PowerShellプロセス、一時スクリプト、スケジュールされたタスクの登録、および見慣れないアドレスへの接続は、個別に説明可能かもしれませんが、それらの組み合わせたコンテキストは調査を変えます。これらのアクション間の関係を理解することで、個々のイベントでは見逃される可能性のある潜在的な悪意のあるアクティビティが明らかになります。正規のツールが悪意のある目的で使用される可能性があるため、それらの名前だけでは調査を確定するには不十分です。代わりに、プロセス、ファイル、および接続間の関係が重要になります。自動分析、特にプロセス、ファイル、およびネットワーク宛先を接続する行動グラフを介した分析は、証拠を保存し、アクティビティをコンテキスト化するのに役立ちます。このようなグラフは、基本的なイベントレコードを包括的な物語に変換し、誰が何を起動したか、どのプロセスがスクリプトを書き込んだか、そしてアウトバウンド接続が何に関連付けられていたかを詳細に説明します。このコンテキストの理解は、同様のツールが使用されている場合でも、通常の管理と疑わしい動作を区別するのに役立ちます。既存の相関ルールは一部の関係に対処しますが、より効果的なシステムは、事前に書かれたシーケンスを超えて、周囲の動作を保持するでしょう。たとえば、LogsterはLLMを使用してシリアル化されたアクティビティグラフを評価し、セキュリティチームにコンテキスト評価と構造化された結果を提供します。このアプローチにより、アナリストは、ばらばらのログを手動で再構築するのではなく、組み立てられたアクティビティのアカウントから調査を開始できます。ただし、いかなる評決も収集された証拠によって制限され、アクティビティウィンドウサイズ、欠落したテレメトリ、およびモデル入力の制約などの制限は精度に影響を与える可能性があります。したがって、実用的な評価では、システムがそれらをどのように区別するかに焦点を当て、同様のツールを使用して疑わしいシーケンスを正規のワークフローと比較する必要があります。最終的に、有用なエンドポイント検出システムは、整理されたコンテキスト化された証拠を提供することで調査プロセスを簡素化し、アナリストが結論をより効率的に検証できるようにする必要があります。