エンドポイント

IBM Security QRadar Endpoint Content Extension を使用して、展開内の Linux® および Windows エンドポイントを詳細に監視します。

重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。

Endpoint Content Extension には、1 つ以上の QRadar Pulse ダッシュボードが含まれます。 QRadar Pulseダッシュボードの詳細については、QRadar Pulseアプリを参照してください。

このコンテンツ拡張で使用するために、監視するLinuxとWindowsエンドポイントを設定します。

IBM Security QRadar エンドポイント

IBM セキュリティ QRadar エンドポイント 3.1.0
IBM セキュリティ QRadar エンドポイント 3.0.0
IBM セキュリティ QRadar エンドポイント 2.9.0
IBM セキュリティ QRadar エンドポイント 2.8.3
IBM Security QRadar エンドポイント 2.8.2
IBM Security QRadar エンドポイント 2.8.1
IBM Security QRadar エンドポイント 2.8.0
IBM Security QRadar エンドポイント 2.7.2
IBM Security QRadar エンドポイント 2.7.1
IBM Security QRadar エンドポイント 2.7.0
IBM Security QRadar エンドポイント 2.6.0
IBM Security QRadar エンドポイント 2.5.0
IBM Security QRadar エンドポイント 2.4.0
IBM Security QRadar エンドポイント 2.3.0
IBM Security QRadar エンドポイント 2.2.0
IBM Security QRadar エンドポイント 2.1.1
IBM Security QRadar エンドポイント 2.1.0
IBM Security QRadar エンドポイント 2.0.0
IBM Security QRadar エンドポイント 1.0.0

IBM セキュリティ QRadar エンドポイント 3.1.0

次の表は、 IBM Security QRadar Endpoint Content Extension 3.1.0 の新規および更新されたルールとビルディングブロックを示しています。

表 1. IBM Security QRadar Endpoint Content Extension のルール 3.1.0
タイプ	名前	説明
ルール	PowerShell Base64 不審なコマンドを呼び出す	イベントID 4688または4104または1に基づいて、PS Base64 コマンド（IEX、invoke-expression、Invoke-Expressionなど）を検出するルール。
ルール	PowerShell 不審なコマンドを呼び出す	イベント ID 4688、4104、および 1 に基づいて、 PowerShell 疑わしい Invoke Expression コマンドをプレーンテキストで検出するルール
ルール	AppData フォルダから呼び出される実行ファイル	AppData ディレクトリはデフォルトで隠されており、このディレクトリの内容は通常、ユーザーによって変更されることはない。 App Data Directoryから実行される実行可能なアプリケーションは、悪意のある行為者によって使用されることが多いため、トリアージする必要があります。
ルール	C:UsersPublicから実行可能	このような動作は悪意ある行為者によく使われるため、 C:Users\Public の場所から実行される実行可能ファイルはトリアージする必要がある。
ルール	PowerShell エンコードされたコマンド	コマンドの暗号化は、悪意のある行為者が活動を難読化するためにしばしば使用する。
ルール	PowerShell 実行ポリシーのバイパス	実行ポリシー・バイパスは、 PowerShell 実行ポリシーをバイパスするために一般的に使用されるテクニックであり、この動作は悪意のある行為者によって使用されることが多いため、トリアージする必要があります。
ルール	PowerShell Base64 文字列	Base 64は符号化スキームであり、悪意のある行為者が活動を難読化するためにしばしば使用する。

タイプ	名前	説明
ルール	WScript経由で悪意のあるJavascriptファイルが呼び出された可能性	このルールは、Wscriptを使用した JavaScript ファイルの実行を検出するように設計されています。これは、 SocGholish, Gootloaderのような複数の悪意のあるプログラムによって使用される既知の戦術です。
ルール	CScript経由で悪意のあるJavascriptファイルが呼び出された可能性	このルールは、Cscriptを使用した JavaScript ファイルの実行を検出するように設計されています。これは、 SocGholish, Gootloaderのような複数の悪意のあるプログラムによって使用される既知の戦術です。
ルール	Sharepoint ToolShell CVE-2025-53770 悪用の可能性	これは、Sharepoint ToolShell CVE-2025-53770 の脆弱性を悪用するために使用されることが知られている WebShell の作成を検出するように設計されています。
ルール	Sharepoint ToolShell CVE-2025-53770 Exploitation の可能性 - ファイルパス	これは、Sharepoint ToolShell CVE-2025-53770 の脆弱性の悪用に使用される既知のファイルパスから実行される特定のファイルタイプを検出するように設計されています。これは侵害の指標かもしれないし、この脆弱性の内部テストの一部かもしれない。

タイプ	名前	説明
ルール	PowerShell ダウングレード攻撃	このルールは、敵が PowerShell をエンジンバージョン 4 またはそれ以前に戻す可能性がある場合にトリガーされます。
ルール	不審なフォルダで実行可能ファイルが起動	このルールは、一般的でないフォルダで不審な実行が検出されたときにトリガーされる。
ルール	MavInject プロセスインジェクション	このルールは、MavInject Windows ツールを使用して、プロセス名またはコマンドラインパラメータからプロセスインジェクションが検出された場合にトリガーされます。
ルール	Rubeusハックツール実行	このルールは、プロセス名またはコマンドラインパラメータを通じてハックツール「Rubeus」の実行が検出された場合にトリガーされます。
ルール	悪意のある名前付きパイプ	このルールは、既知のマルウェアが使用する名前付きパイプの作成、またはそのパイプへの接続が検出された場合にトリガーされる。
ルール	六角IPにPingを打つ	このルールは、pingコマンドが16進数のIPアドレスで実行されたことを検出したときにトリガーされます。
ルール	不審なフォルダを指す新しいRUNキー	このルールは、Windowsエクスプローラのレジストリに不審なフォルダを指す実行キーが作成されたときに起動する。
ルール	Active DirectoryオブジェクトへのSID履歴の追加	このルールは、Active DirectoryオブジェクトにSID履歴属性が追加されたときにトリガーされます。
ルール	潜在的なLSASS.exeクレデンシャルダンプ活動	このルールは、LSASS.exe ファイルによる SAM_DOMAIN アクセスが検出された場合に起動する。
ルール	悪意のあるPowerShellコマンドレット	このルールは、既知の PowerShell 悪用フレームワークからの PowerShell コマンドレットの実行が検出されたときにトリガーされます。
ルール	PowerShellが実行可能バージョンの不一致から呼び出された	このルールは、PowerShell が任意の実行可能ファイルから呼び出された場合に、ホストとエンジンのバージョンを比較することで検出します。
ルール	バックアップ・カタログが削除されました	このルールは、ローカルコンピュータに保存されているバックアップカタログを削除するコマンドが実行されたときにトリガーされる。
ルール	ブラウザのログインデータへのアクセス	このルールは、ウェブブラウザによって保存されたログイン認証情報（ユーザー名やパスワードなど）が表示または取得されたときにトリガーされる。このルールは、ターゲットのブラウザに固有のファイルを読み取ることによって、ウェブブラウザからクレデンシャルを取得する敵対者を示している可能性がある。
ルール	リモートデバッグでJavaを実行	このルールは、Javaプロセスがリモート・デバッグを有効にして実行されており、ローカル・ホスト以外からの接続を許可している場合にトリガーされる。
ルール	Cmdkey.exe経由でキャッシュされた認証情報を偵察する可能性	このルールは、システム上にキャッシュされた資格情報を検索するための cmdkey の使用が検出された場合にトリガされる。このルールは、ドメインコントローラが利用できない場合に認証を有効にするために、敵がキャッシュされたドメイン認証情報にアクセスしようとしていることを示すかもしれない。注意: デフォルトでは、cmdkeyは正当な管理タスクに使用できるため、ルールは無効になっています。キャッシュされた資格情報の偵察を示すコマンドラインの使用法を識別したい場合は、このルールを有効にする。
ルール	DHCPコールアウトDLLのインストール	このルールは、レジストリの CalloutDlls および CalloutEnabled パラメータを通じて、コールアウト DLL のインストールが検出されたときにトリガーされます。このルールは、CalloutDlls を使用して、DHCP サーバのコンテキストでコードを実行することを示すかもしれません。
ルール	Active Directory ユーザー・バックドア	このルールは、対象アカウントの認証情報を指定せずに、ユーザーが別のアカウントを操作する可能性がある場合に検出する。
ルール	PowerShellファイルをダウンロードして実行する	このルールは、PowerShell コマンドがリモートファイルをダウンロードして実行したときにトリガーされます。
ルール	NTDS.dit ドメイン・ハッシュの検索活動	このルールは、不審なコマンドがNTDS.ditファイルからハッシュを取得しようとする試みに関連している可能性がある場合にトリガーされます。
ルール	InvisiMole ラッパーDLLがロードされました	このルールは、InvisiMole ローダーに関連するプロセスのアクティビティが検出されたときにトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: Diskshadow.exe または Vshadow.exe による任意のスクリプト実行	ビルディングブロックは、diskshadow.exeまたは vshadow.exeファイルのどちらかが、任意のスクリプトを実行するためのパラメータで開始されたときにトリガーされます。このビルディングブロックは、NTDS.ditのような機密ファイルにアクセスしようとする悪意ある試みを示しているのかもしれない。
ビルディング・ブロック	BB:BehaviorDefinition: Get-NetTCPConnection経由のネットワーク接続リスト	ビルディング・ブロックは、ネットワーク経由の情報照会によってネットワーク接続のリストが生成されたときにトリガーされる。
ビルディング・ブロック	BB:BehaviorDefinition: PowerShellファイルダウンロードアクティビティ	ビルディングブロックは、ファイルのダウンロードに PowerShell が使用されていることを検出します。

名前	最適化済み	場所
SIDの歴史	はい	Microsoft Windows
エンジンのバージョン	はい	Microsoft Windows
委任	いいえ	Microsoft Windows
オブジェクト・クラス	いいえ	Microsoft Windows
LDAP 表示名	いいえ	Microsoft Windows
ホスト・バージョン	はい	Microsoft Windows
パイプ名 (Pipe Name)	はい	Microsoft Windows

タイプ	名前	説明
ルール	パスワードが正しくないために複数のログインが失敗する	パスワードスプレーアタックを検出する。
ルール	ブルート・フォースの試み	ブルートフォース攻撃を検出する。
ルール	Remote: VNC Access from the Internet	インターネットからローカルホストへのVNC（Virtual Network Computing）アプリケーションが検出されるとトリガーされる。
ルール	Remote: Remote Desktop Access from the Internet	Microsoftリモートデスクトッププロトコル（RDP）がインターネットからローカルホストに検出されるとトリガーされる。
ルール	疑わしい有効なアカウントのログオン (Suspicious Valid Accounts Logon)	有効なアカウントからの疑わしいログインが検出されたときにトリガーされます。
ルール	Suspicious Parent for a process	子プロセスを持つはずのないプロセスがプロセスを開始したときにトリガーされる。
ルール	削除されたクリティカル・ファイル	クリティカルファイルまたはクリティカルディレクトリ内のファイルが削除されたときにトリガーされる。
ルール	重要なファイルが変更され、不審なアクティビティが続いています	重要なファイルやディレクトリが変更され、不審なアクティビティが発生するとトリガーが作動する。
ルール	潜在的な悪意のある IP アドレスとの通信	潜在的な敵対IPアドレスとの通信が発生したときにトリガーする。潜在的な敵対 IP アドレスは、IBM X-force またはカスタム参照セットコレクションに記録されます。
ルール	Suspicious PSExec Module Usage Detected	PSExec モジュールの使用が検出された場合にトリガーされます。
ルール	使用するサービスの設定 PowerShell	サービスが Powershell を使用するように構成されている場合にトリガーされます。
ルール	Ransomware: Ryuk IOC in Events	Ryukランサムウェアに関連するIOC（ファイルハッシュ）がイベントで観測された場合にトリガーされます。
ルール	Ransomware: Ryuk IOC in Flows	Ryukランサムウェアに関連するIOC（File Hash）がフローで観測された場合にトリガーされます。
ルール	PowerShellを使用した Windows Credential Manager からの資格情報のダンプ	パスワードを保存する一般的な場所を検索し、ユーザー認証情報を取得しようとする試みを検出する。
ルール	PowerShellを使用した Windows Credential Manager からの資格情報の列挙	ユーザー認証情報を取得するために、パスワードを保存する共通の場所を連続して検索しようとする試みを検出する。
ルール	PowerShellによるトークンの偽名の使用	トークンのなりすましやトークンの盗難に関連するWindows API関数の使用を検出します。
ルール	Regsvr32 アウトバウンド・ネットワーク接続	regsvr32.exe ファイルによって開始されたアウトバウンド接続を検出します。
ルール	Dllhost アウトバウンド・ネットワーク接続	dllhost.exe ファイルによって開始されたアウトバウンド接続を検出します。
ルール	RunDLL32 アウトバウンド・ネットワーク接続	rundll32.exe ファイルによって開始されたアウトバウンド接続を検出します。
ルール	ランサムウェア: Petya/ NotPetya Payload in Flows	フローで Petya ペイロードが観察されたときにトリガーします。
ルール	アクセス・トークンの不正使用	トークンの偽名の使用と盗難を検出します。 (例(DuplicateToken(Ex)とImpersonateLoggedOnUserにLOGON32_LOGON_NEW_CREDENTIALSフラグを指定します)
ルール	イベントにおけるターラ・レジストリIOCの検出	IOC が Turla レジストリー値として認識されたときにトリガーされます。
ルール	潜在的なStandIn妥協後のトラフィック	X-Force Red StandIn に属する可能性のある動作が検出された場合にトリガーされます。
ビルディング・ブロック	BB:CategoryDefinition:センシティブなパーミッションのファイル	現在の作業ディレクトリ(CWD)が以下のディレクトリで検出されたときにトリガーされる： /boot /etc/pam.d /etc/rsyslog /etc/openldap /etc/sysconfig/network-script /var/spool/cron /etc/cron（たとえば/etc/cron.hourly、 /etc/cron.weekly） /etc/init.d/ bin/login /bin/passwd /etc/.conf 以下のファイルを監視中： /etc/shadow /etc/passwd /etc/sudoers /etc/syslog.conf /etc/crontab /etc/gshadow /etc/group /etc/sysconfig/syslog /etc/security/opasswd /etc/default/ufw .bash_history /usr/bin /usr/sbin /bin /boot /usr/local/bin /usr/local/sbin /opt/bin /opt/sbin Windows C:\autoexec.bat C:\boot.ini C:\config.sys C:\Windows\system.ini C:\Windows\win.ini C:\Windows\regedit.exe C:\Windows\System32\userinit.exe C:\Windows\explorer.exe C:\Program Files\Microsoft Security Client\msseces.exe
ビルディング・ブロック	BB:CategoryDefinition: センシティブ現在の作業ディレクトリ	ディレクトリトラバーサル攻撃の警告のトリガーとなる、センシティブな現在の作業ディレクトリを定義します。
ビルディング・ブロック	BB:CategoryDefinition:機密ファイルにアクセスされました	カレント・ワーキング・ディレクトリ（CWD）が以下のディレクトリで検出されたときにトリガーするルールを定義する： /boot /etc/pam.d /etc/rsyslog /etc/openldap /etc/sysconfig/network-script /var/spool/cron /etc/cron（たとえば/etc/cron.hourly、 /etc/cron.weekly） /etc/init.d/ bin/login /bin/passwd /etc/.conf 以下のファイルを監視中： /etc/shadow /etc/passwd /etc/sudoers /etc/syslog.conf /etc/crontab /etc/gshadow /etc/group /etc/sysconfig/syslog /etc/security/opasswd /etc/default/ufw .bash_history /usr/bin /usr/sbin /bin /boot /usr/local/bin /usr/local/sbin /opt/bin /opt/sbin Windows C:\autoexec.bat C:\boot.ini C:\config.sys C:\Windows\system.ini C:\Windows\win.ini C:\Windows\regedit.exe C:\Windows\System32\userinit.exe C:\Windows\explorer.exe C:\Program Files\Microsoft Security Client\msseces.exe
ビルディング・ブロック	BB:BehaviorDefinition: ディレクトリ検出 (Windows)	PowerShell Get-ChildItem コマンドが再帰的にディレクトリを発見するために使われる場合の定義です。このイベントは、`-Recurse`パラメータが指定されたとき、またはForEachループ内でコマンドが使われたときに発生します。
ビルディング・ブロック	BB:BehaviorDefinition: 潜在的なStandIn妥協後のトラフィック	StandInツールに関連するプロセスが観測されたときにトリガーされる。 StandInは、レッドチームがよく使う侵入テストツールです。しかし、悪意のある行為者はこのアプリケーションを攻撃に利用することができる。
ビルディング・ブロック	BB:BehaviorDefinition:潜在的なStandIn危殆化後の持続トラフィック	StandInツールに関連する永続化コマンドが観測されると、トリガが発生します。 StandInは、レッドチームがよく使う侵入テストツールです。しかし、悪意のある行為者はこのアプリケーションを攻撃に利用することができる。
ビルディング・ブロック	BB:BehaviorDefinition:潜在的なStandIn妥協後の防御回避トラフィック	StandInツールに関連する防御回避コマンドが観測されたときにトリガーする。 StandInは、レッドチームがよく使う侵入テストツールです。しかし、悪意のある行為者はこのアプリケーションを攻撃に利用することができる。
ビルディング・ブロック	BB:BehaviorDefinition: 潜在的な StandIn 危殆化後の特権エスカレーションのトラフィック	StandIn ツールに関連する特権昇格コマンドが観測されたときにトリガーされます。 StandInは、レッドチームがよく使う侵入テストツールです。しかし、悪意のある行為者はこのアプリケーションを攻撃に利用することができる。
ビルディング・ブロック	BB:BehaviorDefinition:潜在的なStandIn妥協後の列挙トラフィック	StandInツールに関連する列挙コマンドが観測されたときにトリガーされます。 StandInは、レッドチームがよく使う侵入テストツールです。しかし、悪意のある行為者はこのアプリケーションを攻撃に利用することができる。

タイプ	名前	説明
ルール	MOVEit Transfer Vulnerability Exploit コマンド	コマンド・ラインの危殆化指標を介して、MOVEit 転送の脆弱性のエクスプロイトを検出します。
ルール	MOVEit 転送の脆弱性エクスプロイト・ファイル名	ファイル名の危殆化指標による MOVEit 転送脆弱性エクスプロイトを検出します。
ルール	MOVEit Transfer 脆弱性エクスプロイト・ハッシュ (MOVEit Transfer Vulnerability Exploit Hashes)	暗号漏えいのハッシュ指標による MOVEit 転送脆弱性エクスプロイトを検出します。

タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition: アカウントの改ざん - ログオン失敗の疑わしい理由	失敗したログオンの一般的ではないエラー・コードを検出して、疑わしいアクティビティーを判別し、無効になっているアカウントや何らかの制限があるアカウントを改ざんします。
ビルディング・ブロック	BB:BehaviorDefinition: クラウド・アカウントの発見	クラウド・アカウント・ディスカバリー・コマンドを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: Cloud Firewall 変更または停止	変更または停止されたクラウド・ファイアウォールを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: トークンでプロセスを作成する	PowerShellからのトークン生成を検出します。
ビルディング・ブロック	BB:BehaviorDefinition: PowerShellからのメールアカウント発見	PowerShell からのメールアカウント検出を検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ログイン時のパスワードが無効です	ログイン時に無効なパスワードを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: Kerberosの事前認証中に無効なパスワードが入力された	Kerberos 事前認証中の無効なパスワード・ログインを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: メールボックスのパーミッションが追加されました	追加されたメールボックス許可を検出します
ビルディング・ブロック	BB:BehaviorDefinition: 初回アクセスのタスクの可能性	潜在的な初期アクセス・タスクを定義します。これには、アカウント・ディスカバリー、ファイアウォールの停止、許可の変更などのアクティビティーが含まれます。
ビルディング・ブロック	BB:BehaviorDefinition: 不正な名前付きパイプのなりすまし	不正な名前付きパイプの偽名の使用による特権エスカレーションの試行を検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーエージェントの不審な変更	疑わしいユーザー・エージェントの変更を検出します。攻撃者は、Web トラフィックに関連付けられたアプリケーション層プロトコルを使用して通信し、既存のトラフィックと融合することで検出やネットワーク・フィルタリングを回避することができます。
ビルディング・ブロック	BB:BehaviorDefinition: 疑わしい送信SMTP接続	SMTP プロトコルを介した引き出しの可能性を検出します。
ビルディング・ブロック	BB:BehaviorDefinition: 明示的な認証情報による不審なリモートログオン	明示的な資格情報を使用してログオンしている疑わしいプロセスを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーがローカル管理者に追加されました	ローカル管理者グループに追加されたユーザー・アカウントを検出します。これは、正当なアクティビティーであるか、特権エスカレーション・アクティビティーの兆候である可能性があります。
ビルディング・ブロック	BB:BehaviorDefinition: Curl経由でユーザーエージェントが変更されました	curl を介して変更されたユーザー・エージェントを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: PowerShell経由でユーザーエージェントが変更されました	PowerShell によって変更されたユーザエージェントを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: Windowsファイアウォールが停止しました	Windows ファイアウォールが停止したことを検出します。
ルール	アクセス・トークンの不正使用	トークンの偽名の使用と盗難を検出します。 (例(DuplicateToken(Ex)とImpersonateLoggedOnUserにLOGON23_LOGON_NEW_CREDENTIALSフラグを指定します)
ルール	Dllhost アウトバウンド・ネットワーク接続	dllhost.exeによって開始されたアウトバウンド接続を検出します。
ルール	PowerShellを使用した Windows Credential Manager からの資格情報のダンプ	ユーザー資格情報を取得するために共通パスワード保管場所を検索する攻撃者を検出します。
ルール	PowerShellを使用した Windows Credential Manager からの資格情報の列挙	ユーザー資格情報を取得するために共通パスワード保管場所を検索する攻撃者を検出します。
ルール	Impair コマンド履歴ロギング・アクティビティーが検出されました	障害のあるコマンド履歴ロギング・アクティビティーを検出します。
ルール	パスワードが正しくないために複数のログインが失敗する	パスワード・スプレーを実行している攻撃者を検出します。
ルール	デフォルト・アカウントからの複数ログインの失敗	デフォルト・アカウントからの複数のログイン失敗を検出します。
ルール	ブルート・フォースの試み	ブルート・フォースを実行している攻撃者を検出します。
ルール	ブラウザーからの保管されている資格情報の潜在的な引き出し	ブラウザーに保管されている資格情報の潜在的な引き出しを検出します。
ルール	PPID Sppofing Detected (PID SPPOFing の検出)	システム上の PPID スプーフィングを検出します。
ルール	Regsvr32 アウトバウンド・ネットワーク接続	regsvr32.exe ファイルによって開始されたアウトバウンド接続を検出します。
ルール	RunDLL32 アウトバウンド・ネットワーク接続	rundll32.exe ファイルによって開始されたアウトバウンド接続を検出します。
ルール	疑わしいアクティビティーの後に潜在的な初期アクセス・タスクが続く	潜在的な初期アクセス・タスクが実行され、その後に疑わしいアクティビティーが実行されるとトリガーされます。初期アクセス・タスクには、アカウント・ディスカバリー、ファイアウォールのオフなどがあります。
ルール	Windows からの保管資格情報	Windows から保管された資格情報を検出します。
ルール	SID 履歴の注入	SID (セキュリティー ID) 履歴注入アクティビティーを検出します。
ルール	疑わしい有効なアカウントのログオン (Suspicious Valid Accounts Logon)	有効なアカウントからの疑わしいログインが検出されたときにトリガーされます。
ルール	PowerShellによるトークンの偽名の使用	トークンの偽名の使用または盗難に関連する Windows API 機能を利用して、攻撃者を検出します。

名前	説明	最適化済み
認証パッケージ	DSM ペイロードからの認証パッケージのデフォルト・カスタム抽出。	はい
属性の新しい値	DSM ペイロードからの属性の新規値のデフォルト・カスタム抽出。	いいえ
説明	DSM ペイロードからの説明のデフォルト・カスタム抽出。	いいえ
開始済み	DSM ペイロードからの開始済みのデフォルト・カスタム抽出。	はい
別ユーザー名使用レベル	DSM ペイロードからの偽名レベルのデフォルト・カスタム抽出。	はい
ログオン・プロセス	DSM ペイロードからのログオン・プロセスのデフォルト・カスタム抽出。	はい
ターゲット・サーバー名	DSM ペイロードからのターゲット・サーバー名のデフォルト・カスタム抽出。	いいえ

タイプ	名前	説明
ルール	イベントでの Turla Directory および Filename IOC の検出	IOC が Turla ディレクトリーとファイル名の組み合わせとして認識されたときにトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントでの Turla Filename IOC の検出	IOC が Turla 関連ファイル名として認識されたときにトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントでの Turla Hash IOC の検出	IOC が Turla ハッシュとして認識されたときにトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントでの Turla IP IOC の検出	IOC が既知の Turla IP として認識されたときにトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントでの Turla Registry IOC の検出	IOC が Turla レジストリー値として認識されたときにトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントにおけるTurla URL IOCの検出	IOCが既知のTurla URLとして認識された場合にトリガーされます。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。
ルール	イベントにおけるTurla URL IOCの検出	IOCが既知URL として認識された場合にトリガーが作動します。注: ルール Malware as a Service Hash IOC in Events、 Ransomware: Ransomware イベント内の IOC は、反復を避けるためにこのルールから除外されています。これらのルールの目的は、専用のルール応答を持つことです。

タイプ	名前	説明
ルール	Microsoft Windows RCE 脆弱性-ファイル変更	Microsoft Exchange のリモート・コード実行の脆弱性を検出します。 Microsoft は「CVE-2022-41040」および「CVE-2022-41082」Exchange Server を発行しました。
ルール	Microsoft Windows RCE 脆弱性-certutil を使用した疑わしいダウンロード	Microsoft Exchange のリモート・コード実行の脆弱性を検出します。 Microsoft は「CVE-2022-41040」および「CVE-2022-41082」Exchange Server を発行しました。
ルール	Microsoft Windows RCE 脆弱性-疑わしいファイル	Microsoft Exchange のリモート・コード実行の脆弱性を検出します。 Microsoft は「CVE-2022-41040」および「CVE-2022-41082」Exchange Server を発行しました。
ルール	Microsoft Windows RCE 脆弱性-疑わしいハッシュ	既知の Windows RCE SHA256 ハッシュを検出します。
ルール	Microsoft Windows RCE 脆弱性-疑わしい IP	この規則は、既知の Windows RCE IP を検出します。注: このルールに一致するイベントの数を減らすために、ログ・ソースに基づいてチューニングしてください。

タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition:クリティカルプロセスが作成されました	作成された新しい重要なプロセスを検出します。重要なプロセスとは、悪意のあるアクティビティーを実行するために攻撃者によって悪用される可能性があるプロセスのことです。一般的なプロセスは以下の通りです：PowerShell, cmd、mshta。注: ルールは、「プロセス」 CommandLine フィールドで調整できます。マルウェアに表示される一般的な Process CommandLine キーワードには、 findstr、 tmp、 temp、 vbs、 regsvr32、コマンド、 outfile、 dll、および httpなどがあります。
ビルディング・ブロック	BB:BehaviorDefinition: ショートカット（lnk）ファイルによって作成されたクリティカルプロセス	ショートカット (lnk) ファイルから作成された新規プロセスを検出します。 PowerShell, cmd、mshta など、敵が通常使用するプロセスを監視する必要があります。
ビルディング・ブロック	BB:BehaviorDefinition: 過度のファイル修正	短期間での過剰なファイル変更を検出します。
ビルディング・ブロック	BB:BehaviorDefinition: 一時ディレクトリに新しいファイルが作成されました	一時ディレクトリーの下に作成された新規ファイルを検出します。特定の一時ディレクトリーは、悪意のあるファイルをドロップするために攻撃者によって使用される可能性があります。注: モニター対象のディレクトリーは以下のとおりです。 -- Windows -- AppData\Local\Temp AppData\Roaming\
ビルディング・ブロック	BB:BehaviorDefinition: HKLM/HKCU に新しいレジストリが追加されました (Windows)	HKLM または HKCU ディレクトリーの下に設定された新規レジストリー・キーを検出します。このアクティビティーは正当なものですが、ランサムウェアの潜在的な動作が検出された場合、これは永続的な方法である可能性があります。
ビルディング・ブロック	BB:BehaviorDefinition: クリティカルプロセスを実行するショートカット（lnk）ファイル (1)	QRadar 規則に従って、ショートカット (lnk) ファイルから作成された重要なプロセスを検出します。注意: イベントは間違った順序で受信されることがあります。BB:BehaviorDefinition:ショートカット(lnk)ファイルクリティカルプロセスの実行(2) を参照してください。
ビルディング・ブロック	BB:BehaviorDefinition: クリティカルプロセスを実行するショートカット（lnk）ファイル (2)	QRadar 規則に従って、ショートカット (lnk) ファイルから作成された重要なプロセスを検出します。注意: イベントは間違った順序で受信されることがあります。BB:BehaviorDefinition: ショートカット (lnk) ファイルクリティカルなプロセスの実行 (1) を参照してください。
ルール	潜在的な Mailto ランサムウェア動作 (Windows) (Potential Mailto Ransomware Behavior (Windows))	潜在的な mailto ランサムウェア動作が検出されたときにトリガーされます。通常、mailto ランサムウェアは以下のステップを実行します (バリアントによって若干変更される可能性があります)。キーを作成するためのレジストリーの変更 (永続性のため)。実行可能 ion 一時ディレクトリーをドロップします。シャドー・コピーを削除します。暗号化 (ファイル変更)。
ルール	MSDT を介した潜在的な Windows エクスプロイト	潜在的な Microsoft サポート診断ツール (MSDT) の脆弱性の悪用が検出されたときにトリガーされます。 Microsoft は、MSDT の脆弱性について「CVE-2022-30190」を発行しました。攻撃者は、MSDT を使用してリモート・コード実行を実行し、任意のコードを実行することができます。
ルール	ショートカット (Lnk) ファイル実行コマンド (Windows) (ショートカット (Lnk) File Executing Commands (Windows))	ショートカット (lnk) ファイルがコマンドを実行できるプロセスを作成したときにトリガーされます。 Emiet などのいくつかのマルウェアは、開いたときに悪意のあるコマンドを実行するショートカット・ファイルを使用します。

表 12. IBM セキュリティー QRadar エンドポイント・コンテンツ拡張 2.5.0 の新しいビルディング・ブロックおよびルール
タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition: 敵対する可能性のある宿主とのコミュニケーション（参考セット）	リファレンス・セット別に分類された潜在的な悪意のあるホストとの通信を定義します。「XFE ATPF」接頭部で始まるリファレンス・セットは、Threat Intelligence アプリケーションによって自動的に管理され、有料サブスクリプションが必要です。その他のリファレンス・セットは、脅威インテリジェンス・アプリケーションによって提供され、サード・パーティーの脅威インテリジェンス・フィードを組み込むために使用できます。
ビルディング・ブロック	BB:BehaviorDefinition: 潜在的な敵対的ホストとのコミュニケーション（Xフォースの分類）	潜在的な悪意のあるホストとの通信が検出されたときにトリガーされます。 X-force によって分類されます。
ビルディング・ブロック	BB:BehaviorDefinition: 敵対する可能性のあるIPアドレスとの通信（参考セット）	リファレンス・セット別に分類された潜在的な悪意のある IP との通信を定義します。「XFE ATPF」接頭部で始まるリファレンス・セットは、Threat Intelligence アプリケーションによって自動的に管理され、有料サブスクリプションが必要です。その他のリファレンス・セットは、脅威インテリジェンス・アプリケーションによって提供され、サード・パーティーの脅威インテリジェンス・フィードを組み込むために使用できます。
ビルディング・ブロック	BB:BehaviorDefinition: 敵対する可能性のあるIPアドレスとの通信（X-forceによる分類）	潜在的な悪意のある IP アドレスとの通信が検出されたときにトリガーされます。 X-force によって分類されます。
ルール	BB:BehaviorDefinition: 重大なファイルの変更	重要なファイルまたはディレクトリーの変更 (作成または削除を含む) を検出します。
ルール	変更された重要なファイルの後に疑わしいアクティビティーが続く	重要なファイルまたはディレクトリーが変更され、その後に疑わしいアクティビティーが発生した場合にトリガーされます。これは、ホストにアクセスするためにファイルを変更し、実行可能ファイルをドロップしている攻撃者を示している可能性があります。
ルール	RDP 接続による過度のログイン失敗	RDP の同じマシン上で単一の送信元 IP アドレスからの複数の失敗した認証イベントが検出されたときにトリガーします。

表 14. IBM セキュリティー QRadar エンドポイント 2.4.0 のルールおよびビルディング・ブロック
タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition: Image Loaded from Mock System Directory	システム・ディレクトリーとして偽装されたディレクトリーから実行可能ファイルまたは DLL がロードされた場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: 不審なエンドポイントの活動	疑わしいアクティビティーのリストに「潜在的な UAC バイパス (Potential UAC Bypass)」が追加されました
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - DLL Hijacking (Non-System Directory)	正規の Windows 実行可能ファイルを使用して UAC なしでロードおよび実行できる特定の場所に特定のファイルがドロップされた場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - DLL Hijacking (System Directory)	特権プロセスがシステム・ディレクトリーから無署名 DLL をロードした場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - Elevated COM Object	UACをバイパスできるCOMインターフェイスがdllhost.exeファイルによってホストされ、特権プロセスをスポーンしたときにトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - IE Add-On Installer	COM インターフェースから開始された Internet Explorer アドオン・インストーラーが特権プロセスを生成した場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - Mock System Directory (Image)	特権プロセスが、システム・ディレクトリーとして偽装したディレクトリーから実行可能ファイルまたは DLL をロードした場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: UAC Bypass - Mock System Directory (Process)	システム・ディレクトリーとして偽装したディレクトリーから特権プロセスが起動した場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: Unsigned DLL Loaded from System Directory	システム・ディレクトリーから無署名の DLL がロードされた場合にトリガーされます。
ビルディング・ブロック	BB:CategoryDefinition: Elevated Process (Windows)	昇格されたプロセスを検出します。
ビルディング・ブロック	BB:CategoryDefinition: UAC Bypass Registry Key	UAC のバイパスを容易にすることが知られているレジストリー・キーを検出します。
ルール	Potential UAC Bypass	Windows ユーザー・アカウント制御のバイパスに関連した動作が検出された場合にトリガーされます。

表 16. IBM セキュリティー QRadar エンドポイント 2.3.0 のルールおよびビルディング・ブロック
タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition: Remote Desktop Access from a Remote Host	リモート・デスクトップ・アプリケーションがリモート・ホストからアクセスされているフローを識別します。
ビルディング・ブロック	BB:BehaviorDefinition:管理用シェアにアクセスしました	管理共有がアクセスされた場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: コバルト・ストライクのインバウンド・トラフィック	リモート・ホストにホストがメールを送信していることを示すフローを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: コバルト・ストライクのインバウンド・トラフィック	Cobalt Strike サーバーからの通信であることが分かっている TLS 指紋が検出されたときにトリガーします。
ビルディング・ブロック	BB:BehaviorDefinition: コバルト・ストライクのアウトバウンド・トラフィック	Cobalt Strike クライアントからの通信であることが分かっている TLS 指紋が検出されたときにトリガーします。
ビルディング・ブロック	BB:BehaviorDefinition: Potential Cobalt Strike Traffic	Cobalt Strike に関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。 Cobalt Strike は、レッド・チームでよく使用される侵入テスト・ツールです。しかし、悪意のあるアクターが、このアプリケーションの不正取得バージョンを攻撃に利用することがよくあります。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ビルディング・ブロック	BB:BehaviorDefinition: Programming Environment Started with a Privileged Account	プログラミング環境が特権アカウントで開始された場合にトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: Regular Endpoint Administration	ユーザー管理、コマンド・ラインでのファイルのダウンロード、昇格された特権による実行など、通常の管理アクティビティーを定義します。
ビルディング・ブロック	BB:BehaviorDefinition: 不審なエンドポイントの活動	疑わしいエンドポイント・アクティビティーを定義します。
ビルディング・ブロック	BB:BehaviorDefinition: VNC Activity from a Remote Host	VNC サービスがリモート・ホストからアクセスされているフローを識別します。
ルール	Cobalt Strike Behaviour Detected	Cobalt Strike に属している可能性がある動作が検出されたときにトリガーします。 Cobalt Strike は、レッド・チームでよく使用される侵入テスト・ツールです。しかし、悪意のあるアクターが、このアプリケーションの不正取得バージョンを攻撃に利用することがよくあります。
ルール	潜在的な悪意のあるホストとの通信	悪意のある可能性のあるホストとして X-force によって分類されたホスト、またはリファレンス・セット・コレクションに含まれているホストとの通信が検出された場合にトリガーされます。
ルール	プログラミング環境でのエンコードされたコマンドの悪意のある使用	エンコードされたコマンドが、プログラミング環境のコマンド・プロンプトまたは Powershell で使用された場合にトリガーされます。
ルール	Malware: Potential Dridex Traffic	Dridex トロイの木馬に関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Malware: Potential Emotet Traffic	Emotet トロイの木馬に関連することが知られている JA3 フィンガープリントが検出された場合にトリガーされます。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Malware: Potential Empire Traffic	Empire ダウンローダーに関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Malware: Potential Trickbot Traffic	Trickbotトロイの木馬に関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Potential Metasploit Traffic	Metasploit に関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。 Metasploit は、レッド・チームでよく使用される侵入テスト・ツールです。しかし、悪意のあるアクターが攻撃に利用することがよくあります。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Potential Tor Traffic	Tor プロジェクトに関連していることが知られている TLS フィンガープリントが検出された場合にトリガーされます。 Tor は、ポリシーをバイパスして悪意のあるアクティビティーを実行するために使用できる、悪意のない匿名化サービスです。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Ransomware: Ryuk Potential Traffic	Ryuk ランサムウェアに関連することが知られている TLS フィンガープリントが検出された場合にトリガーされます。このルールは、誤検出のリスクを軽減するために、クライアントとサーバーの両方のフィンガープリントを突き合わせます。
ルール	Remote: Remote Desktop Access from the Internet	インターネットからローカル・ホストへの Microsoft リモート・デスクトップ・プロトコルが検出された場合にトリガーされます。大半の企業はこれを企業ポリシーの違反と見なしています。ご使用のネットワークではこれが通常のアクティビティーである場合、このルールを無効にする必要があります。
ルール	Remote: VNC Access from the Internet	インターネットからローカル・ホストへの VNC (リモート・デスクトップ・アクセス・アプリケーション) が検出された場合にトリガーされます。多くの企業が、これを対処すべきポリシーの問題と考えています。ご使用のネットワークではこれが通常のアクティビティーである場合、このルールを無効にしてください。
ルール	使用するサービスの設定 PowerShell	サービスが Powershell を使用するように構成されている場合にトリガーされます。
ルール	Suspicious Parent for a process	サービスが Powershell を使用するように構成されている場合にトリガーされます。
ルール	Suspicious PSExec Module Usage Detected	PSExec モジュールの使用が検出された場合にトリガーされます。

表 19. IBM セキュリティー QRadar エンドポイント 2.2.0 のルールおよびビルディング・ブロック
タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition: マルウェア・アズ・ア・サービス・パス IOC	Emotet Trojan および Trickbot Trojan など、Malware as a Service (MaaS) に関連するファイル・パスの Indicator of Compromise (IoC) が観察されたときにトリガーします。 IOC は、以下のカスタム・ディレクトリーのパターンに従います。 %APPDATA%\roaming\winapp\client_id %APPDATA%\roaming\winapp\group_tag %APPDATA%\system32\Tasks\services update %APPDATA%\system32\Tasks\MsSysToken HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\RandomNumber.EXE C:\WINDOWS\SYSWOW64\RandomNumber.EXE C:\WINDOWS\SYSWOW64\RandomNumber.EXE C:\WINDOWS\TEMP\RandomNumber.TMP 「Malware as a Service_Path」リファレンス・セットは事前に定義されています。このリファレンス・セットを関連する IOC で調整してください。
ルール	Potential Memory Code Injection	コバルト・ストライク・ビーコンが Windows プロセスを spawn するとトリガーされます。 Cobalt ーバーがネイティブ Windows バイナリーを作成し、そのメモリー・スペースを操作すると、spawn されたプロセスはコマンド・ライン引数を持たなくなります。指定された
ルール	パイプを使用するように構成されたサービス	サービスがパイプを使用するように構成されている場合にトリガーされます。これは、攻撃者が、getsystem を使用した特権昇格によってユーザー・システムへのアクセスを獲得したことを示している可能性があります。

名前	最適化済み	場所
Integrity Level	はい	Microsoft Windows
ParentCommandLine	はい	Microsoft Windows
プロセス ID	はい	Microsoft Windows
レジストリー値名	はい	Microsoft Windows
署名済み	はい	Microsoft Windows

名前	最適化済み	場所
プロセス名	はい	Carbon Black Response エンドポイント FireEye MPS Linux Microsoft Windows ObserveIT osquery
終了したプロセス	はい	Microsoft Windows

名前	説明
Service_MD5としてのマルウェア	Malware as a Service の指標である MD5 ファイル・ハッシュをリストします。
サービス・パスとしてのマルウェア	Malware as a Service の指標であるファイル・パスをリストします。
Service_SHA1としてのマルウェア	Malware as a Service の指標である SHA1 ファイル・ハッシュをリストします。
Service_SHA256としてのマルウェア	Malware as a Service の指標である SHA256 ファイル・ハッシュをリストします。
pulse_imports	Pulse ダッシュボード。
リョーク・サービスおよびプロセス終了リスト	Ryuk ランサムウェアによって終了された可能性のあるプロセスまたはサービスをリストします。
Ryuk_MD5	Ryuk ランサムウェアの指標である MD5 ファイル・ハッシュをリストします。
Ryuk_SHA1	Ryuk ランサムウェアの指標である SHA1 ファイル・ハッシュをリストします。
Ryuk_SHA256	Ryuk ランサムウェアの指標である SHA256 ファイル・ハッシュをリストします。

フェーズ	ルール
分布	Malware as a Service Hash IOC in Events Malware as a Service Hash IOC in Flows
ステージング	Attempt to Delete Shadow Copies Critical File Deleted (Unix) RDP Hijacking Tool Detected Recovery Disabled in Boot Configuration Data Ransomware: Ryuk Service or Process Termination
感染	Detection of Malicious File or Process Detection of Malicious IOC File Decode or Download followed by Suspicious Activity Ransomware: BadRabbit IOC in Events Ransomware: BadRabbit IOC in Flows Ransomware: Maze IOC in Events Ransomware: Petya / NotPetya IOC in Events Ransomware: Petya / NotPetya IOC in Flows Ransomware: REvil IOC in Events Ransomware: WCry IOC in Events Ransomware: WCry IOC in Flows Ransomware: WCry Payload in Flows Ransomware IOCs Detected on Multiple Machines Ransomware: Ryuk IOC in Events Ransomware: Ryuk IOC in Flows Ransomware Encrypted File Extension
スキャン行為	Cobalt Strike Behaviour Detected Excessive Failed Access to an Administrative Share from the Same Source Excessive Nslookup Usage Reconnaissance Tool Detected
暗号化	Excessive File Deletion and Creation Ransomware Encrypted File Extension Ransomware: Maze Suspicious File Transfer Suspicious Amount of Files Deleted on the Same Machine Suspicious Amount of Files Renamed on the Same Machine (Windows) Suspicious Amount of Files Renamed/Moved on the Same Machine (Unix)
ランサムの通知	Ransomware Decryption Instructions Created

名前	最適化済み	場所
ログオン・タイプ	はい	Microsoft Windows
共有名 (Share Name)	はい	Microsoft Windows
StartAddress	はい	Microsoft Windows

タイプ	名前	説明
リファレンス・セット	BadRabbit_FileHash	BadRabbit ランサムウェアに関連するファイル・ハッシュをリストします。
リファレンス・セット	BadRabbit_FileName	BadRabbit ランサムウェアに関連するファイル名をリストします。
リファレンス・セット	BadRabbit_Hostname	BadRabbit ランサムウェアに関連するホスト名をリストします。
リファレンス・セット	BadRabbit_IP	BadRabbit ランサムウェアに関連する IP アドレスをリストします。
リファレンス・セット	Petya_File_Name	Petya/NotPetya ランサムウェアに関連するファイル名をリストします。
リファレンス・セット	Petya_FileHash	Petya/NotPetya ランサムウェアに関連するファイル・ハッシュをリストします。
リファレンス・セット	Petya_HostName	Petya/NotPetya ランサムウェアに関連するホスト名をリストします。
リファレンス・セット	Petya_IP	Petya/NotPetya ランサムウェアに関連する IP アドレスをリストします。
リファレンス・セット	WCry_FileHash	WannaCry ランサムウェアに関連するファイル・ハッシュをリストします。
リファレンス・セット	WCry_FileName	WannaCry ランサムウェアに関連するファイル名をリストします。
リファレンス・セット	WCry_HostName	WannaCry ランサムウェアに関連するホスト名をリストします。
リファレンス・セット	WCry_IP	WannaCry ランサムウェアに関連する IP アドレスをリストします。

名前	説明
BadRabbit Event "DestinationIP" Last 24 Hours	既知の BadRabbit 宛先 IP アドレスを使用するイベントを表示します。
BadRabbit Event "FileHash" Last 24 Hours	既知の BadRabbit ファイル・ハッシュを使用するイベントを表示します。
BadRabbit Event "Hostname" Last 24 Hours	既知の BadRabbit ホスト名を使用するイベントを表示します。
BadRabbit Event "SourceIP" Last 24 Hours	既知の BadRabbit 送信元 IP アドレスを使用するイベントを表示します。
BadRabbit Flows "DestinationIP" Last 24 Hours	既知の BadRabbit 宛先 IP アドレスを使用するフローを表示します。
BadRabbit Flows "SourceIP" Last 24 Hours	既知の BadRabbit 送信元 IP アドレスを使用するフローを表示します。
Outbound UDP Traffic	UDP を使用するアウトバウンド・フローを表示します。
Petya/NotPetya Event "DestinationIP" Last 24 Hours	既知の Petya/NotPetya 宛先 IP アドレスを使用するイベントを表示します。
Petya/NotPetya Event "File Hash" Last 24 Hours	既知の Petya/NotPetya ファイル・ハッシュを使用するイベントを表示します。
Petya/NotPetya Event "SourceIP" Last 24 Hours	既知の Petya/NotPetya 送信元 IP アドレスを使用するイベントを表示します。
Petya/NotPetya Flows "DestinationIP" Last 24 Hours	既知の Petya/NotPetya 宛先 IP アドレスを使用するフローを表示します。
Petya/NotPetya Flows "SourceIP" Last 24 Hours	既知の Petya/NotPetya 送信元 IP アドレスを使用するフローを表示します。
Petya/NotPetya Flows Last 24 Hours	Petya/NotPetya に関連するフローを表示します。
Potential Ransomware (Suspicious activity, Possible Petya, NotPetya)	ランサムウェアに関連する疑わしいペイロードを使用するフローを表示します。
WannaCry Events "Destination Hostname" Last 24 Hours	既知の WannaCry 宛先ホスト名を使用するイベントを表示します。
WannaCry Events "DestinationIP" Last 24 Hours	既知の WannaCry 宛先 IP アドレスを使用するイベントを表示します。
WannaCry Events "File Hash" Last 24 Hours	既知の WannaCry ファイル・ハッシュを使用するイベントを表示します。
WannaCry Events "Host Name" Last 24 Hours	既知の WannaCry ホスト名を使用するイベントを表示します。
WannaCry Events "Source Host Name" Last 24 Hours	既知の WannaCry 送信元ホスト名を使用するイベントを表示します。
WannaCry Events "SourceIP" Last 24 Hours	既知の WannaCry 送信元 IP アドレスを使用するイベントを表示します。
WannaCry Events "URL" Last 24 Hours	既知の WannaCry URL を使用するイベントを表示します。
WannaCry Flows Last 24 Hours	WannaCry に関連するフローを表示します。

名前	最適化済み	場所
アプリケーション	はい	Linux
アーキテクチャー	はい	Linux
監査 ID	はい	Linux
呼び出しタイプ	はい	Linux
コマンド引数	はい	Linux
エンコード・ファイル・ディレクトリー	はい	Linux
エンコードされたファイル名	はい	Linux
ファイル・ディレクトリー	はい	Cisco AMP Cisco Firepower Linux Microsoft Office 365 Microsoft Windows osquery Microsoft 365 Defender
ファイル拡張子	はい	Amazon AWS Blue Coat Cisco AMP Cisco Ironport McAfee EPO Microsoft Office 365 Microsoft Windows osquery Postfix Squid Microsoft 365 Defender
ファイルの許可	はい	Linux osquery
ファイル名	はい	Amazon AWS Azure Bit9 Security Platform Blue Coat Carbon Black Protection Cisco AMP Cisco Firepower Cisco Ironport エンドポイント FireEye MPS Fortinet FortiAnalyzer Linux McAfee EPO Microsoft Office 365 Microsoft Windows osquery Palo Alto PA シリーズ Postfix Squid Sysmon VMware Microsoft 365 Defender
Group Name	はい	Linux Microsoft Windows
マシン ID	はい	Linux Microsoft Windows
MD5 ハッシュ	いいえ	Cisco AMP Microsoft 365 Defender Microsoft Windows
親プロセスの名前	はい	osquery Microsoft Windows
プロセス・コマンド行	はい	Carbon Black Response Kubernetes Microsoft Windows osquery Sysmon
プロセス名	はい	Carbon Black Response エンドポイント FireEye MPS Linux Microsoft Windows ObserveIT osquery
プロセス・パス	はい	Carbon Black Response Microsoft Windows
レコード番号	いいえ	Linux
レジストリー・キー	はい	Microsoft Windows
レジストリー値データ	はい	Microsoft Windows
ルール名	はい	Microsoft Windows
SHA256 ハッシュ	はい	Cisco AMP Microsoft 365 Defender osquery Sysmon
ターゲット・ユーザー名	はい	Amazon AWS Azure Kubernetes Microsoft Office 365 Microsoft Windows osquery VMware
トークンの昇格タイプ	はい	Microsoft Windows
UrlHost	はい	Blue Coat Cisco Ironport IBM クラウド発見アプリ QRadar McAfee EPO Squid Microsoft 365 Defender
ユーザー ID	はい	Azure Linux osquery

タイプ	名前	説明
ビルディング・ブロック	BB:BehaviorDefinition:管理者権限の追加（Unix）	標準ユーザーに追加された管理者特権を検出します。攻撃者は、さらなる攻撃のために自分の特権をエスカレートさせることができます。
ビルディング・ブロック	BB:BehaviorDefinition: 管理者権限の追加（Windows）	標準ユーザーに追加された管理者特権を検出します。攻撃者は、さらなる攻撃のために自分の特権をエスカレートさせることができます。
ビルディング・ブロック	BB:BehaviorDefinition: 管理者権限の削除 (Windows)	スーパーユーザー・グループから削除された許可を検出します。攻撃者は、管理者からの緩和処置を防止するために高特権を削除することができます。
ビルディング・ブロック	BB:BehaviorDefinition: コンポーネント・オブジェクト・モデルのハイジャック	コンポーネント・オブジェクト・モデル (COM) ハイジャック・アクティビティーを検出します。別のプロセスをロードするために変更された可能性があるレジストリー詳細をモニターします。例えば、代わりに悪意のある .exe ファイルを実行するためにコマンド・プロンプトが変更された後で、プロセスが作成された場合です。
ビルディング・ブロック	BB:BehaviorDefinition: コンポーネント・オブジェクト・モデル・ハイジャック・ルール	Windows ツールチップ・ハンドラー上のレジストリー変更、動的データ交換 (DDE) 会話を確立するアプリケーションを含むキー、およびダイナミック・リンク・ライブラリー (DLL) のパスを含むキーをモニターすることにより、コンポーネント・オブジェクト・モデル (COM) ハイジャック・アクティビティーを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: クリティカルセキュリティツールのプロセス情報	別のシグナルによって対象とされている PID への応答として、監査メッセージが重大なセキュリティー・ツールに関する情報を記録したときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: イベント・ユーティリティのダウンロード	ftp、sftp、curl、cuteftp、wget、certutil、bits、nc などのダウンロード・ユーティリティーがエンドポイント上で使用されているときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: グループまたはアカウントの発見	グループまたはアカウントのディスカバリー・アクションが実行されたときの突き合わせを行います。
ビルディング・ブロック	BB:BehaviorDefinition: 隠しファイルまたはフォルダーが作成されました	隠しファイルまたはフォルダーが作成されたときにトリガーされます。隠しファイルまたはフォルダーには以下の 3 つの形式があります。ドットで始まるドットで始まり、スペースを含む許可ベース (例えば、-rwx------)
ビルディング・ブロック	BB:BehaviorDefinition: パスワードポリシー検出 (Unix)	パスワード・ポリシーのディスカバリー・アクションが実行されたときにそのことを検出します。デフォルトでは、このビルディング・ブロックは以下のファイルを監視しています。 /etc/login.defs /etc/pam.d/common-password /etc/pam.d/system-auth /etc/security/pwquality.conf
ビルディング・ブロック	BB:BehaviorDefinition: パスワードポリシー検出 (Windows)	パスワード・ポリシーのディスカバリー・アクションが実行されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: PowerShellファイルダウンロードアクティビティ	PowerShell を使用してファイルがダウンロードされたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition:プロセスが終了しました	kill システム・コールを使用して Linux プロセスが強制終了されたときにトリガーされます。
ビルディング・ブロック	BB:BehaviorDefinition: Regular Endpoint Administration	ユーザー管理、コマンド・ラインでのファイルのダウンロード、昇格した特権を使用した実行などの通常の管理アクティビティーを定義します。
ビルディング・ブロック	BB:BehaviorDefinition: スーパーユーザーまたは他のユーザーとして実行 (Unix)	root または別のユーザーとしてプログラムが実行されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: スーパーユーザーまたは他のユーザーとして実行（Windows）	管理者または別のユーザーとしてプログラムが実行されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: 不審なエンドポイントの活動	疑わしいエンドポイント・アクティビティーを定義します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーアカウント追加 (Unix)	ユーザー・アカウントが作成されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーアカウントの追加 (Windows)	ユーザー・アカウントまたはグループ・アカウントが作成されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーアカウント削除 (Unix)	ユーザー・アカウントが削除されたときにそのことを検出します。
ビルディング・ブロック	BB:BehaviorDefinition: ユーザーアカウントの削除 (Windows)	ユーザー・アカウントまたはグループ・アカウントが削除されたときにそのことを検出します。
ビルディング・ブロック	BB:CategoryDefinition: ユーティリティによるファイルデコード	ユーティリティーを使用してファイルがデコードされたときにそのことを検出します。
ビルディング・ブロック	BB:CategoryDefinition:ファイルのパーミッションが変更されました	ファイルに割り当てられた許可を変更するためにコマンドが実行されたときにそのことを検出します。
ビルディング・ブロック	BB:CategoryDefinition:センシティブなパーミッションのファイル	許可を変更してはならないファイルを定義します。これにより、システムが正常に機能することを妨害しようとしている攻撃者の振る舞いが検出される可能性があります。デフォルトでは、このビルディング・ブロックは以下のファイルを監視しています。 /boot/ /etc/pam.d/ /etc/shadow /etc/passwd /etc/rsyslog/ /etc/openldap/ /etc/sysconfig/syslog /etc/syslog.conf /etc/sysconfig/network-scripts/ /etc/default/ufw /etc/sudoers
ビルディング・ブロック	BB:DeviceDefinition: Operating System	システム上のすべてのオペレーティング・システムを定義します。
ルール	潜在的な悪意のあるホストとの通信	潜在的な悪意のあるホスト (X-force によって分類されたかまたはリファレンス・セット・コレクションに含まれているホスト) との通信を検出します。
ルール	潜在的な悪意のある IP アドレスとの通信	潜在的な悪意のある IP アドレス (X-force によって分類されたかまたはリファレンス・セット・コレクションに含まれている IP アドレス) との通信を検出します。
ルール	ディスカバーされた資格情報ダンプ・アクティビティー	資格情報のダンプ・アクティビティーが Windows レジストリーで検出されるとトリガーされます。攻撃者は、レジストリーを照会して、他のプログラムまたはサービスによる使用のために保管された資格情報およびパスワードを探し、それらの資格情報を悪用する可能性があります。資格情報のダンプ・アクティビティーには以下が含まれますが、これに限定されません。システムまたは他のプログラムによって使用される可能性があるパスワードを探すレジストリー・スキャン Security Accounts Manager (SAM) を使用したハッシュのダンププレーン・テキストでのパスワードの保管を許可するための WDigest レジストリーの変更以下の AQL フィルター条件は、このルールに実装されている 3 つの資格情報のダンプ方法を示しています。それぞれの方法は、調整のためにこれらの AQL フィルターを使用して別個に実装できます。イベントが AQL フィルター照会「LOWER("Process CommandLine") MATCHES 'reg\s+query.password.'」に一致した場合は、攻撃者がパスワード値をスキャンしてレジストリー・ハイブを検索した可能性があります。攻撃者は、悪意のある目的でレジストリー・ハイブをダンプして引き出すことができます。これは、Security Accounts Manager (SAM) による資格情報のダンプを示しています (イベントが LOWER("Process CommandLine") MATCHES 'reg.save.(sam\|system\|security)' AQL フィルター照会に一致する場合)。このレジストリー・キー変更は、次に誰かがこのシステムにログオンするときに資格情報を平文で保管するように WDigest に強制します (イベントが AQL フィルター照会「LOWER (" Process CommandLine) MATCHES 'reg\s+ (add\|query). * uselogoncredential. '」に一致する場合、およびイベントが AQL フィルター照会「LOWER("Registry Key") MATCHES '\\system\\(controlset001\|controlset002\|currentcontrolset).wdigest'」に一致する場合)
ルール	重要なファイル許可の変更 (Unix)	重要なファイルまたはディレクトリーの許可が変更されたときにトリガーされます。攻撃者は、機密ファイルの許可を変更して、そのファイルにアクセスできる唯一のユーザーになり、改ざん、データの破壊、またはセキュリティー・ツールの無効化を行うことができます。注意: BB:CategoryDefinition: File with Sensitive Permissionsビルディングブロックを、監視するファイルまたはディレクトリで編集します。悪用された場合の重大度が高いブート、バックアップ、ロギング、または資格情報に関連するロケーションを指定してください。
ルール	重要なセキュリティー・ツールが強制終了されました (Unix)	重大なセキュリティー・プロセスが強制終了されたときにそのことを検出します。攻撃者は、検出を回避するためにセキュリティー・ツールを無効にすることができます。注: このルールに含まれるビルディング・ブロックは、「 Critical Security Tool Processes 」リファレンス・セットを使用します。「Critical Security Tool Processes」リファレンス・セットには、共通セキュリティー・ツール・プロセス名が事前に定義されています。組織によって使用されるツールを指定して、リファレンス・セットを調整します。
ルール	重要なセキュリティー・ツールが停止しました	重要なファイルまたはディレクトリーの許可が変更されたときにトリガーされます。攻撃者は、機密ファイルの許可を変更して、そのファイルにアクセスできる唯一のユーザーになり、改ざん、データの破壊、またはセキュリティー・ツールの無効化を行うことができます。注: 「 Critical Security Tool Processes 」リファレンス・セットには、共通セキュリティー・ツール・プロセス名が事前に取り込まれています。組織によって使用されるツールを指定して、リファレンス・セットを調整します。
ルール	Detection of Malicious IOC	IOC がリファレンス・セット・コレクション内で悪意のある指標として分類されているときにそのことを検出します。
ルール	右から左へのオーバーライドで作成されたファイル	作成されたファイルの名前に Right to Left Override 文字 (U+202E) が検出された場合にトリガーされます。一部のオペレーティング・システムでは、グラフィカル・インターフェースがこの文字を処理して、ファイル名の一部の表示順序を反転させます。
ルール	ファイル名の後にスペースを使用して作成されたファイル	ファイル名の最後の文字がスペースであるときにトリガーされます。これにより、オペレーティング・システムは、有効なファイル拡張子であるように見える場合でも、ファイルのタイプを判別し、それに従って実行するように強制されます。例えば、info.txt という名前のシェル・スクリプトはテキスト・ファイルとして開かれますが、info.txt (名前の後のスペースに注意) は、シェル・スクリプトを処理するデフォルト・プログラムによって開かれます。
ルール	File Decode or Download followed by Suspicious Activity	certutil などのユーティリティーを使用してファイルがデコードされたときにトリガーされます。これは、悪意のあるユーザーがエンコード・ファイルをダウンロードし、セキュリティーを回避するためにファイルをデコードしていることを示している可能性があります。
ルール	潜在的なコンポーネント・オブジェクト・モデル (COM) ハイジャック	潜在的なコンポーネント・オブジェクト・モデル (COM) ハイジャック・アクティビティーを検出します。攻撃者は、正当な COM 参照をハイジャックすることにより、悪意のあるコードを実行できます。
ルール	潜在的な DLL ハイジャック	ダイナミック・リンク・ライブラリー (DLL) ファイルが作成またはダウンロードされ、アプリケーションによってロードされたときにトリガーされます。これは、DLL 検索順序ハイジャックを示している可能性があります。注: フォールス・ポジティブを減らすために、モニターするプロセスを除外してください。
ルール	潜在的な悪意のあるアプリケーション・シミング	レジストリー変更をモニターすることにより、アプリケーション・シミング・アクティビティーを検出します。攻撃者が、後方互換性機能を使用して特権昇格を実行したりバックドアをインストールしたりした可能性があります。カスタム・データベースは、以下の場所にあります。 %WINDIR%\AppPatch\Custom %WINDIR%\AppPatch\CustomSDB %WINDIR%\AppPatch\AppPatch64\Custom 注: 「下の許可リスト」リファレンス・セットには、デフォルトの Windows インストーラーによってインストールされたデフォルトの下のバージョンが取り込まれます。カスタム・シムを指定して、このリファレンス・セットを調整します。
ルール	プロセス・マスカレーディング (Unix)	プロセスの実行元として想定されないディレクトリーからプロセスが実行されているときにトリガーされます。攻撃者は、検出を回避するために正当なプロセスをマスカレードすることにより、正当ではないプロセスから悪意のあるコマンドを実行できます。注: 任意のディレクトリーを含めるか除外するように、このルールをチューニングしてください。
ルール	プロセス・マスカレーディング (Windows)	正当ではないディレクトリーから機密プロセスが実行されているときにトリガーされます。攻撃者は、検出を回避するために正当なプロセスをマスカレードすることにより、正当ではないプロセスから悪意のあるコマンドを実行できます。注: 「Sensitive Process Names」リファレンス・セットには、既知の機密プロセスが取り込まれます。監視するプロセスを指定して、このリファレンス・セットを調整します。「Default Process Name and Process Directories」リファレンス・マップ・セットには、機密プロセス名およびディレクトリーが事前に定義されています。機密プロセスのデフォルト・ロケーションを指定して、このリファレンス・データを調整します。
ルール	疑わしいプロセスによって作成されたプログラミング環境 (Programming Environment Awn by a Suspicious Process)	疑わしいプロセスによってプログラミング環境が生成されたときにトリガーされます。これは、攻撃者が悪意のあるスクリプトを実行しようとしていることを示している可能性があります。
ルール	推奨されるブロックされたプロセスが実行中	システムで実行されている推奨ブロック・プロセスを検出します。 Microsoft Windows は、攻撃者に悪用される可能性があり、Windows Defender アプリケーションコントロールをバイパスする可能性もあるアプリケーションを無効にするための推奨ブロック規則を一覧表示します。注: 「推奨されるブロックされたプロセス」リファレンス・セットには、Microsoft の一般的に悪用されるアプリケーションが事前に取り込まれています。ビジネス・ニーズに応じたエンドポイント・プロセスを指定して、リファレンス・セットを調整します。
ルール	疑わしいアクティビティーの後にエンドポイント管理タスクが続く	疑わしいアクティビティーが同じマシン上で検出された後で、通常の管理タスク (ファイルのダウンロード、ユーザー権限の更新、別のユーザーとして実行など) が実行されたときにそのことを検出します。
ルール	User Account Creation followed by Account Deletion	短期間にユーザーが作成されて削除されたときにトリガーされます。これは、攻撃者またはマルウェアが別のユーザー・アカウントを使用して検出を隠蔽または回避しようとしているか、システム上に爆弾を投下しようとしていることを示している可能性があります。

タイプ	名前	説明
セットのリファレンス・マップ	Default Process Name and Process Directories	このセットのリファレンス・マップは、機密プロセスとそれらのディレクトリーをリストします。
リファレンス・データ	pulse_imports	Pulse ダッシュボードの一部。
リファレンス・セット	Anonymizer IPs	識別されたアノニマイザー IP アドレスをリストします。
リファレンス・セット	Botnet C&C IPs	識別されたボットネット・コマンドおよび制御サーバーの IP アドレスをリストします。
リファレンス・セット	Botnet IPs	識別されたボットネット IP アドレスをリストします。
リファレンス・セット	Critical Security Tool Processes	重大なセキュリティー・ツールをリストします。
リファレンス・セット	Malicious URLs	識別された悪意のある URL をリストします。
リファレンス・セット	Malware Hashes MD5	識別された md5 マルウェア・ハッシュをリストします。
リファレンス・セット	Malware Hashes SHA	識別された sha256 マルウェア・ハッシュをリストします。
リファレンス・セット	Malware IPs	識別されたマルウェア IP アドレスをリストします。
リファレンス・セット	Malware URLs	識別されたマルウェア URL をリストします。
リファレンス・セット	Phishing IPs	識別されたフィッシング IP アドレスをリストします。
リファレンス・セット	Phishing URLs	識別されたフィッシング URL をリストします。
リファレンス・セット	Recommended Blocked Processes	ブロックすることが推奨されるプロセスをリストします。
リファレンス・セット	Sensitive Process Names	機密プロセスをリストします。
リファレンス・セット	Shims Allowlist	アプリケーション・シミング・レジストリーをリストします。

エンドポイント

IBM Security QRadar エンドポイント

IBM セキュリティ QRadar エンドポイント 3.1.0

IBM セキュリティ QRadar エンドポイント 3.0.0

IBM セキュリティ QRadar セキュリティ エンドポイント 2.9.0 エンドポイント

IBM セキュリティ QRadar セキュリティ エンドポイント 2.8.3 エンドポイント

IBM Security QRadar エンドポイント 2.8.2

IBM Security QRadar エンドポイント 2.8.1

IBM Security QRadar エンドポイント 2.8.0

IBM Security QRadar エンドポイント 2.7.2

IBM Security QRadar エンドポイント 2.7.1

IBM Security QRadar エンドポイント 2.7.0

IBM Security QRadar エンドポイント 2.6.0

IBM Security QRadar エンドポイント 2.5.0

IBM Security QRadar エンドポイント 2.4.0

IBM Security QRadar エンドポイント 2.3.0

IBM Security QRadar エンドポイント 2.2.0

IBM Security QRadar エンドポイント 2.1.1

IBM Security QRadar エンドポイント 2.1.0

IBM Security QRadar エンドポイント 2.0.0

IBM Security QRadar エンドポイント 1.0.0

IBM セキュリティ QRadar セキュリティエンドポイント 2.9.0 エンドポイント

IBM セキュリティ QRadar セキュリティエンドポイント 2.8.3 エンドポイント