振る舞い検知.

プロセス、ユーザー、ネットワークフローの実行時の振る舞いから不正な動作を識別する検知手法で、静的ファイルシグネチャに依存しない。 サイバーセキュリティの 防御と運用 カテゴリに属します。

プロセス、ユーザー、ネットワークフローの実行時の振る舞いから不正な動作を識別する検知手法で、静的ファイルシグネチャに依存しない。

振る舞い検知は、コードがシステム上で実際に何をするかを観察します:プロセスツリー、親子関係、API 呼び出し、ファイルやレジストリへの書き込み、通信先、コマンドライン引数、スケジュールタスク作成などをモニタし、既知の攻撃手法に一致する一連の動作を検知します。検知ルールは Sigma またはベンダ固有言語で記述され、MITRE ATT&CK の T1059(コマンド・スクリプトインタプリタ)や T1547(起動・ログオン自動実行)などに対応付けられます。CrowdStrike、SentinelOne、Microsoft Defender for Endpoint、Cybereason、Elastic などの NGAV/EDR エンジンがリアルタイムに実装します。シグネチャと異なり、ポリモーフィック・パック化・ファイルレスにも対応できますが、Sysmon、EDR イベントストリーム、監査ログなど豊富なテレメトリと適切なチューニングが必要です。

振る舞い検知 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: 振る舞いベース検知, ビヘイビアル解析。