説明: この質問では、AQL と、複雑な動作パターンのためにステッチ データを活用する方法の理解が必要です。リフレクション DLL インジェクションでは、多くの場合、rund1132.exe または類似のプロセスが、ディスク上に存在しない DLL をロードしますが、これは単純なシグネチャでは検出が困難です。後続の名前付きパイプの作成は、CZ のプロセス間通信を意味します。オプション A は範囲が広すぎて、DLL インジェクションと名前付きパイプを結び付けていません。オプション B と E は一般的すぎて、説明されている攻撃に固有ではありません。オプション D は、攻撃の一部である可能性のあるファイル書き込みに焦点を当てていますが、リフレクション DLL インジェクションや名前付きパイプを捕捉していません。オプション C は、AQL を使用して次の操作を正しく実行しています。1. rund1132.exe および DLL が関係する PROCESS_CREATION イベントをフィルター処理します。2. process_instance_id (ログ ステッチングによって維持される親子関係を表す) に基づく結合操作を使用して、同じプロセスまたは子孫から発生した後続の NAMED_PIPE_CREATION イベントを検索します。これにより、因果関係で結びついた 2 つの異なる動作 (DLL インジェクションの前駆動作と C2 の名前付きパイプ) が 1 つのクエリに効果的にまとめられ、脅威ハンティングにおけるログ ステッチングの実際的な応用が実証されます。

オプションEは、高度なエンコードされたPowerShellを検出するための最も堅牢なソリューションを提供します。「異常」ルールタイプは、通常のアクティビティのベースライン設定と逸脱の検出に重要です。「-EncodedCommand」（オプションA、C）を単に検索するだけでは、正規ツールもこのルールを使用しているため、多くの誤検知が発生します。オプションBは強力なデコードを試みますが、特定の悪意のある文字列をハードコーディングすることはポリモーフィック攻撃に対して拡張性に欠け、また「異常」ルールではなく「相関」ルールです。オプションDは親プロセス分析を使用します。これは優れたフィルターですが、ベースライン設定は活用されません。オプションEは、「（長いエンコードされたコマンドは悪意のあるものであることが多い）」と「entropy_score」（高いエントロピーはエンコード/難読化を示す）を追加することで検出機能を強化します。これらの計算フィールドと、「host_name、user_name」ごとの疑わしいコマンドの数に基づく異常検知を組み合わせることで、通常の動作を学習することで誤検知を最小限に抑える、高精度で適応的なルールが実現します。これは、XSIAM の高度な脅威の探索と検出と一致しています。

これは、大規模なハイブリッド環境においてよくある課題です。ログスティッチングは、イベントをリンクするために共通属性の識別に大きく依存しています。ユーザーのIDがOktaでは「[email protected]」、AWSでは「jdoe」、オンプレミスサーバーでは「JOHN_D」である場合、これらの異なる形式が単一の正規IDに正規化またはマッピングされていない限り、XSIAMのスティッチングエンジンはこれらのアクティビティを同じエンティティに属するものとして関連付けることができません。同様に、環境間で一貫したアセットタグや一意のセッションIDが不可欠です。したがって、最も可能性の高い根本原因は、共通識別子の不一致または欠落です。XSIAMのデータ取り込みパイプライン内に堅牢な「データ正規化ルール」（データの解析とフォーマットを一貫して行う）と「属性マッピング」（同一エンティティの異なる表現を正規形式にマッピングする）を実装することは、このようなクロス環境シナリオにおけるスティッチングの忠実度を向上させるための重要な構成調整です。

Cortex XDRは、行動分析と機械学習を用いて様々なソース（エンドポイント、ネットワーク、クラウド、アイデンティティ）からのアラートを相関させ、完全な攻撃ストーリー（インシデントビュー）を構築することに優れています。これにより、アラート疲れが大幅に軽減され、セキュリティチームは実際の脅威に集中できるようになります。これは、個別のアラートを提供することが多いEDRの大きな制約です。EDRは疑わしいプロセス（LOLBinなど）をフラグ付けすることはできますが、これらの低忠実度のアラートを高忠実度のインシデントに結び付けるためのクロスドメイン可視性とAI駆動型の相関分析機能は、Cortex XDRの拡張された検出および対応機能によって実現されます。

オプションDが最も適切かつ効率的です。XSOARは、多数のエンドポイントにわたるタスクの自動化に優れています。「!exec-remote-command」（またはエンドポイント統合に応じて同様のエンドポイント管理統合コマンド）を使用すると、指定されたシステム上でスクリプトをリモート実行できます。これはまさに駆除に必要な機能です。オプションAは通信用です。オプションBはインシデント作成用であり、実行用ではありません。オプションCは汎用API呼び出しを示していますが、「endpoint.execute_script」を処理する特定の統合がないため、「exec-remote-command」ほど直接的ではありません。オプションEは、数百のエンドポイントを扱う場合、非常に非効率的で実用的ではありません。