インシデント詳細ページには、概要、アラートとイベントの詳細、および状況分析が表示されます。管理者はこのページにアクセスして違反を確認します。管理者は、違反を承認するために最低でもView and Manageの権限を持っている必要があります。
このページにアクセスするには、 Incidents > Insider Threats & Advanced Compromiseをクリックして、UEBAによってトリガーされたイベントをクリックしてください。「概要」タブがデフォルトのタブです。
表示されるフィールドは、イベントをトリガーしたポリシーによって異なります。ポリシーは、ポリシー間隔としきい値が満たされたときに発動します。電子メール、ソース、場所、デバイスなどの表示されるフィールドは、ポリシーをトリガーする条件を満たした最後のイベントの属性です。 例えば、ユーザーが5分間に100個のファイルをダウンロードした場合に警告を発するポリシーを作成した場合、表示される情報は、5分間に発生した100番目のイベントに関するものです。
「概要」タブには以下が表示されます。
- このインシデントに関するアラートの数。
- この事件に関するイベント数。
- 詳細ページから事件一覧を素早くスクロールできる機能。
- 事件の状況と
警告。 - 誤検知を許可/レポートする機能、
をクリックしてください。 ヒント
この機能は、異常なアクティビティが検出された場合、その検出によるUCI減点の影響を取り除き、ユーザーのUCIスコアを即座に復元します。
- ポリシーをトリガーしたアプリケーション。
- インスタンスアカウント名。
- ポリシーをトリガーしたユーザーへの電子メール。
- ポリシーをトリガーしたデバイス。
- ユーザーの情報源の場所。
- トリガーされたポリシー名。管理者はクリックできます
矢印アイコンをクリックすると、ポリシーの詳細が表示されます。
- 場合によっては、マルウェアのプロファイル名とアクセス方法が表示されることがあります。View Alertをクリックすると、SkopeITイベントページが開き、異常に関連付けられたアラートが表示されます。
- オプションとして、第三者のアプリがポリシーをトリガーすることがあります。例えば、Boxなどの第三者によって悪意のあるファイルとして識別された場合など。クリック矢印アイコンをクリックすると、行動分析ポリシーページが開き、詳細が表示されます。
- 場合によっては、DLPアラートがトリガーされたことを示すメッセージが表示されることがあります。クリック矢印アイコンをクリックすると、行動分析ポリシーページが開き、詳細が表示されます。
- 事件の深刻度レベル。
- アラートがトリガーされた時刻のタイムスタンプ。
イベントタイムラインタブには以下が表示されます。
- 特定の事象に関する最新または最古の警報やイベントを表示する機能。
- フィルター欄にクエリを入力してください。これはSkope ITの高度な検索クエリです。詳細については、 「Skope ITクエリ言語」をクリックしてください。ヒント：Skope ITアラートページで特定のユーザーによるアラートを検索するには、「~user」と入力してクエリを実行してください。
- ユーザーの過去24時間の活動履歴を表示します。これは、今回の事件に関連するユーザーです。クリック
ページの右端にあります。Skope ITのUEBAアラート名はShared Credentialsで、過去24時間以内に特定のクレデンシャルを共有しているすべてのユーザーが含まれます。 - 各アラートとイベントは、発生順（最新のものから古いものまで）に表示されます。クリック
詳細を表示するにはアイコンをクリックしてください。アラートの詳細またはネットワークイベントの詳細のサイドパネルが表示されます。例えば、上の画像は共有クレデンシャル異常を示しています。 これは、特定のクレデンシャルを単一の検出アラートで共有しているユーザーの情報とアラートを集約して表示します。 高度なUEBAの場合、異常検知で検出されたすべてのユーザーに同じUCIが推計されます。これにより、特定の共有クレデンシャルに関する調査が必要なアラートの数が減り、調査の迅速化に寄与します。
「コンテキスト分析」タブでは、インシデント発生前の24時間のユーザーの活動を分析することで、より詳細な状況分析情報を提供します。
その他の指標は右側のパネルに表示されています。