正当なクラウド サービスへの「低速でゆっくりとした」内部者のデータ流出を検出することは、高度な行動分析、具体的には UEBA と DLP を組み合わせた典型的な使用例です。オプション B は、この最適な組み合わせを正しく識別します。ユーザーおよびエンティティ行動分析 (UEBA): これは非常に重要です。UEBA は、典型的なデータ転送量、送信先、クラウド サービスの頻度など、各ユーザーの「通常の」行動のプロファイルを作成します。増分的で低速なデータ流出は、正当なサービスを使用している場合でも、最終的にこの確立されたベースラインから逸脱し、ユーザーの異常スコアの増加を引き起こします。UEBA は、静的ルールを回避するこれらの微妙で持続的な時間経過による変化を検出することに優れています。エンドポイント DLP (データ損失防止): UEBA が異常なデータ移動の「方法」と「場所」を検出するのに対し、DLP はファイルのコンテンツを検査することで「内容」を追加します。 DLPポリシーによって知的財産が機密情報と分類されている場合、クラウドサービス（ユーザーが通常使用している正当なサービスであっても）へのアップロード試行はすべてフラグ付けされ、ブロックまたは監査される可能性があります。課題：オプションBで述べた課題は確かに存在します。ユーザーアクティビティの正当な変動により、クラウド使用量の正確なベースラインを確立することは確かに複雑になる可能性があります。同様に、DLPでは誤検知を最小限に抑えるために、慎重な構成とコンテンツ分類が必要です。ポリシーが強すぎると、正当なビジネス文書が誤ってフラグ付けされる可能性があります。しかし、これらは適切なチューニングとポリシーの改良によって克服できる運用上の課題であり、これが最も堅牢なアプローチとなります。

APTレベルの侵害の場合、効果的なインシデント対応と将来の予防には、攻撃者の技術、戦術、手順（TTP）を理解することが不可欠です。オプションCは、Causality Viewが提供する最も重要なインテリジェンスを網羅しています。具体的なプロセス引数、コマンドライン、ドロップされた実行ファイル（およびそのパス）、永続化のためのレジストリ変更、スケジュールされたタスクの正確なコマンドなどから、以下の情報が直接的に明らかになります。1. 具体的なエクスプロイト手法（コマンドライン引数経由）。2. 永続化が確立された場所とその削除方法。3. 新しいプロセスによって確立されたコマンドラインまたはネットワーク接続から得られるファイルハッシュやC2ドメイン/IPなどの侵害指標（IOC）。このレベルの詳細は、標的型脅威ハンティングの策定、検出ルールの開発、そして脅威の完全な根絶を確実にするために不可欠です。他のオプションでもある程度の背景情報は提供されますが、高度な攻撃への対応策に直接役立つ、オプションCのような実用的で詳細なインテリジェンスは提供されません。

サーバーはEDRによって管理されていないため、Cortex XDRの「Lite」またはオンデマンド導入機能は、エージェントをフルインストールすることなく、迅速なフォレンジック情報収集に最適です。これにより、メモリダンプ、実行中のプロセス、ネットワークアーティファクトなどの重要なライブデータを収集できます。Cortex XDR Pro (A) は事前の導入が必要です。NGFW (B) はネットワークレベルの可視性を提供しますが、エンドポイントでのフォレンジックは直接提供しません。WildFire (D) はファイル分析用です。Prisma Cloud (E) はクラウド環境用です。

リバースシェルのプロセス、その親、および送信接続を識別するには、ネットワーク接続イベントとプロセス実行イベントを相関させる必要があります。オプション B は、関連するネットワーク接続 (ポート 443 の送信) をフィルタリングすることから開始し、プロセス ID を使用してこれをプロセス実行データと結合します。これにより、ネットワーク接続を担当するプロセスとその親 (process_events.actor_process_command_line)、および宛先 IP を識別できます。オプション A には誤った結合条件があります。最初に bash/sh をフィルタリングし、次に process_id に基づいて結合しようとするため、他のリバースシェルバイナリが見逃される可能性があります。オプション C、D、および E は、リバースシェルのプロセスとネットワークアクティビティをトレースするという特定の目的とは無関係です。

Cortex XSIAMのインシデントグラフ（攻撃ストーリーライン）は、まさにこのようなシナリオを想定して設計されています。様々なソースから収集された関連するアラートやイベントを、MITRE ATT&CKにマッピングされた一貫したタイムラインに自動的にまとめます。これにより、攻撃を包括的かつ視覚的に把握できるようになり、TTP（攻撃のプロセス）の特定と多面的な対応の調整が容易になります。脅威インテリジェンスを追加することで、コンテキスト情報もさらに強化されます。