IBM Support

QRadar EDR (旧 ReaQta): DLL hijacking(ハイジャック)ポリシーがトリガーされる時にアラートが生成されない事象について

Question & Answer


Question

 DLL hijacking ポリシーの動作がトリガーされたと思われる時に、アラートが生成されない、または通知されないのはなぜでしょうか？
また、アラートを発生させるにはどうしたらよいでしょうか？

Cause

 Hive の 3.7 以降、DLL hijacking が「イベント」として分類されるようになったため、アラートが生成されません。

Answer

 DLL hijacking ポリシーに反した時にアラートが発生しないのは、この特定のポリシーのトリガーがイベント・レベルに降格されている事が原因である可能性があります。そのため、DLL hijacking の保護は既存のポリシーとして含まれていますが、今後のアップデートで変更される予定です。

 DLL hijacking のイベントをアラートとしてトリガーさせる必要がある場合は、特定の検出ストラテジーを策定する必要があります。ターゲットを絞った DeStra を構築することで DLL hijacking のイベントが記録された時にアラートを生成します。

また、検知した DLL hijacking のイベントから「 Create Alert 」の機能を使用して、DLL hijacking のイベントをアラートのように変換することができます。この機能を使用することで、類似した動作が起こるたびにトリガーされるプロアクティブなアラートを作成することができます。

本文書は、米国 IBM 社の資料を翻訳した参考文書です。翻訳元の文書は、Related Information の翻訳元 (英語) リンクよりご参照ください。

[{"Type":"MASTER","Line of Business":{"code":"LOB24","label":"Security Software"},"Business Unit":{"code":"BU059","label":"IBM Software w\/o TPS"},"Product":{"code":"SSVOEH","label":"IBM Security ReaQta"},"ARM Category":[{"code":"a8m3p000000hBSFAA2","label":"Administrative Tasks-\u003EDashboards"}],"ARM Case Number":"","Platform":[{"code":"PF025","label":"Platform Independent"}],"Version":"All Versions"}]

Product Synonym

ReaQta

Document Information

Modified date:
18 May 2023

UID

ibm16991825

Page Feedback