STIX 形式でインシデントをエクスポートする

インシデントは、STIX 2.1（Structured Threat Information eXpression）JSON バンドルとしてエクスポートできます。エクスポートされたファイルには、オブザーバブル、MITRE ATT&CK 手法マッピング、TLP 2.0 データ マーキングを含む、完全なインシデント オブジェクト グラフが含まれており、CSIRT/CERT ネットワーク、脅威インテリジェンス プラットフォームと共有したり、MISP および TAXII 対応ツールに直接取り込んだりできます。

エクスポートされる各バンドルは、リンクされたオブジェクトを含む STIX Report として構成され、以下が含まれます。

  • ファイル、ファイル ハッシュ、ディレクトリ
  • プロセスとユーザーアカウント
  • IP アドレス、URL、ドメイン名
  • Windows レジストリキー
  • MITRE ATT&CK 攻撃パターン（自動的にマッピング）
  • YARA インジケーターおよび検出ルール参照

STIX 形式でインシデントをエクスポートするには

  1. Cyber Protectコンソールで、[保護] > [インシデント] に進みます。

    インシデントリストが表示されます。

  2. エクスポートするインシデントをクリックします。

    選択したインシデントの詳細が表示されます。

  3. [STIXレポートのエクスポート]をクリックします。

    [STIXレポートのエクスポート] ダイアログが表示されます。

  4. [レポートのタイプ] フィールドで、レポート用の NIS2 アライメント済み事前設定を選択します。

    • [初期警告]: インシデントを検知してから 24 時間以内の初期通知用です。
    • [インシデントの通知]: インシデントを検知してから 72 時間以内の詳細通知用です。
    • [最終レポート]: インシデントを検知してから 1 か月以内に提出する包括的なインシデントレポート用です。

  5. [TLP マーク] フィールドで、エクスポートされたデータをどのように共有できるかを制御する Traffic Light Protocol (TLP) 2.0 のマーキングを選択します。

    • TLP:CLEAR: 共有に制限はありません。情報は公開で共有できます。
    • TLP:GREEN: コミュニティ内での共有用です。公開開示はできません。
    • TLP:AMBER (デフォルト): 組織およびそのクライアント内で、知る必要がある場合に限定した共有です。
    • TLP:AMBER+STRICT: 組織内のみでの限定共有です。クライアントと共有してはなりません。
    • TLP:RED: 開示不可です。指名された受信者のみが使用できます。
  6. [エクスポート] をクリックします。STIX 2.1 JSON バンドルがコンピューターにダウンロードされます。