脅威インテリジェンスのフィールド

脅威インテリジェンス検出は、クライアント IP アドレスが脅威インテリジェンスデータベースにある場合に、次のフィールドを設定します。IP アドレスが見つからない場合、フィールドは空です。

フィールドはすべて配列です。値の一致には、any() 関数と [*] ワイルドカードを使います。

フィールド	説明
脅威インテリジェンスデータセット `cf.intel.ip.datasets` `Array<String>`	その IP アドレスを検出したデータセットです。値: `ddos`、`waf`。
標的業種 `cf.intel.ip.target_industries` `Array<String>`	この IP アドレスが標的にした業種です。有効な値は標的業種を参照してください。
攻撃者名 `cf.intel.ip.attacker_names` `Array<String>`	この IP アドレスに関連する脅威アクター名です（例: `CONVOLUTEDKRILL`）。
攻撃者の国 `cf.intel.ip.attacker_countries` `Array<String>`	脅威活動の発生国です。ISO 3166-1 Alpha 2 ↗ コードで表します。
標的国 `cf.intel.ip.target_countries` `Array<String>`	この IP アドレスが標的にした国です。ISO 3166-1 Alpha 2 ↗ コードで表します。

大文字と小文字の区別

値は大文字と小文字を区別します。例と同じ表記を使います。ddos（小文字）、FR（国コードは大文字）、Banking & Financial Services（タイトルケース）、BLACKBASTA（攻撃者名は大文字）。

自分のトラフィックで有効な値を確認するには、Threat Events ダッシュボードを使います。

各フィールドは、過去 7 日間のその IP アドレスに対するすべての脅威活動を、フィールドごとに 1 つの値セットへ平坦化したものです。

あるフィールドの値と、別のフィールドの値が、同じ脅威イベント由来である必要はありません。たとえば、次の式は、その IP に中国起点の活動が いずれか あり、かつ銀行業を標的にした活動が いずれか あれば一致します。別々のイベントでも構いません。

any(cf.intel.ip.attacker_countries[*] == "CN") and any(cf.intel.ip.target_industries[*] == "Banking & Financial Services")

次元をまたいでフィールドを組み合わせると、想定より広く一致することがあります。組み合わせルールは、まず Log アクションで検証してください。

cf.intel.ip.target_industries フィールドは、固定の業種名セットを使います。例:

一覧の全体は、Threat Events を参照してください。