被害状況

攻撃者

脆弱性

1. Blue Team playbookは、特定のセキュリティインシデントを特定し、封じ込め、解決する手順を詳細に示すガイドであり、インシデント応答が一貫性があり、タイムリーで、組織の方針や規制要件と一致していることを確認するためのもの。
2. Blue Team playbookに含まれる主要な要素は、前提条件、ワークフロー、チェックリスト、調査プレイカードであり、各インシデントシナリオに対する具体的な対応が含まれる。
3. Blue Team playbookは、類型化されたレスポンス戦略と各使用事例をマッピングすることで、Blue Teamが迅速に行動し、対応時間を短縮し、潜在的な被害を最小限に抑えることができる。
4. Wazuhは、リアルタイムの脅威検出、自動応答、包括的なインシデント管理機能を提供し、Blue Teamの効果的な動作をサポートするセキュリティプラットフォームである。
5. Wazuhは、セキュリティデータの相関と分析、リアルタイムの脅威検出、ログ分析、ファイル整合性の監視機能を提供することで、インシデントレスポンスのすべての主要段階で貴重なツールとなっている。

1. 前提条件：調査を開始する前に準備されている必要がある要件。セキュリティツール、定義済みの役割、関連する検出ルール、アラートロジックなどが含まれる。
2. ワークフロー：インシデント対応中に従われる手順の論理的なシーケンス。典型的には、インシデントが検出され、エスカレートされ、審査され、封じられ、解決される様子を示すモデルに従う。
3. チェックリスト：ワークフロー内の各ステップを追跡し、確認するためのタスクのリスト。インシデントを効果的に緩和し、修復するために必要なすべてのアクションが取られるようにする。
4. 調査プレイカード：特定のインシデントユースケースと異なる攻撃ベクトルに合わせてカスタマイズされた段階的な手順。それぞれのプレイカードには、ログソース、妥協指標（IoC）、関連するMITRE ATT＆CKテクニック、封じ込め、回復活動が含まれるべき。

被害状況

攻撃者

脆弱性

1. Dormant accessによるリスク：
   • 従業員がSSOや中央の可視性なしにユーザー名とパスワードだけでツールにサインアップ
   • 使わなくなってもアクセスは残り、管理されていない
2. Generative AIによるリスク：
   • Generative AIによりパワードされたSaaSアプリは通常OAuth権限を広く要求し、受信トレイ、ファイル、カレンダー、チャットへの完全アクセス
   • これらのSaaSアプリは通常、必要以上のアクセスを許可し、データが第三者に流出、データリテンションおよびモデルトレーニングポリシーが不明確な場合がある
3. 脱退した従業員がまだ管理者アクセスを持っているリスク：
   • 従業員が新しいSaaSツールに乗せるとき（特にIdPの外）、彼らはしばしば唯一の管理者になります。会社を去った後も、彼らのアクセスが残ります。
   • これらのアカウントは企業のツール、ファイル、環境に対して永続的で特権のあるアクセスを持つ可能性があります
4. あなたがコントロールしていない個人アカウントに結びつけられたビジネスクリティカルアプリケーション：
   • 従業員が、Figma、Notionなどのビジネスアプリにサインアップするために個人のGmail、Apple IDなどを使用することがあります。
   • これらのアカウントは完全にITの可視性の外に存在します
5. あなたの大切なものにアプリからアプリへの接続を持つShadow SaaS：
   • 従業員がITの介入や審査なしにGoogle Workspace、Salesforce、またはSlackの信頼されたプラットフォームに非承認のSaaSアプリを直接接続することがあります。
   • これらの統合は、重要システムへの隠れた経路を作成します

被害状況

攻撃者

脆弱性

脆弱性