Zscaler™ の セ キ ュ リ テ ィ
解析 機 能お よびロギング
機能 を セキ ュリティ運用
ワークフローに統合するためのベスト プラクティス

ZSCALER SOCテクニカル ホワイトペーパー

目次
概要

4

SOC の目標と主なプロセス

リアルタイムのイベント監視、分類、トリアージ
脅威の評価、優先順位付け、分析

インシデントの対応、修復、回復

脆弱性の評価、監査、コンプライアンス管理

攻撃者の行動と MITRE ATT&CK フレームワーク

Zscaler クラウド：多層防御型の脅威対策機能

Zscaler Internet Access (ZIA) のロギング アーキテクチャー
Nanolog および Nanolog Streaming Service (NSS)ZIA の解析ダッシュボード
解析とログ

レポート

4
4
5
5
5
6
6
7
7
8
8
8
9

Zscaler Nanolog Streaming Service (NSS)10

Web ログの詳細な分析

12

コンテンツ フィルタリング (URL フィルタリングとファイル タイプ制御 ) ログ

マルウェア対策 ( レピュテーション、アンチウイルス、Yara) ログ
高度な脅威対策 ( レピュテーション、IPS (Web)) ログ

サンドボックス – 既知の悪意ある ( クラウド効果 ) ログ

サンドボックス – 送信 ( 不明 ) ログ

エンジンおよびポリシーの理由へのアクション / イベントのマッピング

14
15
16
17
17
17

ファイアウォール ログの詳細な分析

18

Zscaler API

19

Zscaler アラート

20

©2021 Zscaler, Inc. All rights reserved.

2

ZSCALER SOCテクニカル ホワイトペーパー

目次
セキュリティ運用のベスト プラクティス

セキュリティ ポリシーのベスト プラクティス
セキュリティ ログ分析のベスト プラクティス
NSS のベスト プラクティス

セキュリティ ログ レポートのベスト プラクティス

セキュリティ運用におけるインシデントへの対応のベスト プラクティス
Zscaler アラートのサブスクリプションのベスト プラクティス

まとめ

付録 A – 脅威検出のユース ケースと例
フィッシング攻撃

マルウェアの検出

高度な標的型攻撃インサイダー脅威

Advanced Cloud Sandbox による脅威検出

付録 B – Zscaler とサードパーティーのセキュリティ インテリジェンスおよび自動化ツールとの統合

20
20
23
28
28
29
33
33
33
33
36
41
43
44
47

セキュリティ情報およびイベント管理 (SIEM) と解析

47

Security Orchestration, Automation and Response (SOAR)

47

脅威インテリジェンス プラットフォーム (TIP)

48

CASB

48

ファイアウォール

49

エンドポイント (EDR)©2021 Zscaler, Inc. All rights reserved.

49

3

ZSCALER SOCテクニカル ホワイトペーパー

概要

セキュリティの脅威が進化し続けるなか、セキュリティ運用は私たちのデジタル ライフを守るために必要な機能となっています。セキュリティ部門は、高精度のインテリジェンス、コンテキストに基づくデー
タ、自動化防止ワークフローなど、急速に進化する脅威を特定して対応するための運用を継続的に改善する必要があります。アナリストの負担を軽減し、脅威を特定、調査、軽減するというセキュリティ オペレー
ション センター (SOC) のミッションを遂行するには、自動化を活用しなければなりません。

このガイドでは、セキュリティ運用によって新たな脅威を検出し、効果的かつ迅速に対応できるようにするための重要なプロセスとベスト プラクティスを確立するための支援を提供します。各ステップにおいて、Zscaler のセキュリティ分析機能とロギング機能を統合し、脅威の防止、ロギング、検出、調査、軽減のプロ
セスなど、SOC を強化するためにポリシーを最適化する方法を紹介します。

3 部構成シリーズの第 1 回は、Zscaler ダッシュボードを使用した分析とインシデント調査における Zscaler
ログの活用、および Nanolog Streaming Service (NSS) を介してセキュリティ情報およびイベント管理 (SIEM)
システムにエクスポートされたセキュリティ ログの分析を中心に説明します。後続のドキュメントでは、
Zscaler のテクノロジー パートナーシップと、SIEM、SOAR、CASB、TIP などの SOC ツールとの API 統合による自動対応、修復、脅威ハンティングについて詳しく説明します。

SOCの目標と主なプロセス

セキュリティ運用は、より広義には脅威を特定、調査、軽減する機能として定義できます。セキュリティ運用の主な機能は以下の 4 つです。
• リアルタイムのイベント監視、分類、トリアージ• 脅威の評価、優先順位付け、分析• インシデントの対応、修復、回復• 脆弱性の評価、監査、コンプライアンス管理

このセクションでは、これらのプロセスごとに Zscaler の主な機能の概要を説明します。その後、インシデン
ト対応のライフサイクルを通じて Zscaler を使用するための設定、ポリシー、アプローチに関する詳細なアドバイスについて、さらに詳しく説明します。

リアルタイムのイベント監視、分類、トリアージ

最初のトリアージは、ログ データを収集し、関連付け、分析して「ノイズ内の信号」を見つけるための重要なステップです。侵害の主な指標 (IoC) は、ユーザー アクティビティー、セキュリティ イベント、ファイア
ウォールの許可 / ブロックなどの中にあります。さらに、これらのイベントの特定の連続や組み合わせが特定のパターンで発生している場合、注意が必要なイベントが発生していることがわかります。

環境内で脅威や異常なアクティビティーが検出されると、Zscaler Internet Access™ (ZIA™ ) のセキュリティ エ
ンジンはログを生成し、リアルタイムでNanologクラスターに送信します。これらのログは、Zscalerダッシュ
ボード、分析、ログ内で表示 / 分析できるほか、Nanolog Streaming Service (NSS) を介して SIEM にエクスポー
トすることもできます。

Zscaler Nanolog は、豊富な脅威のコンテキストと、イベントの分類と脅威ハンティングに役立つその他の情報を含む圧縮形式の詳細な記録です。

©2021 Zscaler, Inc. All rights reserved.

4

ZSCALER SOCテクニカル ホワイトペーパー

脅威の評価、優先順位付け、分析

優先順位付けはあらゆる取り組みを成功させるための鍵であり、サイバーセキュリティではさらに重要です。
イベントに優先順位を付けることで、セキュリティ運用部門はビジネス運営や事業継続性の維持に最も影響を与える可能性のあるイベントに集中できます。この段階では、攻撃者が環境に侵入したことを示すあらゆるアクティビティーを確認して対応することが、セキュリティ運用部門の責任となります。

Zscaler は、Zscaler ThreatLabZ 調査チームからの脅威インテリジェンスと、Microsoft Active Protections
Program (MAPP) を含むパートナーからの多数の脅威インテリジェンス フィードを利用することで、特定の攻撃ツールや手法、使用中のインフラストラクチャーのアクティビティーを示す特定の指標を検出し、新たな脆弱性からの積極的な保護を実現できます。
ログにはイベントを生成したエンジン、脅威の名称、脅威の種類、リスク スコア、マッチング ルール、実行したアクションなどの情報を特定するフィールドがあり、イベントの迅速な分析、特定、分類、優先順位付
けに役立てることができます。

インシデントの対応、修復、回復

インシデントの検出と対応が早ければ早いほど、被害を食い止め、今後同様の攻撃が発生するのを防ぐことができる可能性が高くなります。この段階では、影響を受けるユーザーとネットワークを特定してセグメン
ト化し、回復のための改善策を講じることが、セキュリティ運用部門の責任です。より多くのデータ ポイン
トと証拠があれば、その決定を下し、迅速に行動するのに役立ちます。場合によっては、セキュリティ運用部門がインシデント対応のみを担当し、修復や回復は他の部門が担当することもあります。

Zscaler はイベントの迅速な検出を支援することで修復と回復を簡素化するため、被害の拡大を防ぐために適切な対応を取ることができます。Zscaler Client Connector による資産検出機能やデバイス ポスチャー評価機
能などのツールにより、資産に関する最新の詳細情報を得られます。ユーザー / ロケーションのプロファイ
ルを使用することで、ポリシーを迅速に展開し、影響を受けるユーザーを特定して分離できます。

さらに、Zscaler の API 機能と統合により、SIEM、SOAR、EDR など、セキュリティ運用ワークフローで通常使用されるパートナー セキュリティ ソリューションを介した脅威の関連付け自動対応が可能になります。

脆弱性の評価、監査、コンプライアンス管理

セキュリティにおける最良の成果は、攻撃者がシステムに侵入するのを完全に防ぐことです。攻撃者に悪用されて環境に侵入される前に、脆弱性や設定ミスを見つけて修正することが最善です。脆弱性スキャンの実
行、設定の監査、コンプライアンス レポートの生成は、このような脆弱性と設定ミスの発見に努める SOC 部門にとって最も一般的な監査アクティビティーに含まれます。これらの評価では、手続き上の脆弱性ではな
く、技術的な脆弱性しか特定できないことに注意してください。
Zscalerでは、監査人、経営管理者、セキュリティ担当者などの対象者に合わせた情報を提供するレポートを、
オンデマンドや事前のスケジュールに沿ってダッシュボードから生成し、コンプライアンス、ユーザー レベ
ルのリスク エクスポージャー、ポリシーの設定ミス、推奨されるセキュリティ ポリシーの設定を確認できます。

©2021 Zscaler, Inc. All rights reserved.

5

ZSCALER SOCテクニカル ホワイトペーパー

攻撃者の行動と MITRE ATT&CK フレームワーク

MITRE ATT&CK は、攻撃者が企業ネットワークを侵害し、その中で活動するために取りうるアクションを記述するための攻撃者モデルおよびフレームワークです。このフレームワークでは、攻撃の戦術、手法、
手順 (TTP) を定義し、攻撃に関連する一連の手順に基づいてそれらを分類します。ログ / アクティビティーとMITRE ATT&CK の戦術を関連付けることで、攻撃の段階を特定し、攻撃者の進行を阻止するのに役立ちます。
MITRE ATT&CKの詳細と、ZscalerがATT&CKをZIAに統合する方法については、こちらのホワイト ペーパーを参照してください。

Zscaler クラウド：多層防御型の脅威対策機能

ZIA は、クラウド提供型のセキュア インターネット ゲートウェイとセキュア Web ゲートウェイです。ZIA は、
高度にスケーラブルで真に分散されたマルチテナントの専用TCPフォワード プロキシー アーキテクチャーを基に構築され、SSL 復号を含む完全なコンテンツ インスペクションに対応するよう設計されています。
ZIA の詳細は ZIA のデータシートを参照してください。

Zscaler クラウド プラットフォームは、キル チェーンの破壊に非常に効果的な設計を有しています。インバ
ウンドの脅威に対しては複層的アプローチを採用し、高度な行動分析を提供するとともに、レピュテーショ
ンベースのブロックにより脅威を阻止します。

アウトバウンドの保護では、Zscaler はボットネットのコールバックや悪意のあるアウトバウンド アクティ
ビティーを完全に防御し、データの流出やネットワーク内に潜伏しようとするマルウェアを阻止します。

図 1. ZIA セキュリティ エンジンと MITRE ATT&CK フレームワークの戦術との関係©2021 Zscaler, Inc. All rights reserved.

6

ZSCALER SOCテクニカル ホワイトペーパー
Zscaler のセキュリティ サービスには、高度な脅威対策 (ATP)、ブラウザー コントロール、ブラウザー分離、
クラウド アクセス セキュリティ ブローカー (CASB)、情報漏洩防止 (DLP)、DNS セキュリティ、ファイル タ
イプ制御、次世代ファイアウォール コントロール、侵入防止システム (IPS) コントロール、マルウェア対策、
サンドボックス、SSL インスペクション、URL フィルタリング、クラウド アプリ コントロールが含まれています。

Zscaler Internet Access (ZIA)のロギング アーキテクチャー
Nanolog および Nanolog Streaming Service (NSS)

すべてのユーザー トラフィックについて、Zscaler Nanolog サービスは接続の終了時に詳細なログ行を作成します。一般的なプロキシー ログとは異なり、Nanolog には豊富な脅威のコンテキストや脅威ハンティン
グに役立つその他の情報が含まれています。
Zscaler Nanolog は、世界中のすべてのユーザー、ロケーション、デバイスからのログを、お客様が決める中央リポジトリーに統合します。管理者は、ユーザー、デバイス、アプリケーション、ロケーションごとにトランザクション データをリアルタイムで表示し、取り出すことができます。ログは、お客様が指定した北米
または欧州の Zscaler Nanolog サーバーに 180 日間保存されます。

Zscaler Nanolog は、ダッシュボード、解析、レポートなどの分析機能を強化し、ユーザーと脅威のアクティ
ビティーをリアルタイムで可視化します。

また、Zscaler は、NSS を利用してこのログをオンプレミスまたはクラウドの SIEM にほぼリアルタイムで転送する機能にも対応しており、リアルタイムのアラート、ファイアウォールや他のデバイスのログとの関連付け、ローカルのログの長期的なアーカイブが可能です。

図 2. Zscaler Nanolog および Nanolog Streaming Service (NSS) のアーキテクチャー©2021 Zscaler, Inc. All rights reserved.

7

ZSCALER SOCテクニカル ホワイトペーパー

ZIAの解析

セキュリティの運用や調査には、可視性が重要です。コンテキストに富んだ脅威のログは、分析、修復、脅威
ハンティングに有用な情報を提供します。ZIAでは、ログ解析のための以下のようなツールを用意しています。
• ダッシュボード - 組織のインターネット トラフィックや脅威をほぼリアルタイムで可視化• 解析とログ - Nanolog クラスターからのトラフィックをグラフにより解析• レポート - 組織のサブスクリプションに基づき、さまざまな標準レポートを通じてデータを分析し、最大500 個のカスタム レポートの作成も可能

ロールベースの管理では、ZIA Admin Portal でさまざまな管理者が実行できる操作とアクセス レベルをきめ細かく制御できます。これには、ダッシュボードの [ 表示のみ ] または [ フル アクセス ]、ポリシー設定、トラフィック転送などの設定や、管理者が競合するポリシーや設定を作成しないようにするための階層が含まれます。詳細については、次のページを参照してください：https://help.zscaler.com/zia/about-administrators

ダッシュボード

複数のダッシュボードで異なるビューを確認できるため、インターネットの使用状況を追跡し、異常な傾向
やセキュリティの脅威が発生した場合に迅速に対応できます。Zscaler のサービスは、セキュリティ運用に関連する以下の定義済みダッシュボードを提供します。

• Web の概要ダッシュボードでは、高度な脅威を含む組織の Web トラフィックを俯瞰的に把握できます。

• セキュリティ ダッシュボードは、ウイルス、スパイウェア、高度な脅威など、ブロックされたさまざまな脅威に関するデータを提供します。また、サンドボックスのペイシェントゼロ イベント ウィジェットには、組織で発生したペイシェントゼロ イベントが一覧表示されます。

• Web ブラウジング ダッシュボードでは、ブロックされた上位のURL カテゴリーや上位のユーザーなど、ユーザーのブラウジング アクティビティーを可視化できます。
• DNS 概要は、組織の DNS トラフィックに関するデータを提供します。

• ファイアウォール ダッシュボードは、ファイアウォール トラフィックに関するデータを提供します。
• IPS 概要ダッシュボードでは、組織の IPS トラフィックをリアルタイムで可視化できます。

デフォルトのダッシュボードの詳細については、次のページを参照してください：https://help.zscaler.com/zia/about-dashboards

解析とログ[ 解析 ] ページと [ ログ ] ページでは、チャートによるトラフィックの分析や、対応する Nanolog データへのア
クセスの際に、トラフィック情報の表示と定義が可能です。解析は以下の項目で利用可能で、特定のトランザクションにインタラクティブに掘り下げることができます。
• Web 解析とログ - 要求された URL、それぞれのページ リスク インデックス スコア、送受信されたバイト数など、Web トランザクションとセキュリティ イベントに関連するログ データへのアクセスを提供します。

• モバイル解析とログ - モバイル トラフィックについて、要求された URL、それぞれのページ リスク イン
デックス スコア、送受信されたバイト数など、Web トランザクションとセキュリティ イベントに関連する
ログ データへのアクセスを提供します。

©2021 Zscaler, Inc. All rights reserved.

8

ZSCALER SOCテクニカル ホワイトペーパー• ファイアウォール解析とログ - 適用されたファイアウォール ポリシー、ネットワーク トランザクション、
クライアントとサーバーの詳細、ネットワーク サービスとアプリケーションに関連するログ データへのア
クセスを提供します。
• DNS 解析とログ - DNS 要求と応答の詳細などのデータへのアクセスを提供します。データ タイプとフィル
ターを使用して、表示する DNS トラフィック情報を定義できます。
• 脅威解析ページ - 組織固有の脅威を発生元からターゲットへの経路として視覚的に表示できます。脅威の統計情報の表示は 2D マップまたは 3D 地球儀を選択できます。

• トンネル解析とログ - GRE トンネルと IPSec トンネルに関するデータ ( 健全性、ステータス、認証、暗号化
アルゴリズムなど ) へのアクセスを提供します。

• SaaS セキュリティ解析とログ - 設定された SaaS アプリケーション / テナントに固有の Web トランザクショ
ンとセキュリティ イベントに関連するログ データへのアクセスを提供します。
解析を使用してトラフィックを分析する方法の詳細については、次のページを参照してください：https://help.zscaler.com/zia/analyzing-trafﬁc-using-insights

Zscaler Nanologサービスは、世界中でリアルタイムにログを統合するため、あらゆるロケーションのユーザーが実行したすべてのトランザクションを確認できます。[ 解析 ] ページでは、[ ログ ] タブをクリックするか、グラフ内の特定の項目をクリックして [ ログを表示 ] を選択することで、ログを表示できます。ログは Zscaler
Nanologサーバーに 180 日間保存されます。フィルターを適用してリストを絞り込むことも、特定のユーザー
や URL に関連するトランザクションを検索することもできます。ログは CSV ファイルとしてエクスポートで
きます。

レポート

[ レポート ] ページでは、特定の経営管理者 / 部署 / ユース ケースを対象とした事前定義済みのレポートを表示
および作成できます。以下の事前定義済みレポートが用意されています。

• エグゼクティブ解析レポート - 組織の主要な役職を対象に、組織のトラフィック量とセキュリティ ポス
チャーに関する概要を毎月提供します。

• CIPA コンプライアンス レポート - 法的責任クラスによってブロックされた上位の URL カテゴリーと、わい
せつまたは有害なコンテンツへのアクセスをブロックされた上位のユーザーとドメインに関する情報を提供するインタラクティブなレポートです。

• 企業リスク スコア レポート - 組織、ロケーション、ユーザーレベルのリスク エクスポージャーを監視および評価できます。

• 企業サマリー レポート - 組織の CIO や CSO などの対象ユーザー向けにカスタマイズされた情報を提供する、
インタラクティブなレポートです。
• セキュリティ ポリシー監査レポート - セキュリティ ポリシーの設定を確認し、ベスト プラクティス ガイ
ドラインに従って設定を改善できます。
• 四半期ビジネス レビュー レポート - 四半期ごとに、Zscaler がどのようにネットワークの保護に役立って
いるかについて幅広い解析結果を提供します。このレポートは、新たなトラフィックの傾向や、Zscaler がブロックしている脅威の種類を観察するのに役立ちます。

• SaaSアセット サマリー レポート - SaaSセキュリティ APIベースの検出および修復活動の概要を確認できます。どのデータが影響を受けているかを調査し、リスクのあるユーザーを特定する際の出発点となります。

• SaaS アセット レポート - ファイルや電子メール メッセージの現在の状態を表示します。また、特定のファ
イルや電子メール メッセージの活動を一度に確認することも可能です。

©2021 Zscaler, Inc. All rights reserved.

9

ZSCALER SOCテクニカル ホワイトペーパー• 異常検知レポート ( リリース 6.1 の新機能 ) - 異常なユーザー行動と組織レベルの異常を高い信頼度で検出し、データ流出の可能性があるイベントや悪意のある内部関係者を特定するのに役立ちます。

また、インタラクティブ レポートではリアルタイムのインタラクティブ分析が可能で、企業サマリー レポー
ト (CSO) などの標準的なレポートも豊富に用意されています。さらに、ユーザーが要求した特定の URL や、
各 URL のリスク スコアなどの詳細を確認できます。レポートのスケジューリングでは、指定した受信者に標
準レポートやカスタム レポートを定期的に配信することが可能です。

Zscaler Nanolog Streaming Service (NSS)

Zscaler NSS は、以下の 2 種類の高度に圧縮されたログのストリームを提供し、SIEM にストリーミング配信
できます。
• Web 用の NSS: Web およびモバイルのトラフィック ログをストリーミングします。

• ファイアウォール用の NSS: Zscaler の次世代ファイアウォールのログをストリーミングします。

Web とモバイルのトラフィック ログとファイアウォール ログは、Zscaler サービス クラウドの Nanolog に保存されます。ログは暗号化され、帯域幅のフットプリントを削減するために高度に圧縮された形式でス
トリーミングされます。組織は、ログのスクランブルを解除し、設定されたフィルターを適用して不要なログを除外し、フィルターされたログを設定された出力形式に変換してログを SIEM で解析できるようにし、Raw TCP 接続を介して SIEM にログをストリームする NSS 仮想マシン (VM) を導入する必要があります。
少なくとも、Webログとモバイル ログ用に1つのNSSを導入し、ファイアウォール ログ用にもう1つのNSSを導入することをお勧めします。各NSSは、Zscalerクラウド内のNanologへの安全なトンネルを開きます。

Web ログ用の NSS

Web ログ ストリーム用の NSS は、圧縮形式の詳細な記録であり、豊富な脅威のコンテキストや、修復や脅威
ハンティングに役立つその他の情報を含んでいます。100を超えるフィールドが含まれています。NSSフィードを設定して、Web プロキシー、トンネル、SaaS セキュリティ、アラートのログを選択的にフィルタリング
し、個別のフィードとして SIEM に送信できます。
イベントのストリームは以下のログ タイプについて生成されます。

• プロキシー ログ：IPS (Web) ログなど、Zscaler プロキシーによって処理されるすべてのアクセス ログ• トンネル ログ：アップ / ダウン トンネル イベントと使用統計情報の概要• SaaS セキュリティ ログ：SaaS アプリケーションで発生したクラウド アクセス セキュリティ ブローカー(CASB) イベント

• アラート ログ：接続損失などのイベントに対するシステム アラート

ファイアウォール ログ用の NSS

ファイアウォール ログ用の NSS ストリームには、圧縮形式のファイアウォール ログと DNS ログが含まれます。NSS フィードを設定して、ファイアウォール、DNS、アラートのログを選択的にフィルタリングし、個別のフィードとして SIEM に送信できます。
イベントのストリームは以下のログ タイプについて生成されます。

• Cloud Firewallログ：IPS (非Web)ログなど、Zscaler Cloud Firewallによって処理されるすべてのアクセス ログ• DNS ログ：Zscaler 経由で送信される DNS トラフィックのログ• アラート：接続損失などのイベントに対するシステム アラート
©2021 Zscaler, Inc. All rights reserved.

10

ZSCALER SOCテクニカル ホワイトペーパー

Web 用の IPS と非 Web 用の IPS

高度な脅威対策に含まれる Web 用の IPS は、クロスサイト スクリプティング、ボットネット、コマンド＆コントロール トラフィック、埋め込み型の / 悪意のある Web ページなど、Web トラフィック (HTTP、HTTPS、
FTP) から発生する脅威を検出するシグネチャーベースのエンジンです。

Cloud Firewall に含まれる非 Web 用 IPS は、すべてのポートとプロトコル経由のネットワーク レベルの侵入を検出するシグネチャーベースのエンジンです。これには、HTTP、HTTPS、FTP、DNS、TCP、UDP、IP ベースのポートおよびプロトコルに対する保護が含まれます。IPS コントロールでは、特定のユーザー、グループ、部署などに対してきめ細かなルールを作成することもできます。[IPS コントロール ] はロケーションごとに有効にすることも可能です。

Web トラフィックで検出された脅威は Web ログに表示され、非 Web トラフィックはファイアウォール ロ
グに表示されます。Web トラフィックと非 Web トラフィックの両方で検出された脅威は、[ ファイアウォール
解析 ] > [ ログ ] に表示されます。Web 専用トラフィックから検出された脅威は、セキュリティ ダッシュボー
ドにも表示されます。Web以外のトラフィックから検出された脅威は、IPSダッシュボードにも表示されます。
注：Web IPS ポリシーが最初に適用され、次に非 Web IPS が適用されます。

NSS の導入

NSS インスタンスは、オンプレミス、ESX 仮想マシン、EC2 インスタンス、AWS、Microsoft Azure にも導入できます。これらのプラットフォームに対する NSS の導入ガイドは以下のとおりです。
https://help.zscaler.com/zia/nss-deployment-guide-amazon-web-services
https://help.zscaler.com/zia/nss-deployment-guide-microsoft-azure
https://help.zscaler.com/zia/nss-deployment-guide-vmware-vsphere

Syslog フォーマット

Zscaler は多くの syslog フォーマットをサポートしています。これには、業界標準のフォーマットと、カス
タム ログ文字列を作成する機能が含まれます。SIEM で使用される主な規格として、Common Event Format(CEF) と Log Event Extended Format (LEEF) の 2 つがあります。詳細については、次のページを参照してくだ
さい：https://help.zscaler.com/zia/syslog-overview

NSS フィード

NSS フィードは、NSS が SIEM に送信するログのデータを指定します。各フィードには、異なるフィールドのリスト、異なる形式、および異なるフィルターを含めることができます。ログに1つ以上のフィードを追加し、アラートに 1 つのフィードを追加できます。NSS ごとに最大 8 つの NSS フィードを追加できます。
NSS フィードの設定については、以下のヘルプ記事を参照してください。

https://help.zscaler.com/zia/adding-nss-feeds-alerts
https://help.zscaler.com/zia/adding-nss-feeds-dns-logs
https://help.zscaler.com/zia/adding-nss-feeds-ﬁrewall-logs
https://help.zscaler.com/zia/adding-nss-feeds-saas-security-logs
https://help.zscaler.com/zia/adding-nss-feeds-tunnel-logs
https://help.zscaler.com/zia/adding-nss-feeds-web-logs©2021 Zscaler, Inc. All rights reserved.

11

ZSCALER SOCテクニカル ホワイトペーパー

NSS フィード出力形式

フィード出力形式は、出力に表示されるフィールドを定義します。NSS フィード / ログのタイプごとに、新しいフィードを追加してログ タイプを選択すると、デフォルトのフィード出力形式が設定されます。
デフォルトのリストは編集できます。[ フィード出力タイプ ] で [ カスタム ] を選択した場合は、区切り文字も変更します。
設定可能なすべてのフィールドと形式については、以下のページを参照してください。
https://help.zscaler.com/zia/nss-feed-output-format-dns-logs
https://help.zscaler.com/zia/nss-feed-output-format-ﬁrewall-logs
https://help.zscaler.com/zia/nss-feed-output-format-tunnel-logs
https://help.zscaler.com/zia/nss-feed-output-format-saas-security-logs
https://help.zscaler.com/zia/nss-feed-output-format-web-logs
次のヘルプ記事に記載されている、NSS フィードとフィード形式に関する一般的なガイドラインに従うことをお勧めします：https://help.zscaler.com/zia/general-guidelines-nss-feeds-and-feed-formats

Web ログの詳細な分析

Web ログでは、Web トランザクションとセキュリティ イベントに関連するログ データを確認できます。
Web ログは、100 のフィールドにわたる脅威コンテキストを提供します。大きく分けると、Web ログは次の5 種類のセキュリティ ログに分類して分析することができます。
• コンテンツ フィルタリング (URL フィルタリングとファイル タイプ制御 )• マルウェア対策 ( レピュテーション、アンチウイルス、Yara)• 高度な脅威対策 ( レピュテーション、IPS (Web))• サンドボックス – 既知の悪意のある ( クラウド効果 )• サンドボックス – 不明 ( ゼロデイ攻撃の可能性あり )Web ログにはカテゴリーごとに多くのフィールドが含まれていますが、一般に、以下のキー フィールドを使用して、上記の 5 種類のセキュリティ ログを検索 / 識別し、調査に利用できます。

©2021 Zscaler, Inc. All rights reserved.

12

ZSCALER SOCテクニカル ホワイトペーパー
Web ログ フィールドWeb 解析フィールド

Ruletype

ポリシー タイプ

Rulelabel

ルール名malwareclass

脅威のクラスmalwarecat

脅威のカテゴリー

urlclass

URL クラス

urlcatURL カテゴリー

ﬁletypeファイル タイプ

ﬁleclass

ファイル クラス

threatname

脅威の名前

reason

ポリシー アクション

説明と例

ポ リ シ ー タ イ プ ( ブ ロ ッ ク ル ー ル に の み 適 用 さ れ、許可には適用されません )。例：ファイル タイプ制御、
情報漏洩防止、サンドボックス
適用されたルールの名前 ( ブロック ルールにのみ適用さ
れ、許可には適用されません )。例：URL_Filtering_1

トランザクションで検出されたマルウェアのクラス。
例：Win32.Ransom.WannaCry

トランザクションで検出されたマルウェアのカテゴリー。
例：アドウェア、トロイの木馬、サンドボックス マルウェア

宛 先 URL の ク ラ ス。 例： 一 般 的 な ネ ッ ト サ ー フ ィ ン、
プライバシー リスク
宛先 URL のカテゴリー。例：エンターテイメント、アダルト テーマ、ゲーム

トランザクションに関連するファイルのタイプ。
例：RAR ファイル、ZIP、Windows 実行可能ファイル

トランザクションに関連するファイルのタイプ。例：アクティブWebコンテンツ、アーカイブ ファイル、オーディオ

トランザクションで検出された脅威の名前。
例：win32.banker.trickbot

トランザクションがブロックされた場合に、サービスが実行したアクションと適用されたポリシー。例：ウイ
ルス / スパイウェア / マルウェアのブロック ( このカテゴ
リーの閲覧は許可されていません )また、[reason] フィールドを使用して、レピュテーション ブロックとコンテンツベースのブロックを区別することもできます ([IPS block outbound request: botnet command-and-control traffic] と [reputation blockoutbound request malicious URL] など )。

©2021 Zscaler, Inc. All rights reserved.

13

ZSCALER SOCテクニカル ホワイトペーパー
また、以下のフィールドも調査に役立つ場合があります。
Web ログ フィールド

解析フィールド

ssldecrypted

SSL 検査済みreferrer

参照元 URL

location

ロケーション

ゲートウェイのロケーションまたはソースのサブロ
ケーション。例：本社

bamd5

MD5

トランザクションで検出されたマルウェアファイ
ルの MD5 ハッシュ、または解析用に Sandbox エンジンに送信されたファイルの MD5riskscore

URL クラス

説明と例

トランザクションが SSL インスペクションを受けたかどうか。例：はい / いいえ
HTTP の参照元 URL。例：www.google.com

宛 先 URL の ペ ー ジ リ ス ク イ ン デ ッ ク ス の ス コ ア。
このサービスは、いくつかの要因を比較検討することによって各ページのリスクを計算します。リスクが最も低いものから高いものまで、0 ～ 100 の範囲で設定されます。例：10

さらに、[ プロトコル ] をキー フィールドとして使用し、HTTP、HTTPS、SSL を使用するステルス脅威を特
定 / 検索できます。

コンテンツ フィルタリング(URLフィルタリングとファイル タイプ制御) ログ

コンテンツ フィルタリング ログを分析することで、URL のカテゴリーが許可されていない、EXE ファイルなどのファイル タイプのダウンロードが許可されていないなど、ポリシー違反によるトラフィック ブロックを特定できます。
Web ログを詳細に分析して、URL カテゴリー フィルタリング ポリシー違反によるトラフィック ブロックを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
ruletype= “UrlCat”
rulelabel= “<rulename>”
urlcat=<predeﬁned>, <custom> or <TLD>

URL フィルタリング ログのサンプル©2021 Zscaler, Inc. All rights reserved.

14

ZSCALER SOCテクニカル ホワイトペーパー
Web ログを詳細に分析して、ファイル タイプ制御ポリシー違反によるトラフィック ブロックを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
ruletype= “Filetype”
rulelabel= “<rulename>”ﬁleclass= “Executable, Archive, Ofﬁce,�”ﬁletype= “exe, exe64, py,�”ファイル タイプ制御ログのサンプル

さらに、何らかの理由でファイルの内容を解析またはスキャンできない場合 ( アーカイブの破損、パスワー
ドで保護されている、ファイル タイプを特定できないなど )、特別なフィールド [unscannabletype] にスキャ
ン失敗の理由が表示されます。このフィールドを使用して、スキャンされなかったファイルを検索 / 特定できます。
unscannabletype= “Unscannable”, “Undetectable”, “Encrypted/Password Protected”

スキャン不可能なファイル ログのサンプル

マルウェア対策( レピュテーション、アンチウイルス、Yara)ログ

マルウェア対策のログを分析することで、セキュリティ部門は、ポリシー違反者、悪意のあるファイルのダ
ウンロード、侵害されたユーザー / エンドポイント / デバイスなどの潜在的な脅威を特定し、脅威が広まる
前に是正措置を講じることができます。このタイプのログには、HTTP(S) 経由で転送されたファイルに対するマルウェア検出の評決、つまりファイル レピュテーション、アンチウイルス、Yara ファイル スキャンが含まれます。
Web ログを詳細に分析して、マルウェアによるトラフィック ブロックを特定するには、次のキー フィール
ドと検索パラメーターが役立ちます：ruletype= “AV”

さらに、[malwarecat] または [malwareclass] フィールドを使用して、特定のマルウェア カテゴリーまたはマルウェア クラスでブロックされた脅威を検索 / 特定できます。

malwarecat= “Adware,” “Archive Bomb,” “Backdoor,” “Dialer,” “Downloader,” “Exploit,” “Macro Virus,”“MalwareTool,” “Other Malware,” “Other Spyware,” “Other Virus,” “Password Stealer,” “Ransomware,”“Trojan,” “Unrecognized Virus,” “Unwanted Application,” “Worm,” “None”©2021 Zscaler, Inc. All rights reserved.

15

ZSCALER SOCテクニカル ホワイトペーパー
malwareclass=<custom>e.g. malwareclass= “Virus”, “Spyware”[reason] フィールドを使用して、マルウェアのブロックを検索 / 特定することもできます。

マルウェア対策のログのサンプル

高度な脅威対策 (レピュテーション、IPS (Web)) ログ

高度な脅威対策のログを分析することで、セキュリティ部門は、悪意のある宛先 / コンテンツ / トラフィッ
クのパターン、フィッシング、コマンド＆コントロール トラフィック、侵害されたユーザー / エンドポイ
ント / デバイス、脆弱で望ましくない可能性のあるアプリケーションなどの潜在的な脅威を特定し、脅威が広まる前に是正措置を講じることができます。このタイプのログには、クラウド IPS およびレピュテーショ
ンベースのエンジンによる高度な脅威の検出が含まれます。レピュテーションベースの検出では、不審な宛先 IP、ドメイン、URL を検索し、ページ内の悪意あるコンテンツを特定することでページのリスクをリア
ルタイムで計算するページ リスク インデックスを活用します。IPS エンジンはシグネチャーベースの検出を使用し、高い忠実度を誇ります。IPS ボットネット コールバックは、通信パターンに基づいて記述されているため、高い信頼性があります。ブラウザー エクスプロイト、SSH トンネリング、Cookie の盗難などの一部の脅威は、 IPS によってのみ検出できます。
[reason] フィールドを使用して、高度な脅威ブロックを検索 / 特定し、レピュテーションに関するブロックとIPS に関するブロックを区別できます。

Web ログを詳細に分析して、高度な脅威によるトラフィック ブロックを特定するには、次のキー フィール
ドと検索パラメーターが役立ちます：ruletype="AdvThreatProtection"
さらに、[urlcat] または [urlclass] フィールドを使用して、高度なセキュリティ リスクとして分類された特定のURL カテゴリーまたは URL でブロックされた脅威を検索 / 特定できます：urlclass="Advanced Security Risk"

urlcat= “Adv Security,” “Phishing,” “Botnets,” “Malicious URLs,” “Peer-to-peer,” “UnauthorizedCommunication,” “Cross-site Scripting,” “Browser Exploit,” “Suspicious Destinations,” “Suspected Spyware
or Adware,” “WebSpam,” “PageRisk,” “Adware/Spyware Sites,” “Cryptomining”

高度な脅威対策のログのサンプル©2021 Zscaler, Inc. All rights reserved.

16

ZSCALER SOCテクニカル ホワイトペーパー

サンドボックス – 既知の悪意ある (クラウド効果) ログ

サンドボックス環境は、不明なファイルのサンプルを実行して、悪意のある動作があるかどうかを判断するために使用されます。分析のためにサンドボックスにファイルが送信されると、エンド ユーザーは隔離されるかファイルのダウンロードを許可されますが、これはお客様固有のサンドボックス ポリシーによって決定されます。このタイプのログには、サンドボックスに送信された不明なファイルのうち、サンドボックスが悪意があると判断したファイルに対する評決が含まれます。
Web ログを詳細に分析して、サンドボックスが判断した悪意のある動作によるトラフィック ブロックを特定するには、次のキー フィールドと検索パラメーターが役立ちます：ruletype= “BA”
malwarecat= “Sandbox Malware”, “Sandbox Adware”, “Sandbox Anonymizer”

既知のサンドボックスの悪意のあるログのサンプル

Advanced Cloud Sandbox と API ライセンスをお持ちの場合、SIEM のログから取得した MD5 パラメーターに基づいてサンドボックス詳細レポートを取得できます。MD5 がログに含まれていない場合は、キー フィール
ド [bamd5] をフィードに追加することで、Web ログから取得できます。Cloud Sandbox API を使用して、MD5
ハッシュの完全な詳細レポートを取得できます。このレポートを取得するための構文は、次の API リファレ
ンスのリンクを参照してください：https://help.zscaler.com/zia/api

サンドボックス – 送信 (不明) ログ

サンドボックス環境は、不明なファイルのサンプルを実行して、悪意のある動作があるかどうかを判断するために使用されます。分析のためにサンドボックスにファイルが送信されると、エンド ユーザーは隔離されるかファイルのダウンロードを許可されますが、これはお客様固有のサンドボックス ポリシーによって決定されます。このタイプのログには、サンドボックスに送信され、サンドボックスの実行フェーズを通過する
不明なファイルが含まれます。
Web ログを詳細に分析して、サンドボックス分析に提出されたファイルを検索 / 特定するには、以下のキー
フィールドと検索パラメーターが役立ちます。
ruletype= “BA”
malwarecat= “Sent for Analysis”

エンジンおよびポリシーの理由へのアクション /イベントのマッピング

Web ログに含まれる [reason] フィールドは、脅威イベントを検出したイベント タイプとエンジンの詳細な記述です。可能な値は 100 を超えており、個々のセキュリティ / ポリシー エンジンに適切にマッピングされています。たとえば、[Malware block: malicious file] はマルウェア対策エンジンによって検出され、[IPS block
inbound response: anonymization site] は高度な脅威対策エンジンのクラウド IPS によって検出されます。
詳細については、次のページを参照してください：https://help.zscaler.com/zia/policy-reasons©2021 Zscaler, Inc. All rights reserved.

17

ZSCALER SOCテクニカル ホワイトペーパー

ファイアウォール ログの詳細な分析

ファイアウォール ログは、NGFW、DNS、IPS ( 非 Web) のトランザクションとセキュリティ イベントに関連するログ データへのアクセスを提供します。IPS イベントは、ファイアウォール イベントと一緒に送信されます。DNS イベントは別のフィードで送信されます。ファイアウォール ログは、50 のフィールドにわたる
脅威コンテキストを提供します。大きく分けると、ファイアウォール ログは次の 3 種類のセキュリティ ロ
グに分類して分析することができます。
• ファイアウォール ( セッション、デバイス、ネットワーク サービスとアプリケーション、宛先 )• IPS ( 非 Web)

• DNS

ファイアウォール ログにはカテゴリーごとに多くのフィールドが含まれています。一般に、以下のキー
フィールドを使用することで上記のさまざまなカテゴリーのセキュリティ ログを検索 / 識別し、調査に利用できます。
ファイアウォール
ログ フィールド

ファイアウォール解析
ログ フィールド

Rulelabel

ルール名

nwsvc

ネットワーク サービス

nwapp

ネットワーク アプリ
ケーション

説明と例
トランザクションに適用されたルールの名前。
例：推奨されるファイアウォール ルール使用されたネットワーク サービス。
例：HTTP、DNS

アクセスされたネットワーク アプリケーション。
例：Skype

cdip / cdport

クライアントの宛先
IP/ ク ラ イ ア ン ト の 宛
先ポート

tsip

クライアント トンネル IP

destcountry

国

クライアント ( 送信元 ) のトンネル IP アドレス。
例：192.0.2.15

ipsrulelabel

IPS ルール名

ファイアウォール セッションに適用された IPS ポリ
シーの名前。例：デフォルトのクラウド IPS ルール

threatcat

脅威のカテゴリー

threatname

脅威の名前

ipcat

サーバー IP
カテゴリー©2021 Zscaler, Inc. All rights reserved.

クライアントの宛先 IP/ ポート。
例：198.51.100.54、53

宛先 IP アドレスの国。例：米国

IPS エンジンによるファイアウォール セッション
での脅威のカテゴリー。例：ボットネット コール
バック
IPS エンジンがファイアウォール セッションで検出した脅威の名前。例：Win32.Trojan.DNSpionage

サーバーの IP アドレスに対応する URL カテゴリー。
例：インターネット サービス

18

ZSCALER SOCテクニカル ホワイトペーパー
DNS ログフィールド
reqtype
req
res
sport
domcat

DNS 解析ログフィールド

DNS リクエスト タイプ

説明と例要求された DNS レコード。例：A レコード

リクエストされた
ドメイン

DNS リクエストの完全修飾ドメイン名 (FQDN)。
例：mail.safemarch.com

サーバー ポートリクエストのサーバー ポート。例：53

DNS レスポンス

IP ドメイン
カテゴリー

DNS レスポンス。例：198.51.100.54

DNS リクエストに含まれる FQDN の URL カテゴリー。
例：プロフェッショナル サービス

Zscaler API

Zscaler は、お客様が活用できるように、読み取りと書き込みの機能を含む多くのオープン API をサポートしています。クラウド サービス API を使用すると、以下の Zscaler Internet Access (ZIA) 機能へのプログラムによるアクセスを得られます。
• ZIA Admin Portal および API で行われたポリシー変更の監査ログ レポートの作成とダウンロード• 管理者ロールの取得と管理者の管理• 特定のロケーションの VPN 資格情報の取得と更新• サンドボックス詳細レポートの取得• 個々のユーザー、グループ、部署の管理• SD-WAN パートナー統合のための IPSec VPN トンネルの管理• ロケーションとサブロケーションの管理• ルート証明書、証明書署名要求 (CSR)、中間証明書チェーンの管理• URL カテゴリーの管理と更新• URL のホワイト リストとブラック リストの管理

Zscaler API の仕様の一覧は、次のページを参照してください：https://help.zscaler.com/zia/api

サンドボックス

Zscaler Cloud Sandbox サービスは、統合ファイル動作分析であるサンドボックス分析を通じて、未知の脅威
やゼロデイ脅威、高度な永続的脅威 (APT) に対する追加のセキュリティ層を提供します。分析のためにサンドボックスにファイルが送信されると、エンド ユーザーは隔離されるかファイルのダウンロードを許可されますが、これはお客様固有のサンドボックスポリシーによって決定されます。詳細については、次のページを参照してください。https://help.zscaler.com/zia/conﬁguring-sandbox-policy©2021 Zscaler, Inc. All rights reserved.

19

ZSCALER SOCテクニカル ホワイトペーパー
サンドボックスの実行結果は、悪意のある評決が出た場合、ユーザーが侵害されていること、またはお客様の組織やビジネスにリスクをもたらす行動に関与していることを示す可能性があるため、お客様にとって大きな関心事になる可能性があります。そのため、Zscaler はサンドボックスの完全なレポートを製品の機能にしており、これにはサンドボックスの実行後の詳細なレポートを API で取得する機能が含まれています。

Advanced Cloud Sandbox を使用している場合は、SIEM のログから取得した MD5 パラメーターに基づいてサンドボックス詳細レポートを開くことができます。詳細は次のページを参照してください：https://help.zscaler.com/zia/viewing-sandbox-reports-data

監査ログ

管理者が Zscaler コンソールにアクセスし、コンソール内で変更を加えると、監査ログが生成されます。これらのイベントは、たいていの場合は Zscaler の外部にアーカイブする必要がありますが、Zscaler はこれらのイベントを Zscaler API 経由で利用できるようにしています。

Zscaler アラート

アラート サブスクリプション サービスは、セキュリティやアクセス制御のイベント、システムやコンプラ
イアンス違反のアラート、ペイシェントゼロ イベントなど、特定のイベント発生時に特定の個人に電子メールを送信する機能を提供します。アラートの詳細とアラートの定義方法については、次のヘルプ テキストの記事を参照してください：https://help.zscaler.com/zia/about-alerts

セキュリティ運用のベスト プラクティス
セキュリティ ポリシーのベスト プラクティス
マルウェア対策ポリシー：• マルウェア対策ポリシーを設定し、ウイルス、トロイの木馬、ワーム、マルウェア、ランサムウェア、
不要なアプリケーション、アドウェア / スパイウェアなどから組織を保護します。

• インバウンドとアウトバウンドの両方のトラフィック検査を有効にします。

• セキュリティの例外 – パスワードで保護されたファイルやスキャンできないファイルのうち、組織内で日常的に使用されていないものはブロックすることをお勧めします。
• 推奨されるマルウェア対策ポリシーに従います。

高度な脅威対策 (ATP) ポリシー：• ATP ポリシーを設定して、詐欺、ボットネット アクティビティー、不正な通信、クロスサイト スクリ
プティング (XSS)、コマンド＆コントロール トラフィック、ToR や BitTorrent などの危険なアプリケー
ション、フィッシング サイト、疑わしい宛先 ( 国 )、その他の悪意のあるオブジェクトやスクリプトから組織を保護します。

• ページ リスク設定 – これは不審なコンテンツの保護 ( ページ リスク指数 ) の値であり、すべての Web
ページに対してリアルタイムで動的に計算されます。その後、このスコアは設定した値と照らし合わせて評価されます。推奨設定は 35 です。組織のリスク回避の度合いに基づいて、異なる値に設定できます。値が大きいほどリスクが高くなります。

©2021 Zscaler, Inc. All rights reserved.

20

ZSCALER SOCテクニカル ホワイトペーパー• セキュリティ例外 – [ これらの URL からコンテンツをスキャンしない ] の設定を使用し、組織の公開サ
イトや、ウイルス対策、スパイウェア対策、マルウェア対策のポリシーが原因で失敗している可能性がある他の信頼済みサイトなど、スキャンしないサイトの URL を追加できます。このサービスにより、ユーザーはトラフィックを検査することなく、これらのURL からコンテンツをダウンロードできます。
詳細については、次のページを参照してください：https://help.zscaler.com/zia/adding-urls-allowlist• 推奨される高度な脅威対策ポリシーに従います。

ブラウザー コントロール ポリシー：• ブラウザーの脆弱性保護 – ブラウザー コントロール ポリシーを設定し、ユーザーが古いブラウザーや脆弱なブラウザー、プラグイン、アプリケーションを使用している場合、インターネットに出ないよ
うに警告します。
• ブラウザーのブロック – 古い脆弱なブラウザーが使用されるリスクを軽減するために、古いバージョンのブラウザーの使用をブロックすることをお勧めします。

ファイル タイプ制御ポリシー：• ファイル タイプ制御ポリシーを設定し、未分類の Web サイトからの実行可能ファイルのダウンロードのブロック、任意の URL カテゴリーからのダウンロードに対する警告、任意の URL カテゴリーへの実行可能ファイルのアップロードのブロック、検出不可能なファイル タイプのブロックを行います。
• 推奨されるファイル タイプ制御ポリシーに従います。

情報漏洩防止 (DLP):• DLP ポリシーを設定し、Web メール、クラウド ストレージ、ソーシャル メディア、その他のさまざまなアプリケーションから漏洩する可能性のあるデータ損失から組織を保護します。

ファイアウォール制御ポリシー：• ファイアウォールのフィルタリング ポリシーを設定し、特定の送信元からの、また特定の宛先へのどのタイプのトラフィックが許可されるかを定義します。デフォルトでは、Zscaler ファイアウォールは、
ネットワークからインターネットへのすべての非 HTTP/HTTPS トラフィックを許可します。

• DNS、HTTP、HTTPS など、必要な特定のサービスのみを許可し、それ以外はすべてブロックします。
• SSH、TFTP など、環境内で使用されていないプロトコルをブロックします。
• POP3、IRC、Telnet、FTP など、安全でないプロトコルをブロックします。

• 推奨されるファイアウォール管理ポリシーに従います。

侵入防止システム (IPS) 制御：• IPS ( 非 Web) は、シグネチャーベースの検出を使用し、信頼性の高いエンジンによってすべてのポートとプロトコルのトラフィックを制御し、侵入から保護します。
• IPS のデフォルトのロギングは集約に設定されており、ユーザー、ルール、ネットワーク サービスに基づいて個々のセッションをグループ化し、定期的に記録します。
• ルールのすべてのセッションを個別にログに記録する完全なロギングが必要な場合は、デフォルトのIPS ポリシーを編集し、[ ロギング ] で集約を選択して有効にします。

• IPS ポリシーを設定したら、ファイアウォールを有効にする際にロケーションごとに [IPS コントロー
ルを有効化 ] できます。
• 推奨される IPS 管理ポリシーに従います。

©2021 Zscaler, Inc. All rights reserved.

21

ZSCALER SOCテクニカル ホワイトペーパー

URL フィルタリングとクラウド アプリの制御ポリシー：• URL フィルタリングを設定し、サイトのカテゴリーに基づいて Web コンテンツへのアクセスを管理することで、法的責任を制限できます。

• クラウド アプリのコントロールを設定し、インスタント メッセージング (Google Hangouts、チャット、
ファイル転送など )、ソーシャル ネットワーキング (Facebook の表示と投稿など )、ストリーミング メ
ディア (YouTube の視聴 / 再生、アップロードなど )、Web メール (Yahoo! メールの表示、送信、添付ファ
イルの送信など ) など、認可されたクラウド アプリケーションと関連するアクティビティーのみにアクセスできるようきめ細かく制御します。

• デフォルトでは、クラウド アプリの制御は URL フィルタリング ポリシーよりも優先されます。この動作を変更し、クラウド アプリの制御ポリシーを既に適用している場合でもURL フィルタリング ポリ
シーを適用するには、[管理] > [高度な設定]で[URLフィルターまでのカスケードを許可]を有効にします。
• [ 新しく登録されたドメイン ] の検索設定を有効にして、URL フィルタリング ポリシーで使用します。

• URL フィルタリング ポリシーを設定し、未分類の URL、新規に登録されたドメイン、未分類 / 不明のカ
テゴリーにアクセスしたときにユーザーに警告します。

• 推奨される URL とクラウド アプリ管理ポリシーに従います。

SSL インスペクション：• 暗号化されたトラフィック内にマルウェアが潜むことが多くなっているため、考えられるすべてのトラフィックに対して SSL 復号とインスペクションを有効にすることをお勧めします。

• 以下を含む [SSL を検査しない ] リストを定義します。

i. 顧客または地方自治体のコンプライアンス要件に準拠
ii. クライアント証明書による認証が必要なサイト
iii. 証明書ピンニングを行うサイト
iv. IDP URL (Okta、Azure AD など )• 次の手順に従い、ロケーション設定から SSL インスペクションを有効にします：ZIA Admin Portal >[ 管理 ] > [ ロケーション管理 ]> ([ ロケーションのポリシー]) > [SSL インスペクションを有効化 ]。
• 次の手順に従い、SSL インスペクションの設定で、モバイル ユーザーのクライアントの SSL インスペ
クションを有効にします：ZIA Admin Portal > [ ポリシー] > [SSL インスペクション ] > [Zscaler Client
Connector のポリシー] セクション。

• SSL インスペクションが無効の場合、[SSL インスペクションが無効の場合、これらのサイトへのHTTP をブロック ] の設定を使用して、リスクの高い URL カテゴリーへの HTTPS をブロックします。
• [ 復号できないトラフィックをブロック ] の設定を有効にすることをお勧めします。

• SSL インスペクションの詳細については、こちらの記事を参照してください。

サンドボックス ポリシー：• サンドボックス ポリシーを設定することで、不明なファイルを検査し、未知の脅威やゼロデイ脅威をブロックします。

• リスク許容度とパフォーマンス要件に応じて、[ 検疫 ] または [ 許可してスキャン ] のポリシー アクションを使用できます。

• ヌード、ポルノ、アノニマイザー、未分類、不明のカテゴリーなど、リスクの高いカテゴリーからダウンロードされた実行可能ファイルと Ofﬁce ドキュメントに対して、検疫アクションを設定することをお勧めします。

©2021 Zscaler, Inc. All rights reserved.

22

ZSCALER SOCテクニカル ホワイトペーパー• 他のすべてのファイル タイプに対しては、[許可してスキャン]を設定し、その後[ペイシェントゼロ ア
ラート]を設定することをお勧めします。
• Sandbox ポリシーに従います。

ZIA Admin Portal > [ 管理 ] > [ 高度な設定 ] ページから、RFC 違反の HTTP トラフィックをブロックします。

既 定 以 外 の ポ ー ト を 使 用 し て い る 場 合、ZIA Admin Portal > [ 管 理 ] > [ 高 度 な 設 定 ] ペ ー ジ か ら、HTTP/HTTPS/FTP/DNS/RTSP/PPTP の自動プロキシー転送を有効化します。

セキュリティ ログ分析のベスト プラクティス
ZIA ダッシュボード、解析、ログ：
1.

2.
3.

ダッシュボードには、ほぼリアルタイムのデータが表示されます。脅威のイベントを監視する場所として、
まずセキュリティ ダッシュボードを使用し、グラフをロールオーバーして詳細情報を取得し、イベントが発生した場合は、そのイベントをクリックして、イベントから直接ログまたは解析情報にピボットできます。

[ ロールベースの管理 ] を使用して管理者ロールを定義し、許可されたユーザーのみが [ 表示のみ ] や [ フルアクセス ] などの適切なレベルでダッシュボードにアクセスできるようにします。

ダッシュボードのカスタマイズ：ウィジェットの追加、編集、削除により、ダッシュボードをカスタマ
イズして関心のあるイベントを表示できます。[ 脅威のカテゴリー] カスタム ダッシュボードを追加すると、組織のすべてのさまざまな脅威カテゴリーのイベントをすばやく表示できます。フィッシング イ
ベントなどの特定の脅威カテゴリーについては、[ 高度な脅威のスーパー カテゴリー] データ タイプの
[ フィッシング ] フィルターを使用して、以下の表に示すようにカスタマイズされたウィジェットを作成できます。

デフォルトのダッシュボードを編集し、追加したいフィルターを含めることもできます。たとえば、ロケー
ション固有のイベントを表示する場合は [ ロケーション ] を追加し、HTTP、HTTPS、SSL を使用するステルス型脅威を探す場合は [ プロトコル ] をフィルターとして使用します。
4.

5.

6.

7.

ダッシュボードの更新：ダッシュボードは 15 分ごとに自動的に更新されるように設定することをお勧めします。これにより、セッションがタイムアウトするのを防ぐとともに、ウィンドウ内の情報を最新の状態に保つことができます。[ 管理 ] > [ プロフィール ] に移動して、自動更新を有効にします。

ウィジェットをダッシュボードに追加するには、[ ウィジェットを追加 ] アイコンをクリックします。
Web、モバイル、ファイアウォール、DNS イベント用のウィジェットを追加できます。ダッシュボードには、最大 12 個のウィジェットを含めることができます。

[ 解析 ] ページと [ ログ ] ページでは、70 以上のフィールドにわたる脅威の豊富なコンテキストを含む
Nanolog データにアクセスできます。ベスト プラクティスとして、ダッシュボードのイベントから始めて、ログにピボットし、フィルターを使用して検索を絞り込むか、[ 解析 ] タブの [ 解析 ] セクションから直接アクセスし、ログをクリックします。

解析ログで使用できるフィルターは多数ありますが、一般に、以下の主要なフィルターを 1 つ以上設定
し、ユーザーやロケーションなどの他のフィルターを加えて、検索をさらに絞り込むことがベスト プラ
クティスです。

©2021 Zscaler, Inc. All rights reserved.

23

ZSCALER SOCテクニカル ホワイトペーパー

Web 解析ログのフィルター：Web 解析ログのフィルター
高度な脅威のスーパー カテゴリー

ポリシー タイプとルール名

サンドボックス

脅威のカテゴリー
脅威のスーパー カテゴリー

脅威のクラス
脅威の名前

スキャンできないタイプ
URL カテゴリー

プロトコル

用途

このフィルターを使用することで、データをアド
ウェア / スパイウェア サイト、ブラウザー エクスプ
ロイト、クロスサイト スクリプティング、クリプ
トマイニング＆ブロックチェーン、フィッシングな
ど、特定の高度な脅威カテゴリーに絞り込めます。
このフィルターを使用することで、指定されたポリシー タイプと設定されたルール名に一致するトラ
ンザクションを表示します。

このフィルターを使用することで、サンドボック
スの結果 ( サンドボックス アドウェア、サンドボッ
クス アノニマイザー、サンドボックス無害、サンドボックス マルウェア、分析のために送信 ) に基づ
いてファイルのダウンロードを表示します。
このフィルターを使用することで、データをエクス
プロイト、プロキシー、ランサムウェア、トロイの木馬、ワームなど特定の脅威カテゴリーに絞り込めます。

このフィルターを使用することで、データをマル
ウェアやウイルスなど特定の脅威のスーパー カテゴ
リーに絞り込めます。

このフィルターを使用することで、高度な脅威、ウイルス/スパイウェアなどの特定の脅威クラスに関連付けられているトランザクションを検索できます。
このフィルターを使用することで、特に関心のある
特定の脅威に関連付けられているトランザクショ
ンを探せます。

このフィルターを使用することで、暗号化されたファイル、検出できないファイル、スキャンできな
いファイルなどの理由によるファイル スキャンの失敗を探せます。

こ の フ ィ ル タ ー を 使 用 す る こ と で、 デ ー タ を 特
定の URL カテゴリーに絞り込めます。特定のカテゴ
リーを含めるか除外するかを選択できます。

このフィルターを使用することで、HTTP、HTTPS、
SSL を使用するステルス脅威を検索できます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/web-data-types-and-ﬁlters©2021 Zscaler, Inc. All rights reserved.

24

ZSCALER SOCテクニカル ホワイトペーパー

モバイル解析ログのフィルター：モバイル解析ログのフィルターモバイル アプリケーションのカテゴリー

モバイル デバイス タイプ

プロトコル

用途

このフィルターを使用することで、データをマル
ウェア アプリ、SNS、ストリーミング メディア、
脆弱なアプリなど特定のモバイル アプリケーショ
ン カテゴリーに絞り込めます。

こ の フ ィ ル タ ー を 使 用 す る こ と で、 デ ー タ をApple iPad、Google Android、Samsung Galaxy S、Windows Mobile など特定タイプのモバイル デバイスに関連付けられたトラフィックに絞り込めます。

このフィルターを使用することで、データを HTTP、
HTTPS、SSL などモバイル トラフィックのプロト
コルへのトラフィックに絞り込めます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/mobile-data-types-and-ﬁlters

ファイアウォール解析ログのフィルター：ファイアウォール解析ログのフィルター
クライアント IP/ ポートクライアント トンネル IP
サーバー IP/ ポート

用途

このフィルターを使用することで、表示を特定のクライアントの送信元 / 宛先 IP アドレスまたはポートに絞り込めます。
このフィルターを使用することで、表示を特定のクライアントのトンネル IP アドレスに絞り込めます。

このフィルターを使用することで、表示を特定のサーバーの送信元 / 宛先 IP アドレスまたはポートに
絞り込めます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/ﬁrewall-data-types-and-ﬁlters©2021 Zscaler, Inc. All rights reserved.

25

ZSCALER SOCテクニカル ホワイトペーパー

DNS 解析ログのフィルター：DNS 解析ログのフィルター
DNS リクエスト タイプ

DNS レスポンス
IP ドメイン カテゴリー
リクエストされたドメイン
サーバー IP/ ポート

用途

このフィルターを使用することで、データを特定の
タ イ プ の DNS リ ク エ ス ト に 関 連 付 け ら れ た ト ラ
フィックに絞り込めます。
このフィルターを使用することで、データを DNS
エラー コードを含む、特定の DNS レスポンスに関連付けられたトラフィックに絞り込めます。
このフィルターを使用することで、データを要求されたドメインの URL カテゴリーに関連付けられたト
ラフィックに絞り込めます。

このフィルターを使用することで、データを DNS
解決が要求されたドメインに関連付けられたトラ
フィックに絞り込めます。
このフィルターを使用することで、データを特定のサーバー IP アドレスまたはサーバー ポートに関連付けられたトラフィックに絞り込めます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/dns-data-types-and-ﬁlters

トンネル解析ログのフィルター：トンネル解析ログのフィルタートンネル ソース / 宛先 IP

トンネル タイプ

用途

このフィルターを使用することで、特定の送信元 /宛先 IP アドレスに関連付けられたメトリックを表示できます。
このフィルターを使用することで、GRE や IPSec な
どさまざまなタイプのトンネルに基づいてメトリッ
クを表示できます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/tunnel-data-types-and-ﬁlters©2021 Zscaler, Inc. All rights reserved.

26

ZSCALER SOCテクニカル ホワイトペーパー

SaaS セキュリティ分析ログのフィルター：SaaS セキュリティ分析ログのフィルター
アプリケーション カテゴリー

アプリケーション

DLP 辞書DLP エンジン

インシデント タイプ

テナント
脅威のカテゴリー

脅威のスーパー カテゴリー

用途

このフィルターを使用することで、データを CRM、
メール、ファイル、リポジトリーなど特定の SaaS
アプリケーション カテゴリーに絞り込めます。

このフィルターを使用することで、データを Box、
Dropbox、Google Drive、OneDrive、ShareFile、
SharePoint など特定の SaaS アプリケーションに絞り込めます。
このフィルターを使用することで、クレジット カー
ド、社会保障番号、Salesforce.com データなどのイ
ベントをトリガーした辞書を表示できます。

このフィルターを使用することで、クレジット カー
ド番号、HIPAA、PCI、社会保障番号などの特定のDLP エンジンに関連付けられているスキャンを表示できます。

このフィルターを使用することで、DLP やマルウェ
ア検出などの特定のインシデント タイプに関連付けられているスキャンを表示できます。
このフィルターを使用することで、特定のテナン
トに関連付けられているスキャンを表示できます。

このフィルターを使用することで、特定の脅威カテ
ゴリーに関連付けられているスキャンを表示できます。これらの脅威は、マルウェア対策によって検出されます。

このフィルターを使用することで、高度な脅威、
マルウェア検出、サンドボックス、スパイウェア、
ウイルスなど、特定の脅威のスーパー カテゴリーに関連付けられているスキャンを表示できます。

その他のデータ タイプとフィルターについては、次のページを参照してください：https://help.zscaler.com/zia/saas-security-insights©2021 Zscaler, Inc. All rights reserved.

27

ZSCALER SOCテクニカル ホワイトペーパー

NSSのベスト プラクティス
1.

2.
3.

AWS または Azure 上に NSS を導入し、Zscaler クラウドから SIEM へのシームレスなクラウド統合を実現します。

NSS Web ログのデフォルトのフィード出力形式には、30 を超えるフィールドが含まれています。NSS のフィードの出力形式：Web ログの手順に従い、さらにフィールドを追加できます。

一般に、syslog メッセージのサイズ制限に対応するために、NSS フィードに含めるフィールドは 50 以
下にすることをお勧めします。ただし、SIEM でより大きなメッセージ サイズを取り込むことができる
場合は、50 以上に設定できます。

セキュリティ ログ レポートのベスト プラクティス

1.

2.
3.

4.

5.

6.

ロールベースの管理を使用して、承認された管理者のみがレポートの作成を許可されるようにします。
[ セキュリティ ポリシー監査レポート ] を実行し、すべての推奨設定に従っていることを確認します。

[ 対話型レポート ] > [ 標準レポート ] > [ セキュリティの脅威 ] セクションから [ 高度な脅威を検知したユー
ザー] レポートを定期的に実行して危険なユーザーを特定し、Web 解析または SIEM を使用してそれらの特定のユーザーについてさらに調査します。
[ 対話型レポート ] > [ 標準レポート ] > [ セキュリティの脅威 ] セクションから [ 上位の脅威名 ] レポートを定期的に実行して、フィッシング キャンペーンの開始やコマンド＆コントロール / ボットネット アク
ティビティーなど、Web および非 Web の脅威の傾向を特定し、ログにピボットして Web 解析または
SIEM を使用してさらに調査します。

[ 対話型レポート ] > [ 標準レポート ] > [ セキュア ブラウズ ] セクションの [ プロトコルごとのトラフィッ
ク分布 ] レポートを定期的に実行して、暗号化されたプロトコルと暗号化されていないプロトコルの脅威の傾向を特定します。たとえば、[SSL] でブロックされる脅威が増えた場合は、SSL 復号ポリシーを見直して、より多くのトラフィックを SSL インスペクションの対象に含めます。

[ 対話型レポート ] > [ 標準レポート ] > [ ファイアウォール アクティビティー] セクションから [ ファイアウォール アプリケーション / サービス概要 ] レポートを定期的に実行して、疑わしい異常なアプリケー
ションやトラフィック量を見つけ、Web 解析または SIEM を使用してさらに調査します。

7.

以下の目的で、[ 企業リスク スコア ] レポートを毎日実行します。

• 組織の全体的なセキュリティ リスク エクスポージャー スコア、リスク スコアの傾向、同じ業界の他の企業および全体的なクラウド顧客と比較したリスク スコアを理解するため。

• ボットネット アクティビティー、悪意のあるコンテンツ、フィッシングなど、リスク スコアに影響したイベントを特定するため。

• リスク スコアに最も影響した上位 1% のリスク ユーザーを含む、リスクの非常に高いユーザーとその行動、リスク スコアへの影響後を特定するため。

8.

» このレポートを定期的に実行して、最もリスクの高いユーザー / ロケーションを見つけ、Web 解析
ログまたは SIEM にピボットして、そのユーザーについてさらに調査を行うことが有効です。

以下の目的で、[ 異常検知レポート ] を毎日実行します。

• 組織の異常なユーザー アクティビティーの概要と脅威のアクティビティーを理解するため。

• 潜在的なデータ流出イベント、悪意のあるインサイダー アクティビティー、不審なアクティビティーを検出するため。

©2021 Zscaler, Inc. All rights reserved.

28

ZSCALER SOCテクニカル ホワイトペーパー• 関連付けられたファイルのアップロード / ダウンロードの傾向、認可されたアプリケーションと認可されていないアプリケーションの使用、ログイン試行の不可能な移動シナリオ、データ漏洩の試みなど、異常なユーザー行動を特定するため。
• クラウド アプリケーションを使用する際のアップロードやダウンロードのトラフィック パターンの異常など、組織レベルの異常なアクティビティーを特定するため。

• アプリケーションへのアクセスや使用パターンが類似しているグループ内のユーザーと比較して、これらの異常な動作に影響した上位ユーザーを特定するため。
» このレポートを定期的に実行して、最もリスクの高いユーザー / ロケーションを見つけ、Web 解析
ログまたは SIEM にピボットして、そのユーザーについてさらに調査を行うことが有効です。

9.

カスタム レポートを使用して、確認したいイベントを表示します。多くのお客様にとって関連性が高い
週次レポートには、次のようなものがあります。

• ファイル アップロード レポート：過去 1 週間にファイルをアップロードしたユーザー、アップロード
先のサイト、ファイル名 / 種類が一覧表示されます。

• 実行可能ファイルのダウンロード レポート：過去 1 週間に実行可能ファイルまたはスクリプト ファイ
ルをダウンロードしたユーザー、ダウンロードしたサイト、ファイル名 / 種類が一覧表示されます。

• 例：[ 対話型レポート ] > [ カスタム レポート ] > [ 新規レポート ]> [Web] を選択し、[ ファイル共有アクティ
ビティー] フィルターを追加した後、[ アップロード ] / [ 表示 ] / [ すべて ] のフィルターを追加し、ユー
ザーなどその他のフィルターを追加し、ウィジェットを追加します。

10. [ サンドボックスの悪意のあるファイル ] レポートを毎週実行し、分析のためにサンドボックスに送信され、悪意があることが判明した不明なファイルをハイライト表示します。

セキュリティ運用におけるインシデントへの対応のベスト プラクティス
1.

ボットネット アクティビティーの検出：• セキュリティ ダッシュボードの [ 高度な脅威 ] ウィジェットで [ ボットネット コールバック ] カテゴ
リーを探し、[ ログを表示 ] をクリックします。

• Web ログ フィールドの [reason] または Web 解析フィールドの [ ポリシー アクション ] で、[IPS block
inbound response: botnet command-and-control traffic] ま た は [IPS block outbound request: botnet
command-and-control trafﬁc] を検索して信頼度の高いコンテンツ ブロックを探します。

• 信頼度の低いブロック ( レピュテーションベース ) については、Web ログ フィールドの [reason] またはWeb 解析フィールドの [ ポリシー アクション ] で [Reputation block outbound request: botnet site]を検索します。ポリシーの理由の文字列に関する記事も併せて参照してください。

• [ ボットネット コールバック ] アラートを設定し、ボットネット コールバックのアクティビティーが検出されたときに電子メールを受信するようにします。

注：宛先 IP、ドメイン、URL に基づくレピュテーション ブロックは、特定のサイトのレピュテーショ
ンの変更が遅れることがあるため、誤検出の可能性が高くなります。

2.

フィッシング アクティビティーの検出：• セキュリティ ダッシュボードの [ 高度な脅威 ] ウィジェットで [ フィッシング ] カテゴリーを探し、[ ログを表示 ] をクリックします。
• [ 高度な脅威のユーザー / ロケーションのトップ ] ウィジェットを使用して、最もフィッシングなどの高度な脅威の標的にされているユーザーを確認します。

©2021 Zscaler, Inc. All rights reserved.

29

ZSCALER SOCテクニカル ホワイトペーパー• また、[ データ タイプ ] として [ ユーザー] を選択し、[ 高度な脅威 ( スーパー カテゴリー)] フィルターで[ フィッシング ] を選択することで、フィッシングの標的となっている上位のユーザーを表示するカスタ
ム ダッシュボード ウィジェットを作成することもできます。

• Web ログから、高度な脅威対策のログで [ フィッシング ] または [Web スパム ] の URL カテゴリーを検索します。

• Web ロ グ フ ィ ー ル ド の [reason] ま た は Web 解 析 フ ィ ー ル ド の [ ポ リ シ ー ア ク シ ョ ン ] で [IPS block
inbound response: phishing content] を検索して、信頼度の高いコンテンツ ブロックを探します。

• Web ログ フィールドの [reason] または Web 解析フィールドの [ ポリシー アクション ] で、[Reputation
block outbound request: phishing site] を使用してレピュテーションベースのブロックを探します。

• また、フィッシングのアラートを設定することで、フィッシング アクティビティーが検出され、5 分
以内に 100 回発生するなど一定のしきい値に達した場合に、電子メールを受信するようにできます。
3.

不審なアウトバウンド接続の検出：• [ファイアウォールの概要]ダッシュボードで、[ネットワーク サービス]のカスタム ダッシュボード ウィ
ジェットを作成し、SSH などの不審なサービスが使用されていないか確認します。

• ファイアウォールのログ / 解析で、SSH などの通常とは異なるネットワーク アプリケーションやネッ
トワーク サービスが使用されていないか検索します。

• ファイアウォールのログの [nwapp] または [nwsvc] フィールドで、通常とは異なるアプリケーション /サービスを検索します。

• Web ログの高度な脅威対策のログで、[ 不審な宛先 ] の URL カテゴリーを検索します。
4.

データ流出アクティビティーの検出：• 代替プロトコルを介した流出 – FTP、SMTP、DNS、SMB などの代替プロトコルで交換されるデータ量が異常に多いかどうかを確認します。

• HTTP/S を介した流出 – 交換されるデータ量が異常に多いかどうかを確認します。

• クライアントがサーバーよりもはるかに多くのデータを送信している、クライアントが長い接続を維持し、一定サイズのデータ パケットを一貫して、または一定の間隔で送信しているなど、通常とは異なるデータ フローがないか探します。

• 暗号化されたアーカイブを介した不審なデータ転送がないか探します。

• フ ァ イ ア ウ ォ ー ル の ロ グ / 解 析 で、 大 量 の デ ー タ 転 送 / 異 常 な ボ リ ュ ー ム に つ い て、FTP、DNS、
SMTP、SMB などの通常とは異なるネットワーク アプリケーションやネットワーク サービスが使用されていないか検索します。

• Web ログから、高度な脅威対策のログで FTP、DNS、SMTP、SMB などのプロトコルと不審な宛先
URL のカテゴリーを検索します。
• DLP ポリシーを設定し、クレジット カード番号などの機密データの交換をブロックします。

5.

潜在的に望ましくないアプリケーションの使用の検出 – Tor、プロキシー、アノニマイザー、P2P アプリ• セキュリティ ダッシュボードの [ 高度な脅威 ] ウィジェットで、[P2P] または [ 不正な通信 ] カテゴリーを探して、[ ログを表示 ] をクリックします。

• [ 高度な脅威のユーザー / ロケーションのトップ ] ウィジェットを使用して、Tor や不正な通信などのP2P アノニマイザー アプリケーションを使用する上位の脅威ユーザーを確認します。

• [ データ タイプ ] として [ ユーザー] を選択し、[ 高度な脅威のスーパー カテゴリー] フィルターで [P2P]
または [ 不正な通信 ] を選択することで、P2P アプリケーションまたは不正な通信を使用する上位ユー
ザーを表示するカスタム ダッシュボード ウィジェットを作成することもできます。
©2021 Zscaler, Inc. All rights reserved.

30

ZSCALER SOCテクニカル ホワイトペーパー• Web ログから、高度な脅威対策のログで [P2P] または [ 不正な通信 ] の URL カテゴリーを検索します。

• Tor トラフィックが環境で使用するアプリとして認可されていない場合、高度な脅威対策ポリシーでそのトラフィックをブロックするように設定します。
6.

悪意のあるトンネリング アクティビティーの検出 – IRC トンネリング、SSH トンネリング、DNS トンネ
リング• Web ログ フィールドの [reason] または Web 解析フィールドの [ ポリシー アクション ] で、[IPS block
inbound response. IRC use/tunneling]、[IPS block outbound request. IRC use/tunneling] ま た は [IPS
block: SSH use/tunneling] を検索して、信頼度の高いコンテンツ ブロックを探します。
• DNS 概要ダッシュボードで [DNS トンネル ] カテゴリーを探し、[ ログを表示 ] をクリックします。
• DNS トンネル検出の詳細については、次のページを参照してください：https://help.zscaler.com/zia/about-dns-tunnel-detection7.

悪意のあるドメイン フロンティング アクティビティーの検出：• すべてのトラフィックで TLS インスペクションが有効になっていることを確認します。

• NSS フィード形式に Web ログの [df_hostname] フィールドを追加します。

• このフィールドの値を検索して実際の [host] フィールドの値と比較し、不一致がないか確認します。

• [host] (HTTP ホスト ヘッダー) と [df_hostname] (SNI) の間で大文字と小文字を区別しない比較を実行するアラートを SIEM で作成し、df_hostname に基づいて結果を集計してアラートの数を減らします。
注：ドメイン フロンティングは正当な目的にも使用できます。まず、推奨されるアラートの結果を調査し、誤検出を減らすために検索を最適化する必要があります。

8.

マルウェア アクティビティーの検出：• セキュリティ ダッシュボードの [ ウィルス / スパイウェア ] カテゴリーから開始し、[ ログを表示 ] をク
リックします。
• [ ウィルス / スパイウェアを検知したユーザー / ロケーションのトップ ] ウィジェットを使用して、どのユーザーが最もマルウェアの標的にされているかを確認します。

• Web ログ フィールドの [reason] または Web 解析フィールドの [ ポリシー アクション ] で [Malware block:malicious ﬁle] を検索します。

• Web ログ フィールドの [reason] または Web 解析フィールドの [ ポリシー アクション ] で、[Reputation
block outbound request malicious URL] を使用して、レピュテーションベースのコンテンツ ブロックを
探します。

9.

• ブロックが報告された時間帯のユーザー アクティビティーとログを調べて、成功した可能性のある不審なアクティビティーが他にあったかどうかを確認します。
使用中の安全でないプロトコルの検出：• ファイアウォールの概要ダッシュボードから開始して、HTTP、FTP など、使用率上位の安全でないア
プリケーションが使用されていないか確認します。
• ファイアウォール解析の [ ネットワーク サービス ] フィルターまたはファイアウォール ログの [nwapp]
または [nwsvc] フィールドで、FTP、HTTP、IMAP、IRC、TELNET、POP3 などの安全でない / 暗号化されていないプロトコルが使用されていないか検索します。

• [ 対話型レポート ] > [ 標準レポート ] > [ セキュア ブラウズ ] セクションから、[ プロトコルごとのトラ
フィック分布 ] レポートを定期的に実行し、暗号化されたプロトコルと暗号化されていないプロトコルの脅威の傾向を把握します。
©2021 Zscaler, Inc. All rights reserved.

31

ZSCALER SOCテクニカル ホワイトペーパー
10. Zscaler 脅威ライブラリーを使用して脅威名をドリル ダウン

11. サンドボックス アクティビティー – 不明なファイル：• Web ログの [malwarecat] フィールドで [Sent for Analysis] を探します。Basic Sandbox のお客様に対しても、サンドボックス分析のためにファイルのサブセットが送信されます。

• 評決を表示するには、Zscaler の [Web 解析] ログ ビューにピボットしてMD5 ハッシュを検索するか、
サンドボックス レポート ダッシュボードを活用する必要があります。
• サンドボックス レポートAPI を使用して、MD5 ハッシュによってサンドボックス分析ファイルの詳細を取得することもできます。

12. サンドボックス アクティビティー – 悪意のあるファイルを検出：• [ サンドボックスの悪意のあるファイル] レポートを毎週実行します。このレポートを実行するには、
次のように操作します。
ZIA Admin Portal > [ 解析 ] > [ サンドボックス アクティビティー レポート ] ドロップダウンから [ サンドボックスの悪意のあるファイル ] を選択します。

• SOAR/IR ワークフローを使用し、EDR を介して MD5 をスキャンし、このマルウェアの存在と誰が以前にダウンロードしたかを確認します。

• ペイシェントゼロ アラート – 高精度のペイシェントゼロのメール アラートに対応する自動 IR ワークフ
ローを設定します ( ヘルプ記事を参照 )。

13. サンドボックス アクティビティー – 既知の悪意のあるファイル• Web ログの [malwarecat] フィールドで、[Sandbox Malware] または [Sandbox Adware] または [Sandbox
Anonymizer] を探します。Zscaler のお客様から分析用に以前送られたファイルが悪意のあるものと判断された場合、この Web ログのフィールドにサンドボックスの評決が表示されます。
• 分析用に送られ、既知のレピュテーションがないファイル、または当社のアンチウイルス エンジンのいずれによってもブロックされていないファイルは、リスクが高いものと見なされる可能性があります。

• サンドボックス詳細レポート API から IOC を抽出することもできます。

14. 脅威解析の地球儀から SIEM にピボットします。お客様によっては、Zscaler 脅威解析の地球儀を SOC の
大画面に表示している場合があります。これは 24 時間ごとに更新されるので、環境内のアクティブな脅
威のおおまかな状況を把握するのに便利です。詳細については、次のページを参照してください：https://help.zscaler.com/zia/about-threat-insights
15. 遡及的な脅威の検出 – セキュリティ ブロック ( レピュテーション、アンチウイルス エンジン、高度な脅威)を検出した際、MD5ハッシュ /ドメイン/URL/IP指標の最初の検出を数日(または数か月)振り返って、
ペイシェントゼロ イベントと脅威がネットワークに残っている可能性のある期間を特定すると有効です。

16. セキュリティ ブロック ( レピュテーション、アンチウイルス エンジン、高度な脅威 ) を検出するたびに、ブロックが報告された時間帯のユーザー トラフィック アクティビティーとログを調べて、成功した他の悪意のあるアクティビティーがあったかどうかを確認すると有効です。

©2021 Zscaler, Inc. All rights reserved.

32

ZSCALER SOCテクニカル ホワイトペーパー

Zscaler アラートのサブスクリプションのベスト プラクティス

1.

ベスト プラクティスとして、次のような高リスクのセキュリティ アクティビティーに対してメールを受信するようにアラートを設定します。

• ボットネット コールバックとしきい値• マルウェア / スパイウェア / ウイルスの受信• フィッシングとしきい値• サンドボックス アドウェア、アノニマイザー、マルウェアとしきい値• 不審な宛先• ペイシェントゼロ アラート
2.
3.

最大 128 件のアラートを作成できます。

アラートを定義したら、[ アラートの発行 ] を使用してアラートの登録を行い、アラートのカテゴリーと重大度に基づいてさまざまな受信者にメールを送信できます。

まとめ

Zscaler の独自のアーキテクチャーは、包括的なカバレッジと拡張性でお客様を保護し、多層防御型アプロー
チを可能にします。

SOC 部門がセキュリティ上の脅威を特定、分離し、これに対応するためには、ユーザー トラフィックとセ
キュリティ アクティビティーの可視化が重要です。Zscaler Nanolog サービスは、世界中のすべてのユー
ザー、ロケーション、デバイスの脅威ログをお客様が決める中央リポジトリーに統合し、管理者がユーザー、
デバイス、アプリケーション、ロケーションごとにトランザクション データをリアルタイムで表示し取り出
すことのできる機能です。Zscaler Nanolog は、豊富な脅威のコンテキストと、イベントの分類と脅威ハン
ティングに役立つその他の情報を含む圧縮形式の詳細な記録です。

これらのログは、ダッシュボード、解析、レポートなどの解析機能を強化し、ユーザーと脅威のアクティビ
ティーをリアルタイムで可視化します。また、Zscaler は、NSS (Nanolog Streaming Service) を利用してこのログをオンプレミスまたはクラウドの SIEM にほぼリアルタイムで転送する機能にも対応しており、リアルタ
イムのアラート、ファイアウォールや他のデバイスのログとの関連付け、ローカルのログの長期的なアーカ
イブが可能です。

さらに、この記事で紹介しているベスト プラクティスは、提供される機能を最大限に活用し、より迅速に脅威を特定して対応するために役立ちます。

付録 A – 脅威検出のユース ケースと例
フィッシング攻撃

フィッシングは通常、偽装されカスタマイズされたメッセージを使って、あたかも本物のビジネス目的のよ
うにユーザーを誘い、機密情報を提供するように仕向けます。このようなメッセージには、悪意のあるリンクや添付ファイルが含まれています。フィッシングは、スピアフィッシングと呼ばれる標的型攻撃で行われることがあります。スピアフィッシングでは、特定の個人、企業、業界が攻撃者の標的になります。

©2021 Zscaler, Inc. All rights reserved.

33

ZSCALER SOCテクニカル ホワイトペーパー
MITRE ATT&CK に関連する戦術、テクニック、サブテクニック

初期アクセス chevron-right

フィッシング (3) chevron-right

添付ファイル型スピアフィッシング chevron-right
リンク型スピアフィッシング chevron-rightサービス経由のスピアフィッシング chevron-rightZscaler 検出エンジン

フィッシング攻撃の検出に役立つ Zscaler セキュリティ ログは以下のとおりです。

• 高度な脅威対策：フィッシング Web サイト / ドメイン /IP 検出のレピュテーションに基づく• サンドボックス：不明な添付ファイル
調査

Web 解析の使用

解析ログをフィルタリングしてフィッシングの試みを特定するには、以下のキー フィールドと検索パラメー
ターが役立ちます。
Policy Type="Advanced Threat Protection", URL Category="WebSpam"
Policy Type="Advanced Threat Protection", URL Category="Phishing", URL Class="Advanced Security Risk"
フィッシングの試みに関する Web 解析の検索例©2021 Zscaler, Inc. All rights reserved.

34

ZSCALER SOCテクニカル ホワイトペーパー
NSS Web ログの使用

NSS Web ログを詳細に分析してフィッシングの試みを特定するには、以下のキー フィールドと検索パラメー
ターが役立ちます。
ruleType="AdvThreatProtection", urlCat="WebSpam"ruleType="AdvThreatProtection", urlCat="Phishing", urlclass="Advanced Security Risk"
フィッシングの試みに関する NSS Web ログの検索例

推奨される防止 / 軽減策
インシデント前：• アンチスパムのフィルタリング• フィッシング対策の定期的なチェック• フィッシング セキュリティの定期的な啓発 ( ネット上での成功事例と活動事例の監査に基づく )• インシデント対応部門のトレーニングとケースへの対応準備(ケース、プロセス、参加すべきユーザーの把握)• 不審な URL カテゴリーやページ リスクの高い URL への Web トラフィックの制限• アンチウイルス / アンチマルウェア
インシデント後：• アラート レベルのアップグレード• 影響を受けた / 調整されたユーザーへの通知• アンチウイルスの実行
予防保守：

この手順には、既存システムの定期的な保守と更新、ファイアウォール ポリシーの更新、脆弱な部分へのパッチ適用、アプリケーションのホワイトリスト登録、ブラックリスト登録、保護など、攻撃の成功をより困難にするために行うすべてのアクションが含まれます。

©2021 Zscaler, Inc. All rights reserved.

35

ZSCALER SOCテクニカル ホワイトペーパー

マルウェアの検出

ボットネットとコマンド＆コントロール トラフィック
説明

コマンド＆コントロールは、攻撃者が被害者のネットワーク内の制御下にあるシステムと遠隔通信するために使用する戦術であり、さまざまなレベルのステルスで制御を確立するために多くの手法を使用する場合があります。攻撃者は通常、検出を回避するために、通常予想されるトラフィックを模倣しようとします。
MITRE ATT&CK に関連する戦術、テクニック、サブテクニック

コマンド＆コントロール chevron-right
アプリケーション層プロトコル (4) chevron-rightWeb プロトコル chevron-right

ファイル転送プロトコル chevron-right
メール プロトコル chevron-right
DNS chevron-right

リムーバブル メディア経由の通信 chevron-right
データ エンコーディング (2) chevron-right

データ難読化 (3) chevron-right

動的解決 (3) chevron-right

暗号化チャネル (2) chevron-right
フォールバック チャネル chevron-right

標準エンコーディング chevron-right

非標準エンコーディング chevron-right
ジャンク データ chevron-right

ステガノグラフィー chevron-right
プロトコル偽装 chevron-right

ドメイン生成アルゴリズム chevron-right
高速フラックス DNS chevron-right
DNS 計算 chevron-right

対称暗号化 chevron-right

非対称暗号化 chevron-right

侵入ツールの送り込み chevron-right

マルチステージ チャネル chevron-right

非アプリケーション層プロトコル chevron-right
非標準ポート chevron-right

プロトコル トンネリング chevron-right©2021 Zscaler, Inc. All rights reserved.

36

ZSCALER SOCテクニカル ホワイトペーパー

内部プロキシー chevron-right
プロキシー (4) chevron-rightリモート アクセス ソフトウェア chevron-right

外部プロキシー chevron-rightマルチホップ プロキシー chevron-rightドメイン フロンティング chevron-right

トラフィック シグナリング (1) chevron-right

ポート ノッキング chevron-rightWeb サービス (3) chevron-right

双方向通信 chevron-right

デッド ドロップ リゾルバー chevron-right
片方向通信 chevron-rightZscaler 検出エンジン

コマンド＆コントロール トラフィックの検出に役立つ Zscaler セキュリティ ログは以下のとおりです。

• 高度な脅威対策：ボットネット / コマンド＆コントロール トラフィック / レピュテーション ブロック• サンドボックス：不明な添付ファイル
調査

Web 解析の使用

解析ログをフィルタリングしてボットネット / コマンド＆コントロール トラフィックを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
Advanced Super Threat Category= “Botnet Callback”
Policy Type="Advanced Threat Protection", URL Category="Botnet Callback"©2021 Zscaler, Inc. All rights reserved.

37

ZSCALER SOCテクニカル ホワイトペーパー
ボットネット / コマンド＆コントロール トラフィックに関する Web 解析の検索例

NSS Web ログの使用

NSS Web ログを詳細に分析してボットネット / コマンド＆コントロール トラフィックを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
ruleType="AdvThreatProtection", urlCat="Botnets"
ruleType="AdvThreatProtection", urlCat="Botnets", urlclass="Advanced Security Risk"
reason= “IPS block outbound request: botnet command and control trafﬁc”
reason= “Reputation block outbound request: botnet site”
ボットネット / コマンド＆コントロール トラフィックに関する NSS Web ログの検索例©2021 Zscaler, Inc. All rights reserved.

38

ZSCALER SOCテクニカル ホワイトペーパー
推奨される防止 / 軽減策
インシデント前：• アンチウイルス ソフトウェアを最新の状態に保つ• オペレーティング システムとパッチを最新の状態に保つ• 不審なリンクをクリックしたり、不明な送信元からの添付ファイルをダウンロードしたりしないようにユーザーを教育する• ネットワークをスキャンし、異常や不審なアクティビティーにフラグを付ける
インシデント後：• 調査によって、感染経路を見つけ、他の資産が侵害されているかどうかを確認する• アンチウイルス スキャンを行う• マシンを再構築する

マルウェア トロイの木馬 /RAT/ パスワード スティーラー / ワーム
説明

トロイの木馬とは、正当なように見えるものの、コンピューターの制御を奪うことができる、悪意のあるコー
ドまたはソフトウェアの一種です。
Zscaler 検出エンジン

マルウェア トロイの木馬 /RAT/ パスワード スティーラー / ワームを検出するには、以下の各種 Zscaler 検出
エンジンが役立ちます。
• マルウェア対策 ( レピュテーション、アンチウイルス、Yara)• 高度な脅威対策 ( レピュテーション、IPS)

調査

Web 解析の使用

解析ログをフィルタリングしてマルウェア / トロイの木馬 /RAT/ パスワード スティーラー / ワームの試みを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。

Policy Type="Advanced Threat Protection", “Malware Protection”
Threat Super Category="Virus"
Threat Category=” Macro Virus," “Malware Tool,” “Password Stealer,” “Trojan,” “Worm,” “Unrecognized
Virus,” “Other Virus,” “Other Malware,” “Boot Virus”©2021 Zscaler, Inc. All rights reserved.

39

ZSCALER SOCテクニカル ホワイトペーパー
マルウェア トロイの木馬に関する Web 解析の検索例

NSS Web ログの使用

NSS Web ログを詳細に分析してマルウェア / トロイの木馬 /RAT/ パスワード スティーラー / ワームの試みを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
ruleType="AV" malwareclass="Virus"
malwarecat="Trojan." "Macro Virus,” “Malware Tool," "Password Stealer," "Worms," "Unrecognized Virus"
reason="Malware block:malicious ﬁle"urlclass="Advanced Security Risk"
urlcat="Malicious URLs", "Suspected Spyware or Adware"
urlclass="Advanced Security Risk"
マルウェア トロイの木馬に関する NSS Web ログの検索例©2021 Zscaler, Inc. All rights reserved.

40

ZSCALER SOCテクニカル ホワイトペーパー
推奨される防止 / 軽減策
インシデント前：• アンチウイルスを最新の状態に保つ• オペレーティング システムとパッチを最新の状態に保つ• 完全に信頼できない提供元のソフトウェアをダウンロードまたはインストールしない
インシデント後：• 調査によって、感染経路を見つけ、他の資産が侵害されているかどうかを確認する• アンチウイルス スキャンを行う• マシンを再構築する

高度な標的型攻撃

マルウェア ランサムウェア

説明

攻撃者は、ターゲットとなるシステムやネットワーク内の多数のシステム上のデータを暗号化して、シス
テムやネットワーク リソースの可用性を妨害することができます。これは、復号または復号キーと引き換
えに被害者から金銭的な補償を引き出すため ( ランサムウェア )、またはデータを永久にアクセス不能にするために行われる場合があります。
Zscaler 検出エンジン

マルウェア ランサムウェアを検出するには、以下の Zscaler 検出エンジンが役立ちます。
• マルウェア対策 ( レピュテーション、アンチウイルス、Yara)

調査

Web 解析の使用

解析ログをフィルタリングしてランサムウェアの試みを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
Threat Category=” Ransomware”©2021 Zscaler, Inc. All rights reserved.

41

ZSCALER SOCテクニカル ホワイトペーパー
ランサムウェアに関する Web 解析の検索例

NSS Web ログの使用

NSS Web ログを詳細に分析してクリプトマイニングの試みを特定するには、以下のキー フィールドと検索パ
ラメーターが役立ちます。
ruleType="AV", malwareclass="Virus", malwarecat="Ransomware", reason="Malware block:malicious ﬁle"クリプトマイニングに関する NSS Web ログの検索クエリ例

推奨される防止 / 軽減策
インシデント前：• アンチウイルスを最新の状態に保つ• オペレーティング システムとパッチを最新の状態に保つ• 完全に信頼できない提供元のソフトウェアをダウンロードまたはインストールしない
インシデント後：• 調査によって、感染経路を見つけ、他の資産が侵害されているかどうかを確認する• アンチウイルス スキャンを行う• バックアップ データやシステムをオフラインにして、直ちに安全を確保する• 法執行機関に連絡する©2021 Zscaler, Inc. All rights reserved.

42

ZSCALER SOCテクニカル ホワイトペーパー

インサイダー脅威

クリプトマイニングなど、企業のリソースを利用した悪意のあるアクティビティーを追跡します。

クリプトマイニング マルウェア
説明

クリプトマイニング マルウェアとは、ユーザーの明示的な許可なくコンピューターのリソースを乗っ取り、
暗号通貨のマイニングに使用するために開発されたマルウェア プログラムのことです。
Zscaler 検出エンジン

クリプトマイニングを検出するには、以下の Zscaler 検出エンジンが役立ちます。
• 高度な脅威対策 (IPS)• サンドボックス調査

Web 解析の使用

解析ログをフィルタリングしてクリプトマイニングの試みを特定するには、以下のキー フィールドと検索パ
ラメーターが役立ちます。
Policy Type="Advanced Threat Protection"
URL Category= “Crypto Mining & Blockchain”
クリプトマイニングに関する Web 解析の検索例

NSS Web ログの使用

NSS Web ログを詳細に分析してクリプトマイニングの試みを特定するには、以下のキー フィールドと検索パラメーターが役立ちます。
セキュリティ ログを詳細に分析するには、以下のパラメーターが役立ちます。

ruleType="AdvThreatProtection", urlCat="Cryptomining",
urlclass="Advanced Security Risk", reason="IPS block”©2021 Zscaler, Inc. All rights reserved.

43

ZSCALER SOCテクニカル ホワイトペーパー
クリプトマイニングに関する NSS Web ログの検索クエリ例

推奨される防止 / 軽減策
インシデント前：• 不審なアクティビティーがないかネットワークを監視する• クリプトマイニングの脅威をセキュリティ教育のトレーニングに取り入れる• Web ブラウザーにクリプトマイニング防止の拡張機能をインストールする
インシデント後：• 調査によって、感染経路を見つけ、他の資産が侵害されているかどうかを確認する• アンチウイルス スキャンを行う• マシンを再構築する

Advanced Cloud Sandboxによる脅威検出
未知のマルウェアの検出
説明

ほとんどのセキュリティ ソリューションは、何らかの形式のシグネチャーに依存して悪意のあるトラフィッ
クを検出しています。サンドボックスでは、動的分析を使用し、ファイルの動作を隔離された環境で監視することで、ゼロデイ脅威からユーザーを保護します。Zscaler Cloud Sandbox は、高度な動作分析テクノロ
ジーを使用して未知のマルウェアの脅威を発見し、ブロックします。Zscaler Cloud Sandbox は、ネット
ワークへの侵入前に脅威をブロックするインライン保護を提供するように設計されています。事前に定義したポリシーに基づき、悪意のあるファイルは瞬時にブロックされ、隔離またはフラグ付けされます。
Zscaler 検出エンジン

未知のマルウェアや潜在的なゼロデイ脅威のマルウェアを検出するには、以下の Zscaler 検出エンジンが役立ちます。
• サンドボックス調査

Web 解析の使用

解析ログをフィルタリングして、サンドボックスに送信された不明なファイルを特定するには、以下のキー
フィールドと検索パラメーターが役立ちます。
Policy Type="Sandbox"
Threat Category= “Sent for Analysis,” “Sandbox Adware,” “Sandbox Anonymizer,” “Sandbox Malware”©2021 Zscaler, Inc. All rights reserved.

44

ZSCALER SOCテクニカル ホワイトペーパー
サンドボックス マルウェアに関する Web 解析の検索例

NSS Web ログの使用

NSS Web ログを詳細に分析して、サンドボックスに送信された不明なファイルを特定するには、以下のキー
フィールドと検索パラメーターが役立ちます。
ruleType="BA"malwarecat="Sent for Analysis," “Sandbox Malware,” “Sandbox Adware,” Sandbox Anonymizer”
reason="Allowed - No Active Content,’ “Quarantined,” “Sandbox block inbound response: malicious ﬁle,”“Allowed and No Scan”

Advanced Cloud Sandbox と API ライセンスをお持ちの場合、SIEM のログから取得した MD5 パラメーターに基づいてサンドボックス詳細レポートを開くことができます。MD5 がログに含まれていない場合は、キーフィールド [bamd5] を NSS フィードに追加することで、Web ログから取得できます。Cloud Sandbox API を使用して、MD5 ハッシュの完全な詳細レポートを取得できます。このレポートを取得するための構文は、次のAPI リファレンスのリンクを参照してください。
https://help.zscaler.com/zia/api©2021 Zscaler, Inc. All rights reserved.

45

ZSCALER SOCテクニカル ホワイトペーパー
サンドボックスに送信された不明なファイルを探すための NSS Web ログの検索例

推奨される防止 / 軽減策
インシデント前：• パッチ管理を実装する• ホスト侵入防止システム (HIPS) を使用する• 重要なアプリケーションのみを使用する
インシデント後：• 調査する• 包含する – ホストレベルとネットワークレベル• 揮発性データを保存する©2021 Zscaler, Inc. All rights reserved.

46

ZSCALER SOCテクニカル ホワイトペーパー

付録 B – Zscaler とサードパーティーのセキュリティ インテリジェンスおよび自動化ツールとの統合

Zscaler のテクノロジー パートナー プログラムは、主要なテクノロジー ソリューションとの統合を合理化することにより、セキュリティとクラウド アジリティーの向上というお客様の目標達成を支援します。Zscalerは、以下のセキュリティ運用テクノロジー パートナーと統合し、情報の拡充と自動化により、効率的かつ効果的なリスクとコンプライアンスの管理を可能にします。

セキュリティ情報およびイベント管理(SIEM)と解析

NSS を使用することで、Zscaler のお客様は Web ログ データを SIEM システムに送信して、複数のソースか
らのログの関連付けを容易にすることができ、ネットワーク全体のトラフィック パターンを分析できるよ
うになります。さらに、SIEM の Web ログ データを活用して、長期的な履歴分析 (6 か月以上 ) を実施できます。
さらには、ローカル ログ アーカイブを法規制のコンプライアンスに利用することもできます。
Zscaler は多くの SIEM パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/siem-analytics• AT&T AlienVault - https://www.zscaler.jp/press/alienvault-and-zscaler-announce-partnership-providecustomers-increased-security-visibility-and-control• BT - https://www.zscaler.jp/resources/solution-briefs/partner-bt-assure.pdf• Exabeam• Expel• Gigamon - https://www.zscaler.jp/resources/solution-briefs/partner-gigamon-threat-insight.pdf• JASK• LogRhythm• IBM Security - https://www.zscaler.jp/resources/solution-briefs/partner-qradar.pdf• SecBI - https://www.zscaler.jp/resources/solution-briefs/partner-secbi.pdf• Splunk - https://www.zscaler.jp/resources/solution-briefs/partner-splunk.pdf• Sumo Logic - https://www.zscaler.jp/resources/solution-briefs/partner-sumo-logic.pdf• WitFoo - https://www.zscaler.jp/resources/solution-briefs/partner-witfoo.pdf

Security Orchestration, Automation and Response (SOAR)

Zscaler は主要な SOAR プラットフォームとの統合をサポートしており、SOC 部門による Zscaler を使用した
イベント検索、レピュテーション チェック、さまざまな侵害の阻止の適用と自動化を支援します。SOAR と
Zscaler のワークフローが合理化されることで、セキュリティ部門は更新されたポリシーをリアルタイムで適用し、ネットワーク内外のユーザーの保護を強化できます。

Zscaler は多くの SOAR パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/soar• D3Security - https://www.zscaler.jp/resources/solution-briefs/partner-d3security.pdf• Demisto - https://www.zscaler.jp/resources/solution-briefs/partner-demisto.pdf©2021 Zscaler, Inc. All rights reserved.

47

ZSCALER SOCテクニカル ホワイトペーパー• Exabeam• LogicHub - https://www.zscaler.jp/resources/solution-briefs/partner-logichub.pdf• SecBI - https://www.zscaler.jp/resources/solution-briefs/partner-secbi.pdf• Siemplify - https://www.zscaler.jp/resources/solution-briefs/partner-siemplify.pdf• Splunk Phantom - https://www.zscaler.jp/resources/solution-briefs/partner-splunk.pdf• Swimlane - https://www.zscaler.jp/resources/solution-briefs/partner-swimlane.pdf

脅威インテリジェンス プラットフォーム (TIP)

Zscaler ThreatLabZ の調査チームは、Zscaler クラウドで発生する 1 日あたり 1500 億件以上のトランザクショ
ンと 1 億件以上のブロックされた攻撃とともに、多数の主要な脅威インテリジェンス フィードを分析し、Zscaler のすべてのお客様の利益のために検出と製品の機能を更新し続けています。

さらに、Zscaler は主要な TIP と統合しているため、SOC 部門は Zscaler の導入環境内で重要な脅威への対応を用意に行うことができます。Zscalerはユーザー定義のIOCをTIPから自動で取得することで、リアルタイムのポリシー適用を可能にし、すべての支社とネットワーク内外のすべてのユーザーに対して、新たな脅威や標的型攻撃からの完全な保護を実現します。
Zscaler は以下の TIP パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/threat-intelligence-platform• Anomali - https://www.zscaler.jp/resources/solution-briefs/partner-anomali.pdf• Intsights - https://www.zscaler.jp/resources/solution-briefs/partner-intsights.pdf• Recorded Future - https://www.zscaler.jp/resources/solution-briefs/partner-recorded-futureintegration-deployment-guide.pdf• SecLytics - https://www.zscaler.jp/resources/solution-briefs/partner-seclytics.pdf

CASB

Zscaler クラウド セキュリティ プラットフォームは、ネットワーク内外のすべてのユーザーを保護するための完全なインライン CASB 機能を備え、粒度の細かいコントロールとともに、すべての入出力トラフィッ
クをリアルタイムで可視化できます。Zscaler は、SaaS アプリケーションに対する独自の帯域外の可視性および制御機能を提供するだけでなく、一部の CASB ベンダーと提携して、お客様がリスク評価を実行し、クラウド サービスとシャドー IT にアプリケーション制御を適用できるよう支援しています。
Zscaler は以下の CASB パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/cloud-access-security-broker• Bitglass - https://www.zscaler.jp/resources/solution-briefs/partner-bitglass-casb.pdf• Microsoft - https://www.zscaler.jp/resources/solution-briefs/partner-microsoft-cloud-app-security.pdf• McAfee - https://www.zscaler.jp/resources/solution-briefs/partner-mcafee-mvisiondeployment-guide.pdf• Proofpoint - https://www.zscaler.jp/resources/solution-briefs/proofpoint-deployment-guide.pdf©2021 Zscaler, Inc. All rights reserved.

48

ZSCALER SOCテクニカル ホワイトペーパー

ファイアウォール

企業はマルチベンダーのファイアウォール管理ツールを利用して、環境内のすべてのファイアウォールが一貫して企業ポリシーを実施し、リスクを管理できるようにしています。API を利用して主要なファイアウォー
ル管理パートナーを Zscaler と統合することで、ルールのレビューや変更の追跡が可能になり、コンプライア
ンス監査やアクセス分析に利用できるようになります。

Zscaler は以下のファイアウォール パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/ﬁrewall-policy-management• Firemon - https://www.zscaler.jp/resources/solution-briefs/partner-ﬁremon.pdf• Skybox Security - https://www.zscaler.jp/resources/solution-briefs/partner-skybox-security.pdf

エンドポイント (EDR)

Zscaler は、主要なエンドポイント保護プラットフォーム (EPP) やエンドポイント検出および応答 (EDR) ソ
リューションとの統合により、エンドポイントからクラウドへのセキュリティを実現します。これらの統合により、Zscaler はエンドポイントのセキュリティ ポスチャーを検証し、API 統合を介して感染したデバイスを隔離して脅威の水平移動を防ぐことで、企業資産への接続を制御できます。Zscaler は、EPP/EDR クラ
ウドから脅威のインテリジェンスを共有、受信し、エンドポイント レポートを企業のお客様に提供します。
Zscaler は以下のエンドポイント保護パートナーと連携し、シームレスな統合を実現しています。
https://www.zscaler.jp/partners/technology/endpoint-security• VMware Carbon Black• CrowdStrike• SentinelOne

Zscaler について
Zscaler (NASDAQ: ZS) は、より効率的で、俊敏性や回復性に優れたセキュアなデジタル トランスフォーメーションを加速しています。Zscaler
Zero Trust Exchange は、ユーザー、デバイス、アプリケーションをどこからでも安全に接続させることで、数多くのお客様をサイバー攻撃や情報漏洩から保護しています。世界 150 拠点以上のデータ センターに分散された SASE ベースの Zero Trust Exchange は、世界最大のインライン型クラウド セキュリティ プラットフォームです。詳細は、zscaler.jp をご覧いただくか、Twitter で @zscaler をフォローしてください。

Zscaler, Inc.

©2021 Zscaler, Inc. All rights reserved. Zscaler™、Zero Trust Exchange™、Zscaler Internet Access™、ZIA™、Zscaler Private Access™、および ZPA™は、米国および /または各国のZscaler, Inc.における (i) 登録商標またはサービスマーク、(ii) 商標またはサービスマークです。
その他の商標はすべて、それぞれの所有者に帰属します。V.030321

120 Holger Way
San Jose, CA 95134+1 408.533.0288
www.zscaler.jp