検知と調査

検知、相関、調査、対応：SOCがすべてのシグナルで行うこと

すべてのソースのアラートが、ひとつのリストに集まり、LuxGapのAIが仕分けして説明します。同じ攻撃を物語るアラートは、まとめて1件の調査レポートになります。侵害されたMicrosoft 365アカウントは、アナリストの判断により数分で遮断できます。

すべてのスクリーンショットは、デモ用のお客様環境におけるLuxGap SOCコンソールのものです。Nordlux Manufacturing社とそのデータは架空です。

インシデントとアラート

お客様の環境で起きることすべてをひとつのリストに。AIが仕分けして説明します

Microsoft 365、Google Workspace、ウイルス対策とEDR、サーバー、ネットワーク、脆弱性、ダークウェブ、Webサイト、バックアップ。すべてのアラートが同じリストに届きます。重大度「中」以上のアラートは、LuxGapのAIが「実際のリスク」か「ノイズ」かに分類し、対応手順つきの説明をフランス語で作成します。

アラート詳細パネル：証拠、接続元アドレスの位置情報（国、ホスティング事業者、VPNまたはTor）、AIの分析、実行可能なアクション
ノイズは自動的にアーカイブされます。AIモデルがエラーを起こしても、何かがアーカイブされることはありません
相関分析：同じアドレスからの5回の失敗とその後の成功したサインインは、1件の緊急アラートにまとめられます
お客様の管理者は、アラートを担当として引き受けるか、誤検知として分類できます。最終的なクローズはSOCが行います

事例 — デモ用のお客様

今朝、ITインターンの漏えいしたパスワードが、4日前に役員のアカウントを乗っ取ったのと同じアドレスから試されました。MFAがサインインを阻止し、AIはアラートを「実際のリスク」に分類して最初の侵入と関連づけます。アカウントの無効化は、アナリストの承認待ちです。

導入方法：標準搭載です。アラートは接続済みのソースから届き、1時間ごとに同期されます。

LuxGap SOCコンソール：緊急アラートの詳細パネル。AIの分析と推奨アクションを表示 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

LuxGap SOCコンソール：全ソースのインシデントとアラートの一覧 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

AI調査

同じ攻撃を示すアラートをまとめ、ひとつの経緯として説明します

SOCは10分ごとに、同じお客様のアラートのうち、72時間以内にアカウント、IPアドレス、デバイス、ドメイン、ファイルのいずれかを共有するものを関連づけます。LuxGapのAIが証拠一式を読み込み、インシデントの経緯を作成します。何が起きたか、どの順序で、どの深刻度で、そして何をすべきかです。

タイムライン、関係するアカウント・アドレス・デバイスのグラフ、MITRE ATT&CKの攻撃テクニック
AIは調査の深刻度を引き上げることはできますが、下げることはありません
データはLuxGapの外に出ません。これらの調査は、外部のAIプロバイダーを一切経由しません
アナリストなしでは何も実行されません。提案されたアクションは「インシデント対応」モジュールに送られ、そこで承認または却下されます
アナリスト検索：メールアドレス、ドメイン、IPアドレス、CVEを、SOCがすでに保存しているすべての情報（漏えい、類似ドメイン、外部公開資産、ランサムウェア、脅威ハンティング、脅威情報）から一度に検索します。SOCの外へ送られるリクエストは一切なく、検索語は保存されません

事例 — デモ用のお客様

4日間に分散した6件のアラート（パスワードスプレー、MFAなしのIMAPサインイン、メールを転送するルール、侵害済みとして報告されたアカウント、ナイジェリアからの管理者のサインイン、今朝試された漏えいパスワード）が、1件の緊急の調査にまとめられます。調査のタイトルは「漏えいしたパスワードでJean Thillのアカウントが乗っ取られ、攻撃者は現在、他のアカウントを狙っている」です。

導入方法：標準搭載で、有効化は不要です。調査はLuxGapのアナリストが使うツールで、お客様には結論と実施すべきアクションをお届けします。

LuxGap SOCコンソール：LuxGapのAIが作成した、緊急調査の経緯 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

LuxGap SOCコンソール：調査のタイムラインと、関係するエンティティのグラフ — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

インシデント対応

侵害されたMicrosoft 365アカウントを、数時間ではなく数分で遮断

アカウントが乗っ取られたとき、SOCはセッションの切断、アカウントの無効化、そしてパスワード変更後の再有効化を行えます。検知がアクションを提案し、アナリストが承認し、別個のサービスがすべてのセキュリティルールを再確認したうえで実行します。

お客様の署名済みの委任状と、3つの権限に限定された専用アプリケーションへの同意がなければ、何も実行されません
管理者アカウント、オンプレミスのディレクトリから同期されたアカウント、お客様が保護対象に指定したアカウントには、決して実行しません
すべてのアクションはログに記録され、メールでお知らせします
お客様の管理者は、委任状、同意、アクションの履歴をコンソールで確認できます

事例 — デモ用のお客様

Jean Thillのセッションは切断され、侵入から32分後にアカウントが無効化されます。翌日、パスワード変更後に再有効化されます。Tom Kremerの管理者アカウントに対する遮断の要求は、ガードによって拒否されます。このアカウントはCISOと協議して対処します。

導入方法：Microsoft 365コネクター、契約書に添付する対応の委任状、そしてお客様のグローバル管理者による「LuxGap SOC — 対応」アプリケーションへの同意。

LuxGap SOCコンソール：承認済み、実行済み、却下された対応アクションの履歴 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

LuxGap SOCコンソール：インシデント対応モジュールの委任状、同意、ポリシー、保護対象のアカウント — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

アカウント行動分析

正規の認証情報でサインインする攻撃者を見つける

盗まれたパスワードでは、どのルールも作動しません。そこでSOCは、各アカウントの普段の行動（国、通信事業者、デバイス、サインイン方法、時間帯、量、機密性の高い操作）を学習し、1時間ごとのアクティビティを採点します。そのアカウントにとって起こりにくいほど、評価は重くなります。

アカウントの学習には14日かかります。攻撃者自身が普段の行動として学習されないよう、習慣として採用されるのは3つの異なる日に確認された後のみです
非常に珍しい時間帯のアクティビティはアラートになります。お客様ごとに1日最大5件です
正当な出張は「これは正常です」とマークすれば、以後はアラートになりません
ソース：Microsoft Entra IDのサインインログと監査ログ、Google Workspaceのアクティビティ

事例 — デモ用のお客様

Jean Thillが深夜にナイジェリアから行ったIMAPサインインは、これまで見られなかった国、通信事業者、プロトコルが重なっているため、その時間帯が警告されます。一方、DPOのリスボン出張は「これは正常です」とマークされています。

導入方法：初期状態ではオフです。DPOが承認した影響評価と従業員への通知（ルクセンブルク労働法典第L.261-1条）の後、LuxGapが有効化します。

LuxGap SOCコンソール：追跡対象のアカウント、学習状況、アカウントごとの異常な時間帯 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

生ログ

すべてのログを保管し、インシデント中に検索できる状態に

クラウドサービス、ファイアウォール、サーバー、アプリケーションのログは、お客様の組織専用のインデックスに収集されます。インシデント対応中、アナリストはすべてのソースを同時に検索し、アカウント、アドレス、デバイスのタイムラインを再構成します。

保存期間は30日、60日、90日、180日、365日から選択でき、日単位で正確に適用されます
全ソースを対象に、1時間分から90日分まで検索でき、CSVでエクスポートできます
イベント前後の1時間、6時間、24時間、72時間のタイムライン。証拠として使えるよう、SHA-256ハッシュ付きでエクスポートできます
18の検知ルールを5分ごとに実行（うち6件はネットワークセンサー用、4件はメール受信レポート用）：パスワードスプレー、アカウント侵害、権限昇格、公開共有、レガシー認証、漏えいしたパスワードの再利用
6時間以上ログが届かないソースはアラートになります。すべての検索はログに記録されます

事例 — デモ用のお客様

9種類のソースを収集します。Entra IDのサインイン・監査・リスク検出、Defenderのアラート、Sophosのイベントとアラート、サーバーのログ、コンソール内のアクティビティです。

導入方法：お客様のサービスへのコネクター。ネットワークとサーバーのログには、お客様の環境に設置するログ収集用マシンが必要で、SOCとはアウトバウンドの暗号化トンネルで接続します。

LuxGap SOCコンソール：収集している生ログのソースとその状態 — デモ用のお客様環境で、データは架空です。スクリーンショットをクリックすると拡大します。

その他

このカテゴリーのその他のモジュール

脅威情報とスレットハンティング

脅威が公開されたら、すでに影響を受けていないかをSOCが確認します

ルクセンブルクのインシデント対応センターであるCIRCLが公開する侵害指標（IoC）は、6時間ごとに取り込まれ、過去90日分のお客様のログから検索され、その後は継続的に検索されます。CERT-FR、CISA、Microsoft、ESETの勧告も集約し、フランス語で要約します。

お客様ごとの判定：影響あり、対象期間内は影響なし、または確認不能（理由つき）
一致したものは、お客様に通知される前にアナリストが精査します
毎日のブリーフ。ベンダーと製品ごとに、影響を受けるお客様を特定

事例

あるフィードがC2サーバーのアドレスを公開すると、ハンティングが先月のお客様の接続からそれを見つけ出し、アナリストが確認したうえでお知らせします。

導入方法：生ログが収集されていれば標準搭載です。

メール受信レポート

誰も最後まで読まないレポートを、代わりに読みます

ファイアウォール、ウイルス対策、バックアップ、監視ツール。お使いのツールは、レポートをメールで送ってきます。それを専用のメールボックスに転送していただくと、SOCが本文と添付ファイル（PDF、CSV、Excel、HTML）を読み取ってログに取り込み、重要なものだけを抽出します。

4つのルール：エラーの報告、ブロック行数の急増、SOCが脆弱または露出していると把握している対象、レポートを送らなくなったツール
お客様が許可した送信者のレポートだけを読み取ります
LuxGapのAIによるオンデマンドの要約。外部のプロバイダーは使いません

事例

ファイアウォールは毎晩レポートを送ってきます。ブロックされた行数が3倍になった日にはアラートが上がり、レポートが届かなくなった日にもアラートが上がります。

導入方法：LuxGapと共に実施：レポート用メールボックスの作成と、許可する送信者の一覧づくり。

これらのモジュールを、お客様ご自身の監視範囲で

監視したいものをお知らせください。24時間以内の確定見積もり、年間契約、100%保証の監視範囲をご用意します。

接続を申し込む料金を見る

現在インシデントが発生していますか？+352 621 583 116 までお電話ください。