サポートされるIOCインジケータの用語

dnsentryitem/host

DNSホスト

dnsentryitem/recorddata/host

ホスト名

dnsentryitem/recorddata/ipv4address

DNSホストのIPv4アドレス

• FileItem

  データベースログでロードされたモジュールを検索するには、Historical Records IOCのFileItemインジケータを使用します。

  システムスナップショットでロードされたモジュールを検索するには、System Process IOCのFileItemインジケータを使用します。実行中のプロセスやWindowsサービスには、FileItemインジケータは使用しないでください。

  システムスナップショットでロードされたモジュールを検索するには、Disk Scanning IOCのFileItemインジケータを使用します。Trend Micro Endpoint Sensorでは、Disk Scanning IOCに対して、少なくとも1つのfileitem/filepathまたはfileitem/fullpathインジケータが必要です。

  システム上のファイルアクセス (ドロップ/オープン) 動作を監視するには、Monitoring IOCのFileItemインジケータを使用します。

fileitem/accessed

ファイルが最後にアクセスされたときのタイムスタンプ

例:2000-04-12T09:14:38Z

fileitem/created

ファイルが作成されたときのタイムスタンプ

例:2000-04-12T09:14:38Z

fileitem/fileextension

ファイル拡張子名

例:exe

fileitem/filename

不審ファイル名

fileitem/filepath

ファイル名のない対象のランディングフォルダ

Disk Scanning IOCの場合、サブフォルダを再帰的に検索するには、パスの後にアスタリスク (*) を追加します。

例:C:\Windows\System32\*

Disk Scanning IOCでは、少なくとも1つのfilepathまたはfullpathインジケータが必要です。

fileitem/fullpath

ファイル名を含む対象の完全なランディングフォルダ

例:C:\Windows\System32\WinSync.dll

Disk Scanning IOCでは、少なくとも1つのfilepathまたはfullpathインジケータが必要です。

fileitem/md5sum

不審ファイルのMD5ハッシュ値 (16進数形式)

fileitem/modified

ファイルが最後に変更されたときのタイムスタンプ

例:2000-04-12T09:14:38Z

fileitem/peinfo/digitalsignature/certificateissuer

ファイルのデジタル証明書発行元セクション内のキーワード

fileitem/peinfo/digitalsignature/certificatesubject

ファイルのデジタル証明書サブジェクトセクション内のキーワード

fileitem/sha1sum

不審ファイルのSHA-1ハッシュ値 (16進数形式)

fileitem/sizeInbytes

ファイルのサイズまたはファイルサイズの範囲 (バイト単位)

例:101000 TO 120000

fileitem/username

ファイルを作成したアカウント名

fileitem/devicepath

ファイルのデバイスパス

fileitem/drive

ファイルのドライブ

• Network

  データベースログでDNSレコードを検索するには、Historical Records IOCのNetworkインジケータを使用します。

network/dns

ネットワークアプライアンスから取得されたDNSレコード

• PortItem

  データベースログのネットワーク関連のクエリまたは実行中のプロセスの検索には、Historical Records IOCのPortItemインジケータを使用します。

  システム上のネットワーク関連の動作を監視するには、Monitoring IOCのPortItemインジケータを使用します。

portitem/creationtime

接続が確立されたときのタイムスタンプ

例:2000-04-12T09:14:38Z

portitem/localip

バインドしているローカルIPアドレス

portitem/localport

バインドしているローカルポート

portitem/process

特定のポートにバインドしているプロセス名

portitem/remoteip

接続されているリモートIPアドレス

portitem/remoteport

接続されているリモートポート

• ProcessItem

  データベースログのネットワーク関連のクエリについては、Historical Records IOCのProcessItemインジケータを使用します。

  システムスナップショットで実行中のプロセスを検索するには、System Process IOCのProcessItemインジケータを使用します。実行中のプロセスやWindowsサービスには、FileItemインジケータは使用しないでください。

  システム上のプロセスのアクティビティを監視するには、Monitoring IOCのProcessItemインジケータを使用します。

processitem/handlelist/handle/name

ハンドル名またはハンドルへのパス

processitem/handlelist/handle/type

Windowsのハンドルの種類

processitem/name

特定のプロセス名により作成された接続

processitem/path

プロセスの実行可能ファイルへのファイルパス

processitem/pid

WindowsプロセスのID番号

processitem/portlist/portitem/creationtime

プロセスが作成されたときのタイムスタンプ

例:2000-04-12T09:14:38Z

processitem/portlist/portitem/localip

接続されているローカルIPアドレス

processitem/portlist/portitem/remoteip

接続されているリモートIPアドレス

processitem/sectionlist/memorysection/digitalsignature/certificateissuer

プロセスの証明書発行元セクション内のキーワード

processitem/sectionlist/memorysection/digitalsignature/certificatesubject

プロセスの証明書サブジェクトセクション内のキーワード

processitem/sectionlist/memorysection/sha1sum

プロセスまたはファイルに関連付けられたSHA-1ハッシュ値 (16進数形式)

processitem/sectionlist/memorysection/md5sum

不審プロセスのMD5ハッシュ値 (16進数形式)

processitem/username

プロセス所有者のアカウント

• RegistryItem

  システムスナップショットのWindowsレジストリ関連のクエリについては、Historical RecordsおよびSystem Process IOCのRegistryItemインジケータを使用します。

  システム上の自動実行プロセスに関連したレジストリの変更を監視するには、Monitoring IOCのRegistryItemインジケータを使用します。

registryitem/keypath

完全なレジストリパス

例:

HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Notepad\DefaultFonts

registryitem/path

レジストリパス内のキーワード

registryitem/value

レジストリデータ内のキーワード

registryitem/valuename

レジストリエントリの名前

• ServiceItem

  システムスナップショットでアクティブなWindowsサービスを検索するには、System Process IOCのServiceItemインジケータを使用します。実行中のプロセスやWindowsサービスには、FileItemインジケータは使用しないでください。

serviceitem/description

サービスの説明内のキーワード

serviceitem/descriptivename

わかりやすい完全なWindowsサービスの名前

serviceitem/name

レジストリに保存されたWindowsサービスの短い名前

serviceitem/servicedllcertificateissuer

サービスDLLの証明書発行元セクション内のキーワード

serviceitem/servicedllcertificatesubject

サービスDLLの証明書サブジェクトセクション内のキーワード

serviceitem/servicedllmd5sum

不審サービスのMD5ハッシュ値 (16進数形式)

serviceitem/startedas

サービスを開始したユーザアカウント

serviceitem/status

サービスのステータス:

• active

• inactive

serviceitem/type

Windowsサービスの種類

• UserItem

  データベースログでユーザアカウントを検索するには、Historical Records IOCのUserItemインジケータを使用します。

useritem/disabled

無効にされたユーザ

useritem/fullname

ドメインおよびユーザアカウントの名前

例:user@domain.com

useritem/grouplist/groupname

グループ名

useritem/lastlogin

最新の既知のアクセス

例:2000-04-12T09:14:38Z

useritem/username

ユーザアカウント名