患者ゼロイベントは、標準脅威保護のシグネチャベースの分析（例：Netskope AVエンジン）では検出されないファイルをユーザーがダウンロードした場合に発生します。ただし、高度な脅威保護が有効になっている場合は、Netskopeがスキャンを実行し、動作ベースの分析（例：クラウドサンドボックス）または高度なヒューリスティック分析によってファイルが悪意のあるものかどうかを判断します。
Netskopeは「 Patient Zero 」というマルウェアアラートを患者ゼロユーザー向けにトリガーし、組織の修復行動を加速させます。これらのイベントは、Skope IT Alertsで調査できます。さらに、 Patient Zero アラートを活用して、使う Ticket Orchestrator や SIEM ワークフローなどの管理者への電子メール通知をトリガーできます。
また、 Netskope Cloud Exchange(CE )を通じてエンドポイント検出・応答(EDR)ベンダーと連携し、エンドポイント上でダウンロードされたファイルを検出・分離することも可能です。
患者ゼロの事例を表示するには：
- Skope IT > Alertsへ移動してください。
- 期間を選択してください。
- Filtersの下をクリック
クエリモードに切り替える。 - 次のクエリを入力してください。
(alert_name eq 'Patient Zero')
- Searchをクリックしてください。選択された期間に基づいて、Netskopeが発見したすべての最初の感染事例が表示されます。
- クリック
患者ゼロ事例に関する詳細情報をご覧になるには、こちらをクリックしてください。以下は、事象の調査に役立つ項目です。- MD5: 検出時に悪意のあるファイルから計算されたMD5ハッシュ。このハッシュ値は使うことでSkope ITイベントをフィルタリングしたり、ファイルに関連する他のマルウェア検出を閲覧したりできます。 MD5を用いた調査を参照してください。
- File Name: 悪意のあるファイルの名前。クリックするとファイルの詳細が表示され、検出エンジンによる分析結果が表示されます。
- Malware Name検出されたマルウェアの名前です。マルウェアの詳細を見るにはクリックし、影響を受けたファイルとユーザーを表示します。
MD5を用いた調査
MD5 を使用して Skope IT イベントをフィルタリングし、患者ゼロ イベントに関連する他のマルウェア検出アラートを表示できます。
MD5で調査するには：
- Alert Detailsペインで、 MD5をコピーします。
- 期間を選択してください。
- AlertsページのFiltersの下に、次のクエリを入力してください。
(md5 eq '<MD5>')
<MD5> を、手順 1 でコピーした MD5 ハッシュ値に置き換えてください。クエリは以下のような形式である必要があります。
(md5 eq '5d1f657812072e43968456f4d0636138')
- Searchをクリックしてください。MD5に関連付けられたすべてのマルウェア検出アラートが表示されます。
