カスタム難読化PowerShell C2を検出するには、疑わしいPowerShellプロセスの実行とアウトバウンドネットワーク接続を相関させる必要があります。オプションAは良い出発点ですが、「join」条件「src_ip = actor_ip」は、「endpoint_exec」に「actor_ip」が存在することを前提としています。これは通常「dvc_ip」または「」です。相関付けにおいて重要な「join」条件の時間枠も欠落しています。また、「network_data.port = 443」と「dvc_direction = "outbound"」もフィルタリングしますが、これは優れたヒューリスティックですが、「port =」はC2でもよく使用されます。オプションBはネットワーク接続から開始しますが、これは範囲が広すぎる可能性があります。「join」条件「dvc_ip = actor_ip」の方が適していますが、「filter endpoint_data.command_line contains "http"」は難読化されたスクリプトに対して十分に具体的ではなく、「-enc」は「-encodedcommand」と部分一致です。オプションCはIPレピュテーションに焦点を当てています。これは有用ですが、未知のC2の取り込まれたPowerShellとネットワークアクティビティに直接結びついていません。プロセス実行とネットワークアクティビティを相関させません。オプションDは最も包括的かつ正確です。「powershell.exe」と一般的な難読化引数（「-nop」、「-whidden」）を正しくフィルタリングします。「extract」を使用して、「-encodedcommanff」部分を具体的に抽出します。これは難読化されたC2の強力な指標です。「actor_ip =」を使用して「network_connections」との「left join」を実行し、同時に発生しない可能性のあるイベントを相関させるために、適切な時間枠（1時間）を設定した「_time between」句を含めます。一般的なC2ポート（80または443）での送信接続を明示的にフィルタリングします。結合後に「」が存在することを確認し、相関が成功したことを確認します。このクエリは、特定のコマンドライン引数を検索し、それらを送信ネットワーク接続と相関させることで、難読化されたPowerShellを検出するというニーズに直接対応します。オプションEは「ユニオン」を使用するため、結果を相関させるのではなく結合するため、特定のプロセス実行と特定のネットワーク接続を関連付ける効果は低くなります。また、PowerShellのフィルターはC2検出には範囲が広すぎます。

データ流出を検知するには、エンドポイントアクティビティ（どのプロセスがどのファイルにアクセスしたか）、ネットワークトラフィック（クラウドサービスへの接続、データ量）、プロキシログ（アクセスされたURL）の詳細な可視性が不可欠です。Cortex XSIAMのエンドポイントデータコレクターは、きめ細かなエンドポイントテレメトリを提供し、ネットワークデータコレクターはネットワークフローとプロキシログに不可欠です。カスタム「データセット」スキーマを定義できるため、脅威に関連する非標準または独自のログであっても、取り込み、分析のために適切に構造化できます。XSIAMの機能には他にもありますが、Dほど包括的に、この特定の調査に必要な基礎的なデータの取り込みと構造化に直接対応していません。

「封じ込め」フェーズは、インシデントの範囲を限定するために極めて重要です。ゼロデイ攻撃の場合、拡散の抑制とインテリジェンス収集を同時に行うことが重要です。- A: 侵害を受けたホストに対するカスタムURLフィルタリング（またはセキュリティポリシー）は、ネットワークレベルの正確な封じ込めを実現しながらも、制御対象システムへのフォレンジックデータの流出を可能にします。- B: Cortex XDRの分離はエンドポイント封じ込めに不可欠であり、ラテラルムーブメントを防止し、拡張ログ機能を有効にすると、インシデント後の分析と新しいIOC生成のための詳細なテレメトリを確保できます。- C: シンクホール構成は、C2トラフィックに対する高度な封じ込めおよびインテリジェンス収集手法であり、SOCは攻撃者の能力をさらなる侵害なしに把握できます。- D: ベータパッチをグローバルにプッシュすることは非常にリスクが高く、標準的な変更管理に違反し、さらなる混乱を引き起こす可能性があります。- E: ユーザーに直ちに通知し、パスワードの変更を指示することは、復旧やコミュニケーションの一部となる可能性がありますが、ゼロデイ攻撃自体に対する主要な技術的封じ込め手順ではありません。

データ窃盗におけるインシデントの効果的な優先順位付けには、強力な技術的指標とビジネスへの影響の理解を組み合わせる必要があります。Unit 42（Palo Alto Networksの脅威調査チーム）のような信頼できる脅威インテリジェンスソースから、IPアドレスと既知のコマンドアンドコントロール（C2）サーバーを照合することで、潜在的な侵害の高精度な技術的指標が得られます。これに、影響を受ける資産の重要度（例えば、「クラウンジュエル」に分類される機密性の高い顧客データをホストするサーバー）を組み合わせることで、ビジネスリスクが直接的に把握され、正確な優先順位付けが可能になります。他の選択肢は、窃盗に関する技術的な詳細が不十分であるか、ビジネスへの影響を適切に考慮していません。

BとEはどちらも、部分的な障害を適切に処理し、調査を継続するための強力なソリューションです。オプションBは堅牢なエラー処理を示しています。サンドボックスタスク専用の「エラー処理」パスを実装することで、プレイブックは次のことが可能になります。1. 「ファイルがサポートされていません」などの特定のエラーをキャッチする。2. 警告をログに記録する（インシデント全体でプレイブックを停止させるような完全なエラーではない）。3. アナリストが特定のサポートされていないファイルに対処できるようにするための手動タスクを作成し、データの欠落を防ぐ。4. 重要なのは、プレイブックの残りの部分が他の添付ファイルやメールコンテンツの処理を続行できるようにすることです。これにより、サポートされていない単一のファイルによってインシデント対応全体が停滞することがなくなります。オプションEは、条件付きロジックを用いたプロアクティブな設計アプローチです。サンドボックスに送信する前にファイル拡張子をチェックすることで、既知のサポートされていないファイルタイプでエラーが発生するのを事前に防ぎます。これにより、プレイブックは残りの処理を続行できます。これによりエラーは回避されますが、すべてのエッジケースや、更新なしでは新たにサポートされなくなったタイプをキャッチできない可能性があります。しかし、これは既知の制限に対処するための有効かつ効率的な方法です。オプションA、C、Dは望ましくありません。Aは調査全体を停止します。Cはサイレントデータ損失につながります。Dは、正常な回復が不可能な後続の障害につながります。