カスタムルールの作成

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

このページの内容

概要

このページでは、セキュリティイベントを検出するためのカスタムルールの作成手順について説明します。 基本的なフィルタリングを行う標準ルール、異常な単一イベントの挙動を検出する異常ルール、あるいは複雑な多段階のパターンを検出する高度なルールを作成できます。各ルールタイプは、深刻度、フィルタ、しきい値、異常モデル、MITRE ATT&CK マッピングなどのフィールドをサポートしており、コンテキストを追加して、検出結果をより実用的なものにするのに役立ちます。

ルールの作成

機能：

その環境に必要なセキュリティルールを、シンプルかつ堅牢に構築する方法。

ユースケース：

詳細なタグ付け、MITRE ATT&CKマッピング、および前提条件や緩和策などの追加コンテキストを活用して、あらゆるタイプ（標準、異常ベース、または高度）のセキュリティルールを作成し、より適切な整理と実用的な洞察を実現します。

高計算負荷のルール

いずれかのルールにしきい値が適用された場合、そのルールは計算負荷が高いためライセンス計算の対象となり、「高計算負荷ルール」としてマークされます。このインジケーターは、ルール一覧および当該ルールの作成時に表示されます。

Security tab in dashboard

ルールは、以下のいずれかを使用している場合、高計算負荷ルールと判定されます：

  • しきい値
  • 異常検知モデル
  • マルチアクション
注：自動インストールされる（HCR）高計算負荷ルールは、デフォルトで無効化された状態でインストールされます。

新しいルールを作成するには？

  1. 製品コンソールで、[セキュリティ] タブをクリックします。
    Security tab in dashboard
  2. 右端にある [ルールの管理] オプションをクリックします。
    Manage rules in security dashboard
  3. ルールの完全なリストが表示されたページに移動します。右側に「新規ルールの作成」があります。このオプションのドロップダウンボタンをクリックしてください。
    注：「新しいルールを作成」を直接クリックすると、標準ルールの作成ページに直接移動します。
    Manage rules module via the security dashboard
  4. ドロップダウンメニューを展開すると、「標準ルール」、「異常検知ルール」、「高度なルール」の各作成オプションが表示されます。要件に応じて、希望するルールタイプをクリックしてください。
    Manage rules module via the security dashboard

3つのルールタイプそれぞれの作成方法については、以下をご覧ください。

標準ルール

標準ルールの作成手順

  1. 「標準ルール」タイプを選択します。下の画像のように、ルールの条件を定義するフィールドで構成されたページが表示されます。各フィールドの詳細については、ヘルプドキュメント「ルールの理解」を参照してください。
    Create a standard rule
  2. 「ルール名」は必須ですが、「説明」は任意です。「説明」をクリックすると、説明を追加したい場合に備えてポップアップが表示されます。
  3. 「重大（Critical）」「トラブル（Trouble）」「注意（Attention）」から深刻度レベルを選択します。このフィールドのデフォルト値は「重大（Critical）」です。
  4. ルールを作成する目的に応じて「アクション」を選択してください。「カスタムアクションの作成方法」については、以下をご覧ください。
    • フィルタは、特定のケースに対してのみルールを実行する必要がある場合にのみ適用できます。
    • 選択したアクションとそのログ形式に応じて、フィールドの一覧が表示されます。
    • フィールドのリストが 5 を超える場合、そのフィールドを検索して移動するための検索オプションが表示されます。
    • 特定のしきい値を超えた場合にルールを実行する必要がある場合は、しきい値を適用できます。
  5. ルールメッセージを指定することで、トリガーされたルールの検出レポート全体に、所定の形式でメッセージを表示させることができます。
    • メッセージ内のフィールドは、マクロから定義されます。
  6. 「ルールのインサイト：MITRE ATT&CK マッピングなど」はオプションであり、ルールごとに設定することもできます。
  7. 必須フィールドに入力したら、「作成」をクリックします。
  8. 操作が正常に完了すると、以下のポップアップが表示されます。
    Create a standard rule

異常ルール

異常ルールの作成手順

  1. 「異常検知ルール」タイプに移動します。下の画像のように、ルールの基準を定義するフィールドで構成されたページが表示されます。各フィールドの詳細については、ヘルプドキュメント「ルールの理解」を参照してください。
    Create an anomaly rule
  2. 「ルール名」は必須ですが、「説明」は任意です。「説明」をクリックすると、説明を追加するためのポップアップが開きます。
  3. 「重大」、「トラブル」、「注意」から重大度レベルを選択します。このフィールドはデフォルトで「重大」に設定されています。
  4. ルールを作成する目的に応じて「アクション」を選択してください。「カスタムアクションの作成方法」については、以下をご覧ください。
    • 「フィルター」は、特定のケースにのみルールを実行する必要がある場合にのみ適用できます。
    • 選択したアクションとそのログ形式に応じて、フィールドの一覧が表示されます。
    • フィールドのリストが 5 を超える場合、そのフィールドを検索して移動するための検索オプションが表示されます。
    • 特定のしきい値を超えた場合にルールを実行する必要がある場合は、しきい値を適用できます。
  5. 「異常モデルの基準」を選択して、通常の動作からの逸脱をどのように検出するかを定義します。最大 10 個のモデルを選択できます。
  6. また、「ルールメッセージ」を指定することで、トリガーされたルールの検出レポート全体に、所定の形式でメッセージを表示させることができます。メッセージ内のフィールドは、マクロから定義されます。
  7. 「ルールのインサイト：MITRE ATT&CK マッピングなど」はオプションであり、ルールごとに設定することもできます。
  8. 必須フィールドに入力したら、「作成」をクリックします。
  9. 操作が正常に完了すると、以下のポップアップが表示されます。
    Create an anomaly rule

詳細ルール

詳細ルールの作成手順

  1. 「詳細ルール」タイプに移動します。以下の画像のように、ルールの条件を定義するフィールドで構成されたページが表示されます。各フィールドの詳細については、「ルールの理解」ページを参照してください。
    Create an advanced rule
  2. 「ルール名」は必須ですが、「説明」は任意です。「説明」をクリックすると、説明を追加したい場合に備えて、説明入力用のポップアップが開きます。
  3. 重大度レベルとして「重大」、「トラブル」、「注意」から選択します。このフィールドはデフォルトで「重大」に設定されています。
  4. ルールの条件

    対話型ルールビルダーを使用した編集

    • アクションの選択は標準ルールの作成時と同じですが、既存の相関ルールに従って複数のアクションを選択できます。カスタムアクションの作成方法については、以下をご覧ください。
    • 「フィルタ」と「しきい値」も、標準ルールの作成時と同様です。
    • アクションへのリンク：複数のアクションを選択した場合、それらのアクションを相互にリンクさせることができます。これにより、それらのアクションに関連するイベントを相関付け、不審なアクティビティを監視することが可能になります。
    • 「異常モデルの基準」を選択して、通常の動作からの逸脱をどのように検出するかを定義します。最大10個のモデルを選択できます。

    クエリモードでの編集

    • 高度なルール構築に限定されたこのモードでは、クエリ構文およびクエリ文法を使用してクエリを実行し、条件やパラメータを設定できます。詳細については、「クエリ文法」を参照してください。
  5. ルールをスケジュール設定する場合は、「実行構成」を定義してください。
  6. また、「ルールメッセージ」を指定することで、トリガーされたルールの検出レポート全体に、所定の形式でメッセージを表示させることができます。
    • メッセージ内のフィールドは、マクロから定義されます。
  7. 「ルールインサイト：MITRE ATT&CK マッピングなど」はオプションであり、ルールごとに設定することも可能です。
  8. 必要なフィールドに入力したら、「作成」をクリックします。
  9. 操作が正常に完了すると、以下のポップアップが表示されます。
    Create an advanced rule

高度なルールでカスタムアクションを作成するには？

  1. ルール設定中にアクションを選択する際、要件に応じてカスタムアクションを作成するオプションが表示されます。下の画像でハイライト表示されている「カスタムアクションを作成」をクリックしてください。
    Create custom action
  2. 定義が必要なフィールドは、以下のように表示されます。
    Create custom action
  3. 各フィールドの値を設定して構成します。
    • 「アクション名」と「ログタイプ」は必須項目です。
    • 「説明」は任意のフィールドです。クリックすると説明ボックスが表示されます。
    • 「アクションメッセージ」は、実行されたアクションに対して書式設定されたメッセージを表示するために使用されます。
    • 「アクションメッセージ」のフォーマットにマクロを追加することができます。
    • 「アクション条件」では、その特定のアクションがトリガーされるために満たすべき条件を定義します。
    • 「マクロ」などのフィールドは、選択したログタイプに応じて、ドロップダウンオプションの内容が若干異なります。
  4. 必要なフィールドの値を入力したら、「作成」をクリックします。
  5. アクションが正常に完了すると、以下のポップアップが表示されます。
    Create custom action

こちらもご覧ください

このドキュメントでは、新しいルールの作成方法、標準ルール、異常ルール、および高度なルールの設定方法、さらに、より柔軟な監視のためのカスタムアクションの設定方法について説明しました。