PEAK Baseline Huntsの鍵となる洞察は、**正常がどのようなものかを知らなければ、悪意を見つけることはできない**ということです。これらのダッシュボードのすべてのパネルは、この原則に基づいて設計されており、最頻出テーブルは正常を定義し、最少頻出テーブルは適合しないものを明らかにします。

PEAKフレームワークの詳細については、[Splunk PEAK脅威ハンティングフレームワーク](https://www.splunk.com/en_us/blog/security/peak-threat-hunting-framework.html)を参照してください。

---

## インポート手順

1. Kibanaで **スタック管理 → 保存オブジェクト** に移動します
2. **インポート** をクリックします
3. インポートするダッシュボードの `.ndjson` ファイルを選択します
4. **競合時のアクションを要求** を選択します（再インポートの場合は上書き）
5. **インポート** をクリックします

各ファイルは完全に自己完結型です。ダッシュボード、すべてのビジュアライゼーション、および保存された検索が含まれています。外部の保存オブジェクトへの依存関係はありません。

> **インデックスパターンの要件:** ダッシュボードは `logs-*` インデックスパターンを使用します。これはSecurity Onion 3.0インポートのデフォルトです。インポートする前に、このインデックスパターンがKibanaインスタンスに存在することを確認してください。

---

## ダッシュボードリファレンス

### 標準ネットワークプロトコル (Zeek + Suricata)

---

#### `PEAK-Baseline-Conn.ndjson`
**プロトコル:** ネットワーク接続 (Zeek `conn.log`) | **フィルター:** `tags:conn`

ネットワークベースラインの基盤。プロトコルに関係なく、すべてのTCP/UDP/ICMP接続レコードをカバーします。ハント対象領域: 稀なIPペアとポートの組み合わせ、長時間の接続（ビーコン動作）、異常な宛先への高バイト数フロー、ほとんど見られない宛先ポート。

**主要フィールド:** `source.ip`, `destination.ip`, `destination.port`, `network.transport`, `network.protocol`, `network.bytes`, `event.duration`, `connection.state`, `hash.ja4t`

**MITRE:** T1071 (C2), T1048 (Exfil), T1571 (非標準ポート), T1572 (プロトコルトンネリング)

---

#### `PEAK-Baseline-DNS.ndjson`
**プロトコル:** DNS (Zeek `dns.log`) | **フィルター:** `tags:dns`

DNSは環境内で最もクエリ可能なデータソースであり、攻撃者に最も悪用されるものの1つです。ハント対象領域: 稀なクエリドメイン（DGA、新しいC2インフラ）、高エントロピーのドメイン名、異常なクエリタイプ（TXT、ANY、NULL — トンネリングの指標）、稀なリゾルバ、NXドメインストーム。

**主要フィールド:** `dns.question.name`, `dns.question.type`, `dns.response_code`, `source.ip`, `destination.ip`

**MITRE:** T1071.004 (DNS C2), T1568 (動的解決), T1048.003 (DNS Exfil), T1583 (インフラ獲得)

---

#### `PEAK-Baseline-HTTP.ndjson`
**プロトコル:** HTTP/HTTPS (Zeek `http.log`) | **フィルター:** `tags:http or tags:http2`

ユーザーエージェント、URIパターン、ステータスコード、ホスト分布をカバーするWebトラフィックベースライン。ハント対象領域: 稀または不正な形式のユーザーエージェント（ツールのフィンガープリント）、異常なHTTPメソッド、POSTデータを受信する稀な外部ホスト、既知のフレームワーク（Cobalt Strike、Metasploit）に関連するURIパス、JA4Hフィンガープリント。

**主要フィールド:** `url.domain`, `url.path`, `http.request.method`, `http.response.status_code`, `user_agent.original`, `source.ip`, `destination.ip`, `hash.ja4h`

**MITRE:** T1071.001 (HTTP C2), T1566 (Phishing), T1105 (ツール転送), T1059 (Web経由のスクリプト実行)

---

#### `PEAK-Baseline-TLS.ndjson`
**プロトコル:** TLS/SSL (Zeek `ssl.log`) | **フィルター:** `tags:ssl`

TLSセッションメタデータ — バージョン、暗号スイート、証明書サブジェクト、JA3/JA4フィンガープリント。ハント対象領域: 古い/脆弱なTLSバージョン（1.0/1.1）、自己署名または異常な証明書サブジェクト、稀なJA3/JA4クライアントフィンガープリント（マルウェアツールのシグネチャ）、期限切れの証明書、非標準ポートへのTLS。

**主要フィールド:** `tls.version`, `tls.cipher`, `tls.client.server_name`, `tls.server.subject`, `tls.server.issuer`, `hash.ja3`, `hash.ja3s`, `hash.ja4`, `hash.ja4s`

**MITRE:** T1573 (暗号化チャネル), T1071 (C2), T1587.003 (自己署名証明書)

---

#### `PEAK-Baseline-SMB.ndjson`
**プロトコル:** SMB (Zeek `smb_mapping.log` + `smb_files.log`) | **フィルター:** `tags:smb_mapping or tags:smb_files`

SMB共有マッピングとファイル操作の両方をカバーする統合ダッシュボード。ハント対象領域: 管理共有（ADMIN$、C$、IPC$）へのアクセス、稀な共有パス、異常なファイルアクセスパターン、これまでにアクセスしたことのない共有にアクセスするクライアント、横方向移動のファイルステージング。

**主要フィールド:** `smb.path`, `smb.share_type`, `file.action`, `file.name`, `file.path`, `source.ip`, `destination.ip`

**MITRE:** T1021.002 (SMB/Windows管理共有), T1570 (横方向ツール転送), T1039 (ネットワーク共有ドライブからのデータ)

---

#### `PEAK-Baseline-Kerberos.ndjson`
**プロトコル:** Kerberos (Zeek `kerberos.log`) | **フィルター:** `tags:kerberos`

Active Directory認証ベースライン。ハント対象領域: Kerberoasting（サービスアカウントに対するTGS要求、特にRC4暗号）、AS-REP Roasting（事前認証なしの要求）、パス・ザ・チケットの指標、異常な暗号化タイプ、稀なクライアント/サービス名のペア、認証失敗。

**主要フィールド:** `kerberos.request_type`, `kerberos.client`, `kerberos.service`, `kerberos.success`, `kerberos.error_code`, `kerberos.cipher`, `kerberos.forwardable`, `source.ip`, `destination.ip`

**MITRE:** T1558.003 (Kerberoasting), T1558.004 (AS-REP Roasting), T1550.003 (Pass-the-Ticket)

---

#### `PEAK-Baseline-FTP.ndjson`
**プロトコル:** FTP (Zeek `ftp.log`) | **フィルター:** `tags:ftp`

FTPコマンドと応答のベースライン。ハント対象領域: 匿名認証（`ftp`/`anonymous` ユーザー名）、稀なFTPコマンド（特にSITE、CHMOD、DELE）、異常な応答コード、非標準ポートへのFTP、データを受信する稀な外部FTPサーバー。

**主要フィールド:** `ftp.command`, `ftp.user`, `ftp.argument`, `server.reply_code`, `server.reply_message`, `source.ip`, `destination.ip`

**MITRE:** T1048 (代替プロトコルを介したExfil), T1071 (C2), T1105 (ツール転送)

---

#### `PEAK-Baseline-SSH.ndjson`
**プロトコル:** SSH (Zeek `ssh.log`) | **フィルター:** `tags:ssh`

クライアント/サーバーバージョン文字列とHASSHフィンガープリントを含むSSHセッションベースライン。ハント対象領域: 稀なSSHクライアントまたはサーバーバナー（ツールフィンガープリント）、異常な暗号/MACアルゴリズムの選択、既知の攻撃ツール（Paramiko、Metasploit）に一致するHASSHフィンガープリント、非標準ポートへのSSH、稀な送信元→宛先ペア。

**主要フィールド:** `ssh.client`, `ssh.server`, `ssh.version`, `ssh.cipher_algorithm`, `ssh.kex_algorithm`, `ssh.authentication.success`, `hash.hassh`, `ssh.hassh_server`

**MITRE:** T1021.004 (SSH横方向移動), T1071 (C2), T1110 (ブルートフォース)

---

#### `PEAK-Baseline-RDP.ndjson`
**プロトコル:** RDP (Zeek `rdp.log`) | **フィルター:** `tags:rdp`

リモートデスクトップベースライン。ハント対象領域: 外部/地理的に異常な送信元IPからのRDP、低い証明書数（自己署名）、異常なセキュリティプロトコル、NLA（ネットワークレベル認証）なしのRDP、管理アクセス用の稀な送信元→宛先ペア。

**主要フィールド:** `rdp.result`, `rdp.cookie`, `rdp.security_protocol`, `rdp.certificate_count`, `source.ip`, `destination.ip`, `source.geo.*`

**MITRE:** T1021.001 (リモートデスクトッププロトコル), T1133 (外部リモートサービス), T1563.002 (RDPハイジャック)

---

#### `PEAK-Baseline-SMTP.ndjson`
**プロトコル:** SMTP (Zeek `smtp.log`) | **フィルター:** `tags:smtp`

電子メールトラフィックベースライン。ハント対象領域: `smtp.helo` 内の稀な送信元ドメイン、異常な `mail_from` アドレス、外部宛先への高ボリューム送信者、TLSなしのSMTP（`smtp.tls:false`）、トランザクション深度の異常、非標準メールサーバーへのWebメールクライアント。

**主要フィールド:** `smtp.helo`, `smtp.mail_from`, `smtp.recipient_to`, `smtp.last_reply`, `smtp.tls`, `smtp.is_webmail`, `source.ip`, `destination.ip`

**MITRE:** T1566 (Phishing), T1048 (メール経由のExfil), T1071 (メールプロトコルを介したC2)

---

#### `PEAK-Baseline-NTLM.ndjson`
**プロトコル:** NTLM (Zeek `ntlm.log`) | **フィルター:** `tags:ntlm`

認証情報攻撃を検出するためのNTLM認証ベースライン。ハント対象領域: Kerberosが使用されるべき場所でのNTLM認証（レガシー認証または強制ダウングレード）、異常なワークステーション→サーバー認証ペア、稀なドメイン名、高いNTLM失敗率（スプレー/ブルートフォース）、SMBリレー指標。

**主要フィールド:** `user.name`, `host.domain`, `ntlm.server.nb.name`, `ntlm.server.dns.name`, `source.ip`, `destination.ip`

**MITRE:** T1110 (ブルートフォース), T1557.001 (NTLMリレー), T1550.002 (Pass-the-Hash), T1187 (強制認証)

---

#### `PEAK-Baseline-DCE-RPC.ndjson`
**プロトコル:** DCE/RPC (Zeek `dce_rpc.log`) | **フィルター:** `tags:dce_rpc`

横方向移動と認証情報攻撃を検出するためのWindows RPC呼び出しベースライン。ハント対象領域: `drsuapi` エンドポイント（DCSync — T1003.006）、`svcctl` エンドポイント（リモートサービス作成）、`atsvc` / `ITaskSchedulerService`（リモートスケジュールタスク）、非DCホストからの `samr`/`lsarpc`（認証情報ダンプ）、ワークステーションからの稀な操作。

`drsuapi` および `svcctl` エンドポイントの事前フィルタリングされたパネルにより、環境内でDCSync検出への最速のパスを提供します。

**主要フィールド:** `dce_rpc.endpoint`, `dce_rpc.operation`, `dce_rpc.named_pipe`, `source.ip`, `destination.ip`

**MITRE:** T1003.006 (DCSync), T1569.002 (リモートサービス), T1053.005 (スケジュールタスク), T1021.003 (DCOM)

---

#### `PEAK-Baseline-LDAP.ndjson`
**プロトコル:** LDAP (Zeek `ldap_search.log`) | **フィルター:** `tags:ldap_search`

列挙ツールを検出するためのActive Directoryクエリベースライン。ハント対象領域: ワークステーションからの高結果カウントクエリ（BloodHound/SharpHoundの一括列挙）、稀なLDAPフィルター文字列（ツール固有の構文）、異常なベースオブジェクト（`trustedDomain`、`AdminSDHolder`、`msDS-AllowedToDelegateTo`）、LDAPをクエリする稀なクライアントホスト。

**主要フィールド:** `ldap.result`, `ldap.domain`, `ldap.object`, `ldap.common_name`, `ldap_search.filter`, `ldap_search.scope`, `ldap_search.result_count`

**MITRE:** T1087 (アカウントディスカバリ), T1069 (権限グループディスカバリ), T1482 (ドメイントラストディスカバリ)

---

#### `PEAK-Baseline-WireGuard.ndjson`
**プロトコル:** WireGuard VPN (Zeek `wireguard.log`) | **フィルター:** `tags:wireguard`

WireGuardトンネルベースライン。WireGuardが許可されていない環境では、**このダッシュボードのすべてのイベントが発見です**。ハント対象領域: 不正な開始ホスト、未知の外部エンドポイント、未確立のセッション（失敗したハンドシェイク）、非標準ポート上のWireGuard。

**主要フィールド:** `wireguard.established`, `wireguard.initiations`, `wireguard.responses`, `source.ip`, `destination.ip`

**MITRE:** T1572 (プロトコルトンネリング), T1090 (プロキシ), T1048 (代替プロトコルを介したExfiltration), T1133 (外部リモートサービス)

---

#### `PEAK-Baseline-x509.ndjson`
**プロトコル:** X.509証明書 (Zeek `x509.log`) | **フィルター:** `tags:x509`

証明書観測ベースライン。注: x509ログには証明書属性のみが含まれ、送信元/宛先IPは含まれません。接続コンテキストについては、TLSダッシュボードと結果を相関させてください。ハント対象領域: 自己署名証明書（サブジェクト=発行者）、稀または未知のCA、弱い鍵長（RSA < 2048）、非推奨の署名アルゴリズム（MD5、SHA1）、不正なCA証明書（未知の発行者からの `basic_constraints.ca:true`）、稀なSAN DNSドメイン。

**主要フィールド:** `x509.certificate.subject`, `x509.certificate.issuer`, `x509.certificate.serial`, `x509.certificate.key.type`, `x509.certificate.key.length`, `x509.certificate.signing_algorithm`, `x509.san_dns`, `x509.basic_constraints.ca`, `hash.sha256`

**MITRE:** T1573.002 (非対称暗号C2), T1587.003 (デジタル証明書), T1588.004 (証明書の取得)

---

#### `PEAK-Baseline-Files.ndjson`
**プロトコル:** Zeekファイル (Zeek `files.log`) | **フィルター:** `tags:file`

HTTP、SMTP、SMB、FTPなど、ファイルを運ぶすべてのプロトコルをカバーするファイル転送ベースライン。ハント対象領域: 稀または予期しないMIMEタイプ — 特に `application/x-dosexec`（PE実行可能ファイル）、`application/x-msdownload`、外部ソースからのZIP/RARアーカイブ — 稀なファイル送信者、異常な配信プロトコル（非HTTP/SMTPアナライザー）、大きなアウトバウンド転送。脅威インテリジェンスの相互参照のためにMD5およびSHA1ハッシュテーブルを提供。

**主要フィールド:** `file.mime_type`, `file.source`, `file.analyzer`, `file.bytes.seen`, `hash.md5`, `hash.sha1`, `source.ip`, `destination.ip`

**MITRE:** T1105 (Ingressツール転送), T1566 (Phishing), T1048 (Exfiltration), T1560 (収集データのアーカイブ)

---

#### `PEAK-Baseline-Suricata.ndjson`
**プロトコル:** Suricata IDS/IPSアラート | **フィルター:** `event.module:suricata`

ノイズ低減と高シグナル検出のためのSuricataアラートベースライン。**稀なシグネチャテーブルが主要なハントエントリーポイントです** — 単一発生のルールは最優先の調査対象領域です。ハント対象領域: 稀なアラートシグネチャ（ベースラインノイズに含まれない）、重大度クリティカルアラート（severity 1）、ブロックされたトラフィック（IPSモード）、未知のアラート送信元IP、アラートカテゴリパターン（横方向移動、C2、エクスプロイトカテゴリ）。

**主要フィールド:** `rule.name`, `rule.category`, `rule.severity`, `rule.action`, `event.severity_label`, `source.ip`, `destination.ip`, `network.transport`

**MITRE:** ルールにより異なります。主要カテゴリ: T1021 (横方向), T1071 (C2), T1190 (公開アプリのエクスプロイト), T1566 (Phishing)

---

### ICS / OTプロトコル

> ⚠️ **ICSダッシュボード注記:** ModbusおよびDNP3は、基本実装において認証も承認もありません。許可されていないホストがPLC、RTU、IEDにコマンドを送信することは、コマンドが成功したかどうかに関係なく、重大な発見です。これらのダッシュボードの異常は、アラートとしてではなくインシデントとして扱ってください。

---

#### `PEAK-Baseline-Modbus-Summary.ndjson`
**プロトコル:** Modbus/TCPセッションサマリー (Zeek `modbus.log`) | **フィルター:** `tags:modbus`

低ボリュームで高レベルのModbusアクティビティビュー — PDUトランザクションごとに1レコード。Modbusハントの**エントリーポイントダッシュボード**として使用: 許可されたマスターのインベントリ、ファンクションコード分布、トラフィックボリュームベースライン。不審なマスター→スレーブペアを特定したら、`PEAK-Baseline-Modbus.ndjson` にピボットしてレジスタレベルの詳細を確認します。

**主要フィールド:** `modbus.function`, `source.ip`, `destination.ip`, `destination.port`

**MITRE ICS:** T1843 (プログラムアップロード), T1846 (リモートシステムディスカバリ), T1855 (不正コマンドメッセージ)

---

#### `PEAK-Baseline-Modbus.ndjson`
**プロトコル:** Modbus/TCPレジスタ詳細 (Zeek `modbus_detailed.log`) | **フィルター:** `tags:modbus_detailed`

レジスタおよびコイルレベルの詳細 — 個々のModbus読み取り/書き込み操作ごとに1レコード。サマリーダッシュボードで不審なホストを特定した後の詳細分析に使用します。ハント対象領域: 許可されていないホストからの特定レジスタへの書き込み操作、通常の運用パラメータ外のアドレス範囲、稀なファンクションコード、レジスタアドレスのプローブ（シーケンシャルアドレスアクセスパターン）。

**主要フィールド:** `modbus.function`, `modbus.address`, `source.ip`, `destination.ip`, `destination.port`

**MITRE ICS:** T1855 (不正コマンドメッセージ), T1856 (報告メッセージのなりすまし), T1801 (プロセス状態の監視)

---

#### `PEAK-Baseline-DNP3.ndjson`
**プロトコル:** DNP3セッション+データオブジェクト (Zeek `dnp3.log` + `dnp3_objects.log`) | **フィルター:** `tags:dnp3 or tags:dnp3_objects`

DNP3セッションレベルの要求とデータオブジェクトの詳細をカバーする統合ダッシュボード。電力会社、上下水道、石油・ガスのSCADA環境で一般的です。ハント対象領域: READ要求を送信する不正なマスターホスト、未知のホストからのクラス0ポーリング（完全な遠隔局データダンプ=偵察）、要求されている異常なオブジェクトタイプ、異常なファンクションコード（COLD_RESTART、WARM_RESTART、STOP_APPLICATION）。破壊的なファンクションコード用の事前フィルタリングパネル。リレーコマンド分析のためにDNP3コントロールにピボットします。

**主要フィールド:** `dnp3.fc_request`（セッション）, `dnp3.function_code`（オブジェクト）, `dnp3.object_type`, `source.ip`, `destination.ip`

**MITRE ICS:** T1801 (プロセス状態の監視), T1846 (リモートシステムディスカバリ), T1814 (サービス拒否), T1858 (動作モードの変更)

---

#### `PEAK-Baseline-DNP3-Control.ndjson`
**プロトコル:** DNP3制御リレーコマンド (Zeek `dnp3_control.log`) | **フィルター:** `tags:dnp3_control`

**このコレクションの中で最もリスクの高いICSダッシュボードです。** すべてのレコードは、現場デバイスの物理状態を変更するコマンドを表します（リレー作動、遮断器開閉、バルブコマンド）。実際のICS攻撃（2015年ウクライナ電力網攻撃を参照）で使用されるDNP3のSELECT→OPERATEパターンに基づいてモデル化されています。

ハント対象領域: 不正なコマンドホスト（最大で1～2の既知SCADAサーバーであるべき）、DIRECT_OPERATEコマンド（SELECT確認の安全ステップをバイパス）、Trip/Close操作（遮断器レベルの影響）、文書化された制御ポイントリスト外のインデックス番号、1を超えるexecute_count（繰り返し作動）、運用規範外のタイミングパラメータ。

**このダッシュボードのすべてのレコードは、許可された変更管理記録と照合する必要があります。**

**主要フィールド:** `dnp3.function_code`, `dnp3.block_type`, `dnp3.operation_type`, `dnp3.trip_control_code`, `dnp3.index_number`, `dnp3.execute_count`, `dnp3.on_time`, `dnp3.off_time`

**MITRE ICS:** T1855 (不正コマンドメッセージ), T1831 (制御の操作), T1836 (パラメータの変更), T1816 (デバイスの再起動/シャットダウン)

---

## ダッシュボードサマリーテーブル

| ダッシュボードファイル | プロトコル | Zeekログ | フィルター |
|---|---|---|---|
| PEAK-Baseline-Conn.ndjson | ネットワーク接続 | conn.log | `tags:conn` |
| PEAK-Baseline-DNS.ndjson | DNS | dns.log | `tags:dns` |
| PEAK-Baseline-HTTP.ndjson | HTTP/HTTPS | http.log | `tags:http or tags:http2` |
| PEAK-Baseline-TLS.ndjson | TLS/SSL | ssl.log | `tags:ssl` |
| PEAK-Baseline-SMB.ndjson | SMB | smb_mapping.log, smb_files.log | `tags:smb_mapping or tags:smb_files` |
| PEAK-Baseline-Kerberos.ndjson | Kerberos | kerberos.log | `tags:kerberos` |
| PEAK-Baseline-FTP.ndjson | FTP | ftp.log | `tags:ftp` |
| PEAK-Baseline-SSH.ndjson | SSH | ssh.log | `tags:ssh` |
| PEAK-Baseline-RDP.ndjson | RDP | rdp.log | `tags:rdp` |
| PEAK-Baseline-SMTP.ndjson | SMTP | smtp.log | `tags:smtp` |
| PEAK-Baseline-NTLM.ndjson | NTLM | ntlm.log | `tags:ntlm` |
| PEAK-Baseline-DCE-RPC.ndjson | DCE/RPC | dce_rpc.log | `tags:dce_rpc` |
| PEAK-Baseline-LDAP.ndjson | LDAP | ldap_search.log | `tags:ldap_search` |
| PEAK-Baseline-WireGuard.ndjson | WireGuard | wireguard.log | `tags:wireguard` |
| PEAK-Baseline-x509.ndjson | X.509証明書 | x509.log | `tags:x509` |
| PEAK-Baseline-Files.ndjson | Zeekファイル | files.log | `tags:file` |
| PEAK-Baseline-Suricata.ndjson | Suricata IDS/IPS | alerts | `event.module:suricata` |
| PEAK-Baseline-Modbus-Summary.ndjson | Modbusセッション | modbus.log | `tags:modbus` |
| PEAK-Baseline-Modbus.ndjson | Modbus詳細 | modbus_detailed.log | `tags:modbus_detailed` |
| PEAK-Baseline-DNP3.ndjson | DNP3セッション+オブジェクト | dnp3.log, dnp3_objects.log | `tags:dnp3 or tags:dnp3_objects` |
| PEAK-Baseline-DNP3-Control.ndjson | DNP3制御リレー | dnp3_control.log | `tags:dnp3_control` |

---

## 技術詳細

**テスト済みバージョン:** Security Onion 3.0.0  
**Elasticsearchバージョン:** 8.x  
**Kibanaオブジェクト形式:** レガシー集計ベースのビジュアライゼーション（Lensではない）  
**インデックスパターン:** `logs-*`  
**使用されているビジュアライゼーションタイプ:** metric、table、line、pie、tagcloud、markdown、saved search  
**オブジェクトバージョン:** `typeMigrationVersion: 8.5.0` (viz)、`10.5.0` (search)、`10.2.0` (dashboard) | `coreMigrationVersion: 8.8.0`

フィールドマッピングは、Security Onion 3.0.0インポートからの実際のElasticsearchデータに対して検証されました。ビジュアライゼーションで使用されるすべてのフィールドは、それぞれのデータストリームのインデックス化された `fields` ブロックに存在することが確認されています。

---

## 推奨ハントワークフロー```
1. Start with PEAK-Baseline-Conn  →  Establish overall network baseline, identify unknown talkers
2. Follow protocols of interest   →  Use protocol-specific dashboards for deep dives
3. Surface rare values            →  Least-frequent tables in each dashboard are your primary hunt targets
4. Pivot on findings              →  Use saved searches to drill to raw events
5. ICS environments               →  Run Modbus Summary → Modbus Detail → DNP3 → DNP3 Control
6. Alert triage                   →  Use Suricata dashboard: start with rare signatures, not top signatures