Entry № 055
アノマリベース検知
アノマリベース検知 とは何ですか?
アノマリベース検知正常な活動のベースラインを構築し、そこからの逸脱を潜在的に悪意があるものとして検出するアプローチ。
アノマリベース検知は、統計モデル・ヒューリスティック・機械学習を用いて、ネットワーク・ホスト・ユーザ・アプリにとっての「正常」を学習し、観測された活動がそこから大きく逸脱したときにアラートを発します。シグネチャベース検知を補完し、未知の脅威、内部不正、新規マルウェア、シグネチャ化されていない潜伏型攻撃を可視化できます。UEBA、NDR/XDR の解析、NetFlow ベースの振る舞いベースライン、DNS トラフィックのプロファイリングなどに実装されます。一方で誤検知は増えがちで、正当な変更も異常に見え得るため、ベースライン期間の設計、フィードバックループ、しきい値調整、アナリストによる調査運用が不可欠です。
● 例
- 01
UEBA がサービスアカウントが午前 2 時に新しい国から急に認証を行ったことを警告する。
- 02
NDR が、デプロイがないのにデータベースサーバの送信量が 3 倍になったことを検知する。
● よくある質問
アノマリベース検知 とは何ですか?
正常な活動のベースラインを構築し、そこからの逸脱を潜在的に悪意があるものとして検出するアプローチ。 サイバーセキュリティの ネットワークセキュリティ カテゴリに属します。
アノマリベース検知 とはどういう意味ですか?
正常な活動のベースラインを構築し、そこからの逸脱を潜在的に悪意があるものとして検出するアプローチ。
アノマリベース検知 からどのように防御しますか?
アノマリベース検知 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
アノマリベース検知 の別名は何ですか?
一般的な別名: 振る舞い検知, ヒューリスティック検知。