新人SEからVision Oneマスターに、私はなる！ #3 Workbench：アラートの管理

1.Workbenchにてアラート内容を確認する

1.Vision Oneコンソール左側にて、[XDR THREAT INVESTIGATION (アイコン)] > [Workbench] の順に画面を移動します。

2.モデル名 [Demo - Credential Dumping via Registry] アラートが発令されていることを確認し、[Workbench ID] を選択します。

3.[Workbench ID] を選択していただくと、下記の画面に移動します。
ここでは、アラートの概要や影響範囲を確認できます。
影響範囲にある端末・ユーザアイコンを選択することで影響を受けているホスト名、ユーザ名を特定します。

4.ハイライトをみていただくと、実際に攻撃に使われた手法を確認することができます。
攻撃手法の分析などをおこなっているMITER社のサイトにページが移行し、攻撃概要を確認できます！
このページから、どんな種類の攻撃を受けたのかを判断していただくことができます。

5.実行されたコマンドを確認します！
左側のハイライトより [(objectCmd)] を選択すると、この攻撃が実行されたコマンドが確認できます。
※[(objectCmd)] を右クリックしていただくことで、このコマンドを除外設定したり詳細を分析することもできます！

6.単一エンドポイント内で起こった詳細を確認します！
下記の [使用可能な実行プロファイル] を選択すると、展開されたプロセスの流れを確認することができます。

7.手順6にて [使用可能な実行プロファイル] を選択いただくと、下記画面が表示されます！
※調査する時はこの画面をメインに見ていただくことになります！

この画面の見方としては、左は先ほどと同様ハイライトやコマンドになっており、
右の画面にて実行の流れが分かるようになっております。
※実行の流れが分かりにくい時は、[タイムラインビューに切替] を選択すると時間軸に切り替えることができます！

8.先程実行した” T1003_Demo_Script.bat”が不審ファイルとして確認できます!
各オブジェクトを選択すると、より詳細な情報を見ることができます。

例えば [explorer.exe] を選択すると、このような情報が確認できます。
CLIコマンドから、実際にどういうコマンドからこれが実行されたのかが分かります。

隣のイベントタブでは、このプロセスで完結したことだけではなく、
このプロセスからどういったファイルが作成されたかが見ることができます。

調査の結果、攻撃によるものではない場合は、ここまでの調査で対応完了となります！
対応が必要である場合は、以下の方法でその後の『対処』を施すことができます。

2.対処方法

Workbenchによる調査が完了し、対処が必要と判断したWorkbench アラートについては、必要に応じて対処をしていただく必要がございます！
ここでは主な対処方法3つをご紹介いたします。

■対象サーバ/エンドポイントを隔離したい
1.エンドポイントを右クリックいただくと、エンドポイントの隔離という項目が表示されるので、[エンドポイントを隔離]を選択します。

2.[作成] ボタンを選択すると、エンドポイントを隔離することができます。

3.Vision Oneコンソール左側の [Workflow and Automation (アイコン)] > [Response Management]から、
当該隔離タスクが緑のチェックマークで成功していることを確認します。

当該エージェントにてインターネットブラウザを開き、インターネット接続出来ないことを確認します。

・補足：隔離したエンドポイントの復元方法

隔離されたエンドポイントのセキュリティの問題を解決したら、Vision Oneコンソール左側の [Workflow and Automation (アイコン)] > [Response Management] からネットワーク接続を復元することができます！

1.エンドポイントの横にあるオプションボタン()を選択します。

2.[接続の復元] → [作成] の順で選択すると、エンドポイントを復元することができます。

■不審ファイルをダウンロードしたい

1.先程開いていた実行プロファイルにて、T1003のアイコンを右クリックし [ファイルの収集] を選択します。
ポップアップウィンドウより [作成] を選択すると、ファイルを回収できます。

2.Vision Oneコンソール左側の [Workflow and Automation (アイコン)] > [Response Management]から、検出ファイルをダウンロードします。

ダウンロードしたファイルをお客様自身で調査いただいたり、弊社に提出いただき調査をすることができます！

ファイルを弊社へ提出する方法の詳細につきましては、下記の弊社サイトに記載がございますので、
下記サイトをご参照ください。

◆疑わしいファイル(ウイルス検体)の調査依頼方法
<https://success.trendmicro.com/jp/solution/1305428>
※Apex Oneの記事ですがVision Oneについても同様の依頼方法となります。

■対象サーバ/エンドポイントへリモートでコマンド実行したい

1.Workbenchの画面にて、サーバアイコンを右クリックし「リモートシェルセッションの開始」を選択します。

2.リモートシェル接続が開始され、エンドポイントに直接アクセスし、コマンドを実行して端末内の調査を行うことができます。
※マスター管理者またはセキュリティアナリストの役割を持つユーザのみが、リモートシェル 対応にアクセスできます。

対応コマンドは随時アップデートされますので、最新の情報は下記URLをご参照ください。

◆リモートシェルセッションタスクの開始
<https://docs.trendmicro.com/ja-jp/enterprise/trend-vision-one/common-apps/response-management/response-actions/start-remote-shell-s.aspx>
※上記URL下部のコマンドから該当エンドポイントの一覧をご参照ください。

6.さいごに

お疲れさまでした！
このブログを通して、Workbenchの概要やメリット、Workbenchを用いたセキュリティの対応方法をご紹介させて頂きました！
攻撃された原因が分からなければ、また同じ経路で同じ攻撃をされてしまうかもしれません。
Workbenchをご活用いただくことで攻撃の可視化が容易になりますので、是非ご活用いただけると幸いです！

他の機能について確認されたい場合は、本シリーズ第2回目の「新人SEからVision Oneマスターに、私はなる！　#2 トレンドマイクロのEDR/XDRを簡単に紹介」に一覧をまとめているのでご参照ください。
本シリーズでは、この後もその他の便利な機能の紹介記事を書いていく予定ですので、一緒にVision Oneマスターを目指していきましょう！
ここまでお読みいただき、ありがとうございました。

最新情報
最新のVision Oneについての情報については、Online Helpをご確認ください。
Vision Oneのトライアルはこちらからお申込みください！