシステムやサービスとの統合が必要となり、FortiAnalyzer 上でインシデントを直接作成する方法ではありません。
* オプション B: イベント モニター ページで関連するイベントを選択し、それらのイベントからインシデントを作成することで、インシデントを手動で作成できます。
* オプション C: プレイブックは応答やアクションを自動化できますが、インシデントの直接作成は通常、イベント ハンドラーまたは手動プロセスによって管理されます。
* オプション D: カスタムイベントハンドラーを設定することで、特定のイベントや条件に基づいてインシデントの作成をトリガーし、FortiAnalyzer 内でのプロセスを自動化できます。
* 結論：
* FortiAnalyzerでインシデントを作成する有効な方法は、イベントモニターページで手動で作成する方法と、カスタムイベントハンドラーを使用する方法の2つです。
参考文献：
FortiAnalyzerにおけるインシデント管理に関するFortinetのドキュメント。
FortiAnalyzerのイベント処理とカスタマイズに関するガイド。

* 問題の理解：
* FortiGateデバイスのうち1台が、他のデバイスと比較して著しく大量のログを生成しており、ADOMのストレージ容量を超過しています。
* これにより、FortiAnalyzer内でのパフォーマンスの問題やログの効率的な管理の困難が生じる可能性があります。
* 考えられる解決策：
* 目標は、ログの量を管理し、ADOM が割り当て量を超えないようにしつつ、効果的なログ分析と監視を維持することです。
* 解決策 A: 最初の FortiGate デバイスのストレージ容量クォータを増やす:
ストレージ容量の割り当てを増やすことで一時的な緩和は得られるかもしれませんが、問題の根本原因である過剰なログ容量の解決にはなりません。
* 丸太の量は今後も増加し続ける可能性があるため、この解決策は長期的には持続可能ではないかもしれません。
長期的に見て効率的な解決策とはならないため、選定されませんでした。
* 解決策 B: 最初の FortiGate デバイス用に別の ADOM を作成し、別のストレージ ポリシー セットを構成します。
* 個別の ADOM を作成することで、ログ量の多いデバイスに特化したストレージ ポリシーと管理をカスタマイズできます。
* これにより、ストレージ負荷を分散し、より厳格な、またはカスタマイズされた保持およびストレージポリシーを適用するのに役立ちます。
* ログの保存と整理を効果的に管理できるため選定しました。
* 解決策 C: 最初の FortiGate デバイスを再設定して、FortiAnalyzer に転送するログの数を減らす:
* FortiGateデバイスのログ設定を調整することで、FortiAnalyzerに転送されるログの量を減らすことができます。
* これには、不要なログ記録の無効化、ログレベルの引き下げ、重要度の低いログのフィルタリングなどが含まれます。
* ログ容量過多の問題に直接対処できるため、選定しました。
* 解決策 D: 最初の FortiGate デバイスから送信されるデータをフィルタリングするようにデータセレクターを設定します。
* データセレクタを使用すると、FortiAnalyzerに送信されるログをフィルタリングして、関連するログのみが転送されるようにすることができます。
* これはログの量を減らすのに役立ちますが、重要なログを見落とさないようにするためには、詳細な設定と定期的な更新が必要になる場合があります。
* FortiGateデバイス上でログ設定を直接再構成するほど効果的ではない可能性があるため、選択しませんでした。
* 実装手順：
* 解決策Bの場合：
* ステップ 1: FortiAnalyzer にアクセスし、ADOM 管理セクションに移動します。
* ステップ 2: ログ量の多い FortiGate デバイス用に新しい ADOM を作成します。
* ステップ 3: FortiGate デバイスをこの新しい ADOM に登録します。
* ステップ 4: 新しい ADOM に対して、ログの保持と保存を管理するための特定のストレージ ポリシーを設定します。
* 解決策Cの場合：
* ステップ 1: FortiGate デバイスの設定インターフェースにアクセスします。
* ステップ2：ログ設定に移動します。
* ステップ 3: ログレベルを調整し、不要なログを無効にします。
* ステップ 4: 設定を保存し、FortiAnalyzer に送信されるログ ボリュームを監視します。
:
FortiAnalyzer ADOMとログ管理に関するFortinetドキュメント FortiAnalyzer管理ガイド FortiGateでのログ設定の構成に関するFortinetナレッジベース FortiGateロギングガイド ログ量の多いFortiGateデバイス用に個別のADOMを作成し、そのロギング設定を再構成することで、ログ量を効果的に管理し、ADOMがクォータを超えないようにすることができます。

* 脅威ハンティングデータの理解：
* 提供された資料にある脅威ハンティングモニターには、さまざまなアプリケーションサービス、その使用回数、および送信バイト数、平均送信バイト数、最大送信バイト数などのデータメトリックが表示されます。
* 展示の2番目の部分には、特定の送信元IPアドレス（10.0.1.10）から宛先IPアドレス（8.8.8.8）への接続試行がリストされており、「接続失敗」メッセージが繰り返し表示されています。
* アプリケーションサービスの分析：
* DNSは、非常に高い件数（251,400）と注目すべき送信バイト数（9.1 MB）を誇る、トップのアプリケーションサービスです。
* この大量の DNS トラフィックは、通常の DNS クエリとしては異例であり、DNS トンネリングの存在を示している可能性があります。
* DNSトンネリング:
* DNSトンネリングとは、攻撃者がDNSクエリとレスポンスにデータをエンコードすることでセキュリティ制御を回避するために用いる手法です。これにより、攻撃者は検出されることなくローカルネットワークからデータを抽出できます。
* 大量のDNSトラフィックと詳細なメトリクスから、DNSトンネリングが使用されている可能性が示唆される。
* 8.8.8.8への接続失敗:
* 送信元IPアドレス(10.0.1.10)から宛先IPアドレス(8.8.8.8)への接続試行が繰り返され、接続に失敗している場合は、外部サーバーとの通信を試みている可能性があります。
* Google DNS (8.8.8.8) は、その信頼性とグローバルな普及率から、DNS トンネリングによく使用されます。
* 結論：
* 大量のDNSトラフィックと接続試行の性質を考慮すると、DNSトンネリングがローカルネットワークから機密データを抽出するために使用されていると結論付けるのは妥当である。
* 他の選択肢が実現しにくい理由：
* スピアフィッシング（A）：提供されたデータには、電子メールログやフィッシング指標など、スピアフィッシングの試みを示す証拠はありません。
* 偵察（C）：データには、メールサーバーのスキャンやプロービングなどの典型的な偵察活動は示されていません。
* FTP C&C (D): 提供されたデータには、FTP トラフィックや FTP を使用したコマンドおよび制御通信の証拠はありません。
SANS Institute: "DNS トンネリング: DNS クエリによるデータ漏洩とトンネリングの検出方法" SANS DNS トンネリング OWASP: "DNS トンネリング" OWASP DNS トンネリング 提供された脅威ハンティングデータを分析すると、DNS トンネリングがデータ漏洩に使用されていることが明らかになり、ネットワークから機密情報を抽出する高度な方法が示されています。