ネットワークメタデータフィールドと定義

このページでは、Vectra AI で使用されるネットワークセキュリティメタデータフィールドの体系的なリファレンスを提供します。ここでは、共通スキーマ属性、セッション層の接続性フィールド、プロトコル固有のテレメトリ（DNS、HTTP、SMB、LDAPなど）、認証メタデータ（Kerberos、NTLM、RADIUS）、検出層のマッチ属性、および暗号化通信のフィンガープリント（SSL/TLS、SSH、X.509）について定義しています。 これらの正規化されたメタデータストリームにより、フルパケットキャプチャを必要とせずに、振る舞い 、クロスドメインの相関分析、および暗号化トラフィックの可視化が可能になります。これらが一体となって、ハイブリッドなエンタープライズ環境全体におけるスケーラブルなネットワーク可観測性とセキュリティ調査の基盤を形成します。

これらの正規化されたメタデータストリームは、フルパケットキャプチャを必要とせずに、振る舞い 、ドメイン横断的な相関分析、および暗号化トラフィックの可視化を可能にすることで、脅威ハンティング、メタデータの充実化、およびメタデータフォレンジックを支援します。これらが一体となって、ハイブリッドな企業環境全体におけるスケーラブルなネットワークの可観測性と調査の基盤を形成します。

すべてのテレメトリ・ストリームに共通するネットワーク・メタデータ・フィールド（DHCPを除く）

これらのフィールドは、ほぼすべてのメタデータストリームに含まれており、メタデータタイプ間で共通して使用される接続スキーマを定義します。これらは、発信元および応答元の識別子、ポート、ホスト名、ロケーションフラグ、センサー情報、タイムスタンプ、および安定した接続UIDを記録します。

これらのフィールドを基本の結合キーとして扱います。これらは、プロトコル、認証、および検知の記録を同じセッションやエンティティに紐づけることで、メタデータ強化ワークフローの基盤となります。脅威ハンティングやメタデータフォレンジックにおいて、この一貫性により、テレメトリ層をまたいだ信頼性の高いピボッティングが可能になります。

以下に示すプロトコル・テーブルの多くは、この共通のコンテキストを継承しつつ、このスキーマを拡張しています。これにより、ネットワーク・メタデータ・ストリーム全体にわたって、帰属情報の整合性とセッションの継続性が維持されます。

ビーコンのメタデータフィールドと振る舞い パターン

ビーコンのメタデータは、複数のセッションにわたる送信元と受信先間の反復的な通信を記述するものです。以下のフィールドには、ビーコン識別子、時間的境界、セッション数、方向ごとのバイト数、プロトコル／サービスコンテキスト、およびパターンを要約するために使用されるクライアントのフィンガープリントが記録されます。

ビーコン分析は、コマンド＆コントロールへのコールバック、自動化ループ、および持続的な外部通信を特定するために、脅威ハンティングで頻繁に利用されます。アナリストはパケットを検査するのではなく、周期性や一貫性を示すメタデータの種類を頼りにしています。

これらのフィールドを使用して、継続時間、頻度、および方向別のトラフィック量を評価します。その後、メタデータフォレンジックにおいてより詳細な振る舞い 把握するために、DNS、HTTP、またはSSL/TLSのメタデータに焦点を移します。

ネットワーク上の異常検知の背後にある「原因」を探し回るのをやめましょう

ビーコン送信は、単なる1つの振る舞い に過ぎません。不審なネットワークメタデータがトリガーされた場合でも、アナリストは、どのエンドポイントプロセスやIDがそれを引き起こしたのかを理解する必要があります。その関連性がなければ、調査は行き詰まってしまいます。

エンドポイントとプロセスの相関関係を参照

DCE-RPC メタデータフィールドとリモートプロシージャコール属性

DCE-RPCメタデータは、Windowsの管理やサービスとのやり取りに一般的に見られるリモートプロシージャコール（RPC）の動作を記録します。これらのフィールドには、ドメインコンテキスト、エンドポイントの解決、呼び出された操作、ユーザー名の属性、およびリクエスト／レスポンスのタイミングが記録されます。

脅威ハンティングにおいて、DCE-RPCメタデータは、エンドポイントのログを必要とせずに、異常なリモート実行シーケンスや特権使用パターンを特定するのに役立ちます。

メタデータフォレンジックを行う際、操作名やユーザー名／ホストのコンテキストを用いて、日常的な管理業務と横方向の移動活動を区別する。

DHCPメタデータフィールドとネットワーク設定属性

DHCPメタデータは、デバイスをネットワークに接続するための動的なアドレス割り当ておよび設定情報を記録します。これらのメタデータは、割り当てられたIPアドレスをMACアドレスやホスト名に関連付けるとともに、リース期間やDHCP/DNSサーバーの情報を記録します。

IPアドレスの変更は調査を複雑にするため、DHCPレコードは、帰属情報の連続性を維持するために不可欠なメタデータの充実化をもたらします。

IPアドレスが変更された場合でも調査を安定させるためにDHCPフィールドを活用し、一時的なアドレスではなくデバイスレベルの属性に基づいて識別情報を固定する。

DNSメタデータフィールドとクエリ応答属性

DNSメタデータは、クエリの意図、再帰処理、応答コード、切り捨てフラグ、TTL値、レコード数など、ドメイン解決の挙動を表します。

DNSネットワークのメタデータは、ペイロードの検査を行わなくても、中継インフラ、ドメインの頻繁な変更、偵察活動、および失敗したコールバックの試みを明らかにするため、脅威ハンティングにおいて極めて重要です。

DNSメタデータにより、以下の情報を把握できます：

• どのドメインが検索され、誰が検索したのか
  
• 再帰が要求されたか、あるいは利用可能だったか
  
• 権威ある回答がどのように返されたか
  
• どのようなレスポンスコードとTTL値が確認されたか

DNSメタデータのフォレンジック分析を用いて、意図や結果、クエリの内容、返された結果、および解決の成否を解釈し、その後、TLSまたはHTTPメタデータへと分析の範囲を広げていく。

HTTPメタデータフィールドとWebセッション属性

HTTPメタデータは、ペイロード全体を保存することなく、Web層の動作を要約したものです。これらのフィールドには、ヘッダーから導き出されたコンテキスト、メソッド、URI、プロキシ転送の指標、フィンガープリント属性、および方向性のあるバイト／パケットのメトリクスが含まれます。

ネットワークメタデータの調査において、HTTPフィールドは、不審なファイル転送、スクリプトによるコールバック、異常なヘッダー構造など、脅威ハンティングのためのアプリケーション層のコンテキストを提供します。

HTTPメタデータを使用してWeb上の行動を再構築し、DNSおよびTLSメタデータと照合することで、宛先の身元と暗号化の特性を確認します。

iSessionの接続メタデータおよびセッションレベルのネットワーク属性

iSessionメタデータは、プロトコル間で共通して使用される正規化されたセッションモデルを定義します。これには、接続状態、方向性の信頼度、タイミングマーカー、フィンガープリントのバリエーション、VLANコンテキスト、および方向ごとのバイト数／パケット数が含まれます。

このセッション層の抽象化により、プロトコルに関係なくネットワークメタデータの表現方法を標準化することで、スケーラブルなメタデータの充実化が可能になります。

脅威ハンティングにおいては、iSessionを中核的な軸として位置づけてください。これにより、プロトコル、認証、および検出メタデータの種類を問わず、安定したセッションの継続性が確保されます。

接続状態の値とTCPセッションのライフサイクル指標

接続状態の値は、セッションが「進行中」、「確立済み」、「拒否」、「リセット」、「ハーフオープン」、または「未完了」のいずれの状態にあるかを表します。これらの指標は、スキャン、プローブ、通信の不安定、またはセッションの中断などを明らかにする振る舞い の種類です。

メタデータフォレンジックを行う際には、ライフサイクル状態をタイミングやボリュームのフィールドと組み合わせて使用し、偵察パターンの優先順位付けを行う。

Kerberosのメタデータフィールドと認証チケットの属性

Kerberosのメタデータには、チケットの発行、認証タイプ、権限スコアリング、暗号化方式のネゴシエーション、および成功／エラーの状態が記録されます。これらのアイデンティティ層のメタデータは、認証情報の悪用や権限の昇格を検知するために不可欠です。

Kerberosメタデータにより、以下の情報を把握できます：

• アカウントおよびサービスの権限レベル（低、中、高）
  
• チケットのリクエストおよび応答の種類（AS、TGT）
  
• 暗号方式の使用とネゴシエーション
  
• 認証の成功およびエラー条件

権限カテゴリとリクエストタイプを活用して、影響の大きいアカウントやサービスに脅威ハンティングの焦点を絞り、その後、検証のためにLDAPやセッションテレメトリに分析を切り替えます。

LDAPメタデータフィールドとディレクトリクエリ属性

LDAPメタデータは、クエリの範囲、属性の選択、結果の数、エラー状態など、ディレクトリ検索およびバインドの動作を要約したものです。

ディレクトリのメタデータフォレンジックは、認証悪用につながる列挙攻撃を特定するのに特に有用です。

脅威ハンティングのワークフローにおいて、結果の量やエラーのパターンを活用し、日常的な検索と大規模な発見を区別する。

Match フィールドとアラートシグネチャの属性をMatch

Match 、生のテレメトリデータではなく、評価済みの検知結果を表します。これらのメタデータタイプは、シグネチャの識別情報、深刻度、リビジョン状態、展開範囲、およびパケットのコンテキストを記述します。

このレイヤーは、検出ロジックによってネットワークメタデータがどのように解釈されたかを反映しています。

検出がトリガーされた理由を把握するためにマッチのメタデータを活用し、その後、根本的なプロトコルおよびセッションのメタデータに戻って、状況を完全に再構築します。

NTLM メタデータフィールドと認証応答属性

NTLMメタデータには、ホスト、ドメイン、ユーザー名、ステータスコード、成功状態など、認証の試行と結果が記録されます。

NTLMが有効な環境では、これらのメタデータの種類は、フォールバック認証の悪用を特定する上で重要です。

繰り返される失敗や異常な成功パターンを脅威ハンティングのシグナルとして活用し、SMBやRDPのメタデータとの相関分析を行う。

RDP メタデータフィールドとリモートデスクトップ セッション属性

RDPメタデータには、クライアントの識別情報、バージョン、表示設定、暗号化フラグなど、対話型リモートセッションの属性が記録されます。

これらのメタデータタイプにより、コンテンツを復号することなく、管理者のアクセスパターンを調査することができます。

メタデータフォレンジック調査において、リモートアクセスの標準的なパターンを把握し、逸脱を特定する。

RADIUSメタデータフィールドおよび認証アカウンティング属性

RADIUSメタデータレコードには、セッション識別子、セッション時間、パケット/バイトカウンター、アドレス情報、ポリシーマーカーなど、アクセス制御、認証、およびアカウンティングに関する情報が記録されます。

これらのネットワークメタデータタイプは、VPN、NAC、またはワイヤレスシステムを経由したリモートアクセスの経路を追跡するのに役立ちます。

SMB または RDP アクティビティの分析に移る前に、会計および NAS のコンテキストフィールドを使用して、アクセス範囲と期間を検証します。

拡張RADIUSメタデータフィールドおよびネットワークアクセス制御属性

拡張されたRADIUSメタデータには、デバイスおよび適用に関するコンテキストが追加されます。具体的には、NAS識別子とポート、セッションおよびアイドルタイムアウト、トンネルエンドポイント、外部ソースの指標、応答タイミング、および機密フィールド（パスワードなど）が記録されたかどうかの情報です。これらのフィールドは、アクセス決定がどのように実施されたかを解釈するのに役立ちます。

NASおよびトンネルコンテキストを活用することで、アクセスが許可された場所、要求されたサービス、およびその継続時間を特定できます。これは、リモートアクセス経路を追跡して内部のSMB/RDPアクティビティを調査する際に特に有用です。

SMBファイルのメタデータフィールドとファイル操作属性

SMBファイルのメタデータには、作成、名前の変更、閉じた際の削除動作、パスコンテキスト、SMBバージョン、およびユーザー属性など、ファイルレベルの操作情報が記録されます。

これらのメタデータの種類は、ランサムウェアやラテラル・ムーブメントの調査において極めて重要です。

ファイル操作やファイル名の変更パターンを活用し、脅威ハンティング中に破壊的な動作を特定する。

SMBマッピングのメタデータフィールドと共有接続属性

SMBマッピングのメタデータは、ファイル操作が行われる前に、ツリー構造の接続関係と共有へのアクセス権限を捕捉します。

このレイヤーは、ユーザーのIDと共有アクセス環境を関連付けることで、メタデータの充実化を実現します。

ファイルレベルの操作を分析する前に、マッピングイベントを使用してアクセス履歴を特定してください。

SMTPメタデータフィールドとメールヘッダー属性

SMTPメタデータは、SPF、DKIM、DMARC、TLSの使用状況、送信元IPアドレスなどのメールヘッダー属性や認証結果を収集します。メール関連のネットワークメタデータは、以下の脅威の検知を支援します フィッシング インフラやなりすまし送信者の行動に対する脅威ハンティングを支援します。

認証結果とリレーチェーンのメタデータを用いて、送信者の正当性をフォレンジック検証する。

SSHメタデータフィールドと暗号化セッションのネゴシエーション属性

SSHメタデータには、クライアント／サーバーのバージョン、鍵交換、暗号化方式の選択、MACアルゴリズム、フィンガープリントハッシュなどのネゴシエーションの詳細が記録されます。これらのメタデータは、異常な管理ツールの使用や、不正なリモートシェル操作の特定に役立ちます。

アルゴリズムとフィンガープリントのフィールドを使用して、想定される管理ツールの基準値を確立し、異常なクライアントやネゴシエーションパターンを特定した後、セッションの接続状況に焦点を移し、同じSSHセッションの継続時間、通信方向、通信量を把握します。

SSL/TLS メタデータフィールドと暗号化セッション属性

SSL/TLSメタデータは、暗号化セッションにおけるハンドシェイクのネゴシエーションおよび証明書交換の特性を記録します。以下のフィールドには、プロトコルバージョン、選択された暗号スイート、曲線パラメータ、クライアント／サーバー拡張機能、発行者／サブジェクト識別子、SNI、JA3／JA4フィンガープリント、および接続状態が含まれます。

TLSフィンガープリントおよびSNI/証明書コンテキストを使用してクライアント／サーバーの実装と宛先の実体を特定し、その後X.509に移行して証明書のプロパティやSANの適用範囲を検査し、より詳細な信頼性分析を行う。

X.509証明書のメタデータフィールドとデジタル証明書の属性

X.509メタデータは、証明書の識別情報および信頼性に関する特性（サブジェクト／発行者の構成、有効期間、SAN値、鍵長、署名アルゴリズム、JA4Xフィンガープリントなど）を記録します。これらのメタデータタイプは、証明書ベースのメタデータフォレンジックや、不審なインフラストラクチャの検出を支援します。

X.509属性を使用して信頼状態を評価し、パターンを再利用した後、TLSおよびDNSのメタデータと照合することで、調査の連鎖を完結させる。