ビュー:

Trend Vision OneにおけるApex One SaaS との不審オブジェクト連携について

Trend Vision Oneでは、Apex One SaaSとの不審オブジェクト連携をサポートしています。
 

製品オブジェクトの種類処理機能
Apex One SaaSIPアドレスログ、ブロック不審接続監視
 URLログ、ブロック不審接続監視, Web Reputation
 ドメインログ、ブロック不審接続監視
 ファイルSHA-1ログ、ブロックアプリケーションコントロール

Apex One SaaSでIPアドレス、URL、ドメインによる検出を有効にするには、不審接続監視、WRSを有効にする必要があります。
Apex One SaaSでファイルSHA-1による検出を有効にするには、アプリケーションコントロールを有効にする必要があります。

設定方法

Vision OneからApex One SaaSへ不審オブジェクトを連携するには以下の設定を行います。

  1. Trend Vision One のコンソールにログインし、XDR>Workbenchに移動します。
     
  2. 検出されたアラートを選択します。
    image.png
     
  3. 表示されたページのオブジェクトを選択し、右クリックからメニューを表示します。ブロックリストに追加を選択します。
    image.png
     
  4. ブロックリストへの追加画面が表示されます。作成を選択します。
    image.png
     
  5. 作成が成功すると以下のようなメッセージが表示されます。
    image.png
     
  6. Threat Intelligence>Suspicious Object Managementに移動し、不審オブジェクトリストに作成したリストが表示されている事を確認します。
    image.png
     
  7. Apex One SaaS の管理コンソールにログインし、脅威インテリジェンス>ユーザ指定の不審オブジェクトに移動し、上記で作成した不審オブジェクトが登録されている事を確認します。
    image.png
     
  8. Apex One SaaS セキュリティエージェントでアプリケーションコントロールが有効になっている場合、当該ハッシュに合致するアプリの起動が試みられると、設定されたアクションに従った処理が行われます。ここではブロックとなります。
    image.png
    セキュリティエージェントによりブロックされた事が確認できます。
    image.png
     
  9. IPアドレスの場合は以下になります。
    image.png
    C&Cコールバックとして検出されます。
    image.png
     
  10. URLの場合は以下になります。
    image.png
    不正URLとして検出されます。
    image.png
     
 

不審オブジェクトの手動設定方法

Vision OneからApex One SaaSへ不審オブジェクトを連携する際に不審オブジェクトを直接定義する事も可能です。

  1. Trend Vision One のコンソールにログインし、Threat Intelligence > Suspicious Object Managementへ移動します。
     
  2. 不審オブジェクトリストを選択し、追加から追加するオブジェクトを選択します。
    image.png
     
  3. 追加できるオブジェクトは、ドメイン、ファイルSHA-1、ファイルSHA-256、IPアドレス、送信者アドレス、URLです。
    image.png
     
  4. 選択したオブジェクトによって設定画面が表示されますので入力していきます。
    ドメイン
    image.png
    ファイルSHA-1
    image.png
    ファイルSHA-256
    image.png
    IPアドレス
    image.png
    送信者アドレス
    image.png
    URL
    image.png
     
  5. 保存すると不審オブジェクトリストに表示されます。
    image.png