説明
VMware Carbon Black Cloud は、単一の軽量エージェントと使いやすいコンソールを使用して、新たな脅威を寄せ付けないようにするために必要なインテリジェントなシステム強化と動作防御を組み合わせた、クラウド ネイティブのエンドポイントおよびワークロード保護プラットフォームです。VMware Carbon Black Cloud の機能の 1 つは、攻撃チェーンの視覚化と検索です。これにより、ユーザーは、最初の侵害から水平方向の移動まで、攻撃の全範囲を確認し、エンドポイントとワークロード全体で侵害の兆候を迅速に検索できます。参考資料: VMware Carbon Black Cloud Endpoint Standard Skills Exam Guide、4 ページ。VMware Carbon Black Cloud Endpoint Standard Skill Study Guide（6 ページ）。

説明
Local White レピュテーションは、センサーのインストール前にデバイス上に存在していたファイル、信頼できる証明書によって署名されたファイル、または IT ツールによって作成されたファイルに割り当てられます。ファイルの署名は、デバイス上にローカルに保存されている信頼できる証明書のリストと照合してセンサーによって検証されます。ファイルが信頼できる証明書の 1 つと一致する証明書によって署名されている場合、センサーはそのファイルにローカル ホワイト レピュテーションを割り当てます。
このレピュテーションは、ファイルが信頼されており、デバイス上での実行が許可されていることを示します。他のオプションは、ローカル ホワイトの評判を得る資格がないため、不正確です。オプション A は不正解です。ファイルを IT ツールとして追加しても、そのファイルにローカル ホワイト レピュテーションが自動的に割り当てられるわけではありません。ファイルは、信頼できる証明書またはデバイス上に既存の証明書によって署名されている必要もあります。選択肢 C は不正解です。既知の良いリストまたは悪いリストに載っていないハッシュは、ローカル ホワイトの評判には関係ありません。ファイルは、信頼できる証明書またはデバイス上に既存の証明書によって署名されている必要もあります。選択肢 D は、以前に分析されたハッシュがローカル ホワイト レピュテーションに関連していないため、不正解です。ファイルは、信頼できる証明書またはデバイス上に既存の証明書によって署名されている必要もあります。参考資料: 既存ファイルのレピュテーション割り当て、レピュテーション割り当て

SIEM でサポートされている VMware Carbon Black Cloud 統合は Splunk アプリです。Splunk アプリを使用すると、管理者はアラート、イベント、監査ログ、または脆弱性データを Carbon Black Cloud から Splunk ダッシュボードに取り込むことができます1。Splunk アプリは Splunk SOAR もサポートしており、Carbon Black Cloud アラート 2 に基づいた自動アクションとワークフローが可能になります。
他のオプションは、Carbon Black Cloud との SIEM 統合ではサポートされていません。SolarWinds、LogRhythm、Datadog は、Carbon Black Cloud が提供する 140 以上のエコシステム パートナーシップと統合の中に含まれていません3。また、これらは、Splunk、IBM Security、Google Cloud の Chronicle、Exabeam、Sumo Logic と Carbon Black Cloud1 の統合を特徴とする次世代 SOC アライアンスにも参加していません。参考文献:
VMware Carbon Black Cloud Endpoint Standard スキル リファレンス マテリアル、セクション 2.6: 統合 VMware Carbon Black Cloud Endpoint Standard ユーザー ガイド、第 12 章: 統合 統合と API - VMware Carbon Black Cloud - Cloud SIEM | Sumo Logic ドキュメント VMware が Splunk、IBM と次世代 SOC アライアンスを開始 - VMware ブログ

説明
VMware Carbon Black Cloud Endpoint Standard コンソールの [調査] ページでは、セキュリティ管理者が検索を実行して、Excel VBA にコード化されたスクリプトベースの攻撃をさらに検査できます。
[調査] ページでは、管理者は高度な検索手法を使用して、VMware Carbon Black Cloud センサーによって収集されたエンドポイント データをクエリできます。管理者は、さまざまなフィールドと演算子を使用して、process_name、file_name、file_path、file_type、file_description などの検索結果をフィルタリングおよび絞り込むことができます。管理者は、プロセスツリー ビューを使用してプロセスの実行とイベントの詳細を視覚化し、プロセスのアクティビティを調べることもできます。たとえば、管理者は次の検索クエリを使用して、ファイル タイプが Excel VBA であるすべてのプロセスを検索できます。
ファイルの種類:EXCEL_VBA
このクエリは、ファイル タイプが EXCEL_VBA であるすべてのプロセスを返します。これは、ファイルに Excel VBA コードが含まれていることを示すファイル タイプです。file_type フィールドは、ファイルの内容と形式に基づいてファイルのタイプを示す文字列です。このフィールドに指定できる値は次のとおりです。
EXE: 実行可能ファイル
DLL：ダイナミックリンクライブラリファイル
SYS: システムファイル
BAT：バッチファイル
CMD: コマンドファイル
VBS: Visual Basic スクリプト ファイル
JS: JavaScript ファイル
PS1: PowerShell スクリプト ファイル
HTA: HTML アプリケーション ファイル
MSI: Windows インストーラー ファイル
DOC: Microsoft Word文書ファイル
XLS: Microsoft Excel スプレッドシート ファイル
PPT: Microsoft PowerPoint プレゼンテーション ファイル
PDF：ポータブルドキュメント形式ファイル
SWF: ショックウェーブ フラッシュ ファイル
JAR: Java アーカイブ ファイル
CLASS: Java クラス ファイル
PY: Python スクリプト ファイル
SH: シェルスクリプトファイル
PL: Perlスクリプトファイル
RB：Rubyスクリプトファイル
PHP: PHPスクリプトファイル
ASP: Active Server Pages ファイル
ASPX: Active Server Pages 拡張ファイル
HTML: ハイパーテキスト マークアップ言語ファイル
XML: 拡張マークアップ言語ファイル
DOCM: マクロ ファイルを含む Microsoft Word ドキュメント
XLAM: マクロ ファイルを備えた Microsoft Excel アドイン
XLSM: マクロ ファイルを含む Microsoft Excel スプレッドシート
XLTM: マクロ ファイルを含む Microsoft Excel テンプレート
PPTM: マクロ ファイルを含む Microsoft PowerPoint プレゼンテーション
POTM: マクロ ファイルを含む Microsoft PowerPoint テンプレート
PPAM: マクロ ファイルを備えた Microsoft PowerPoint アドイン
EXCEL_VBA: Excel Visual Basic for Applications ファイル
WORD_VBA: Word Visual Basic for Applications ファイル
POWERPOINT_VBA: PowerPoint Visual Basic for Applications ファイル
OUTLOOK_VBA: Outlook Visual Basic for Applications ファイル
ACCESS_VBA: Visual Basic for Applications ファイルにアクセスします
PROJECT_VBA: プロジェクト Visual Basic for Applications ファイル
VISIO_VBA: Visio Visual Basic for Applications ファイル
PUBLISHER_VBA: Publisher Visual Basic for Applications ファイル
INFOPATH_VBA: InfoPath Visual Basic for Applications ファイル
ONENOTE_VBA: OneNote Visual Basic for Applications ファイル
UNKNOWN: 不明なファイルタイプ
したがって、セキュリティ管理者は、VMware Carbon Black Cloud Endpoint Standard コンソールの [調査] ページを使用して検索を実行し、Excel VBA にコード化されたスクリプトベースの攻撃をさらに詳しく検査できます。参考文献:
エンドポイント データの調査 - VMware ドキュメントの「概要」セクション。
高度な検索テクニック - VMware ドキュメントの「フィールドの使用」セクション、「file_type」サブセクション。