ルールの管理

お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。

概要

このページでは、「ルールの管理」モジュールを使用して、すべての検知ルールを一元的に管理する方法について説明します。ルールの有効化、無効化、複製、編集、削除、フィルタリング、およびインポート／エクスポートなどの操作について解説します。各ルールエントリには、重大度、MITRE ATT&CK マッピング、タグ、実行モード、アラートプロファイル、検出履歴などの詳細情報が表示されます。ルールの調整、前提条件、緩和措置などの追加機能により、管理者は検出の精度を高め、パフォーマンスを向上させ、ルールをセキュリティフレームワークに整合させることができます。

「ルールの管理」モジュールへのアクセス

ダッシュボードから [セキュリティ] タブに移動し、下図で強調表示されている [ルールの管理] をクリックします。
以下の画像に示すように、ルールの完全なリストが表示された「ルールの管理」ページに移動します。ここは、検出ルールとそのアラートを作成、編集、有効化、無効化、および監視するための中核となるハブです。検索、フィルタ、一括操作機能により、ルール管理の効率化を支援します。

「ルールの管理」テーブルのフィールド

A. [アクション] 列

[アクション] 列は、必要に応じてルールに対して必要な操作を実行するための手段となります。以下に、「ルールの管理」モジュールで利用可能なルール操作を示します。

ルールの有効化／無効化
ルールの複製
ルールの編集
ルールの削除

ルールの有効化／無効化

ルールの有効化

[アクション] 列にある無効アイコンをクリックして、ルールを有効にします。
この操作を行うと、アイコンがに変わり、ルールが有効になったことが示され、以下のポップアップメッセージが短時間表示されます。

ルールの無効化

[Actions] 列の下にある有効アイコンをクリックして、ルールを無効にします。
当該ルールにアラートプロファイルが関連付けられている場合、確認のポップアップが表示されます。「はい」をクリックして続行してください。
この操作を実行すると、アイコンがルールが無効になったことを示すとなり、以下のポップアップメッセージが短時間表示されます。複数のルールを一度に有効化/無効化するには

複数のルールを一度に有効化/無効化

最初の列にある空のチェックボックスをクリックして、該当するルールを選択します。
ルールリストの上にあるリボン内の「有効化」または「無効化」アイコンをクリックします。
操作が正常に完了すると、以下のポップアップが表示されます。

有効の場合：

無効化時：

ルールの複製

[アクション] 列の下にある [複製] アイコンをクリックして、該当するルールを複製します。
ルールの種類（標準、異常、または高度）に応じて、そのルールの特定の設定ページに移動します。
クローンしたルールをカスタマイズするために、フィールドの値に必要な変更を加え、「作成」をクリックします。
操作が正常に完了すると、以下のポップアップが表示されます。

ルールの編集

[Actions] 列の下にある [Edit] アイコンをクリックして、それぞれのルールを編集します。
ルールのタイプ（「標準」、「異常」、「詳細」）に応じて、その特定のルールの設定ページが表示されます。
フィールドの値に必要な編集を行い、「更新」をクリックします。
ルールはルール一覧で即座に更新されます。

ルールの削除

最初の列にある空のチェックボックスをクリックして、該当するルールを選択します。
次に、ルール一覧の上にあるリボンにある「削除」アイコンをクリックします。
「アクションの確認」ポップアップが表示されます。「削除」をクリックします。

操作が正常に完了すると、以下のポップアップが表示されます。

ルールのフィルタリング

ルールリストの上にあるリボン内の [フィルター] アイコンをクリックします。
以下のフィルタオプションが表示されます。
複数のフィルターを一度に選択できます。フィルターをクリックして選択します。選択を解除したい場合は、もう一度クリックしてください。フィルターオプションをクリックすると、ルールは即座にフィルタリングされます。
[フィルタをクリア] オプションをクリックすると、ルールに対して行われたすべてのフィルタリングまたは一部のフィルタリングを元に戻すことができます。

ルールを管理するためのその他の設定

設定したいルールを選択するには、最初の列にある空のチェックボックスをクリックします。
ルール一覧の上にあるリボンには、ルールをさらに管理するためのオプションがあります。
これをクリックすると、「管理」タブが表示され、設定項目が展開されます。
設定：
- インポート：
  - ルールを含むファイルをアップロードして目的のルールをインポートし、「表示してインポート」をクリックしてください。ルールが検証された後、ルール一覧にインポートされます。
    注：アクティブな高計算負荷ルールの最大数の上限に達している場合、ルールは無効なルールとしてインポートされます。
  - Sigmaルールを製品にインポートすることで、標準化されたルール定義に基づいた検出とアラート通知を自動化できます。
  ルールのインポートプレビュー
  ルールパッケージをアップロードすると、製品はインポート可能なすべてのルールのプレビューを表示します。これにより、処理を進める前にルール名や関連するアクションを確認することができます。
  エラーのあるルール
  プレビュー中、以下のいずれかのカテゴリに該当すると判断されたルールには、「失敗」ステータスが付与されます。これらのルールは、根本的な設定上の問題が解決されない限り、インポートされません。
  - お使いの環境では利用できないログ形式アクションまたはカスタムフィールドを使用して作成されたもの、または
  - アクション名、ルール名、またはアラートプロファイル名が重複している
  Sigmaルールとは？
  Sigmaは、ログデータ内のセキュリティイベントを記述するためのテキストベースのフォーマットであり、セキュリティ脅威の検出を簡素化します。
  - インポートするファイルを選択する際は、Sigmaファイルを選択し、「表示してインポート」をクリックしてください。インポート処理中に、Sigmaルールに関連付けられたフィールドやログタイプをマッピングするオプションが表示されます。「次へ」をクリックしてください。
  - ルールの詳細設定や機能強化を行うため、「新規ルールの作成 - 標準ルール」モジュールに移動します。ルールの作成に関する詳細は、ヘルプドキュメント「カスタムルールの作成」を参照してください。
  - 必要な設定が完了したら、「作成」ボタンをクリックします。製品は、インポートされたシグマルールプロファイルと、その定義された基準を保存します。
  - インポートを行う前に、以下の点を確認してください：
    - Sigmaのインポート場所：Sigmaのインポートオプションは、「アラート」セクションから「ルール管理」モジュールに移動されました。
    - 検出のサポート：Sigmaルールでは検出がサポートされています。
    - ルールの分類：インポートされたSigmaルールは、「カスタム」カテゴリの下に表示されます。
    - ルールのプレビュー：プレビュー画面には、インポートされる予定のルールのリストが表示されます。
    - 拡張機能の欠落：特定のログ形式アクションを使用して作成されたルールをインポートする際、対応する拡張機能がインストールされていない場合、プレビュー画面ではそのルールが「失敗」ステータスで表示されます。
    - 有効化の動作：インポートされたルールはデフォルトで有効になりますが、関連するアラートプロファイルは無効のままとなります。これは、拡張機能からのルールの自動インストールと同様です。
    - Sigma インポートの例外：Sigma からのインポートのみの場合、関連するアラートプロファイルも自動的に有効になります。
    - サポートされている形式：XML、YML
- エクスポート：
  - 選択したルールと設定の詳細を即座にダウンロードできます。このオプションは、カスタムで作成されたルールにのみ適用されます。
  - バックアップや再利用の目的で、製品からカスタムルールをエクスポートできます。
  - エクスポートを行う前に、以下の点にご注意ください：
    - 定義済みのルールはエクスポートできません：ユーザーが作成したカスタムルールのみがエクスポートの対象となります。
    - 関連するアラートプロファイルが含まれます：カスタムルールをエクスポートすると、そのルールにリンクされているすべてのアラートプロファイルも自動的にエクスポートされます。
    - 設定の完全なエクスポート：MITREマッピング、緩和手順、タグ、前提条件など、カスタムルールに関連付けられたすべての設定がエクスポートファイルに含まれます。
    - サポートされているファイル形式：XML
- アラートプロファイルを有効にする：これをクリックすると、選択したルールのアラートプロファイルが有効になり、設定が即座に更新され、以下のポップアップが表示されます。
- アラートプロファイルの無効化：これをクリックすると、選択したルールのアラートプロファイルが無効化され、設定が即座に更新され、以下のポップアップが表示されます。
- 重大度の更新：クリックまたはカーソルを合わせると、3つの重大度レベルが表示され、適用したいものを選択できます。

設定は即座に更新され、以下のポップアップが表示されます。

B. 「ルール名」列

[ルール名] 列には、現在までに設定されたすべてのルールの名前が一覧表示されます。

任意のルール名をクリックすると、「ルール概要」ボックスがスライドして開きます。このボックスには、4つのサブタブが含まれています。

ルールの詳細
前提条件
緩和策
実行の詳細

ルールの詳細

ルールの概要と、それぞれの詳細、およびその特定のルールに例外を追加するためのオプションが表示されます。

ルール名：このルールに対してユーザーが割り当てた一意のルール名が表示されます。
ルールタイプ：このルールがどのカテゴリ（標準、異常、または詳細）に属するかを表示します。
ルールの説明：このルールに追加した説明（ある場合）が表示されます。
ルールのステータス：ルールが現在「有効」状態か「無効」状態かを表示します。
作成者：このルールを作成したユーザー（このネットワークにおける役割で識別されます）が表示されます。
重大度：ルールの設定時に設定された重大度レベル（「重大」、「トラブル」、「注意」）が表示されます。
ログ形式：このルールに関連付けられているログの種類が表示されます。
実行タイプ：このルールに設定された実行構成モード（「連続」、「5 分、10 分、30 分、1 時間ごとのスケジュール」、「カスタム」）が表示されます。ルール設定に異常ルールが含まれている場合、実行モードはインテリジェントモードとなり、検出エンジンが異常ログを生成するまでに数時間かかります。
タグ：業界やタイプに基づいてルールを分類します。
MITRE ATT&CK：ルールを関連する MITRE の戦術および手法にマッピングします。
基準：ルールの条件をクエリ形式で表示します。
- 例外：例外は、検出エンジンが検出およびレポートからケースを除外するための基準を定義します。ルールの例外で設定された条件に一致する場合、検出は作成されません。
  - [例外の追加] ボタンをクリックすると、[ルールの例外の追加] ボックスがスライドして開きます。
  - 検出およびレポートから除外したい例外を設定できます。
  - [保存] ボタンをクリックして、ルールの例外を保存します。
  - 操作が正常に完了すると、以下のポップアップが表示されます。
  - その例外をリセットして再設定したい場合は、「例外のクリア」をクリックすると、設定がリセットされます。
  - プロセスを中止する場合は、「キャンセル」をクリックしてください。

前提条件

このサブタブには、ルールが正しく検出されるために必要な依存関係が満たされていることを確認するためのインターフェースが用意されています。

緩和策

このサブタブには、リスクを最小限に抑え、将来の脅威を防ぐために推奨される措置を講じるためのインターフェースが用意されています。事前定義されたルールには緩和策が事前に追加されていますが、カスタムルールについては、ユーザーが手動で追加する必要があります。

ケース 1: ルール設定に緩和策がすでに存在する場合。

緩和策 ID：検出されたルールまたは脅威に関連付けられた MITRE ATT&CK 緩和策の一覧が表示されます。
説明：設定の変更、セキュリティポリシー、ベストプラクティスなど、脅威の影響を軽減または低減する方法に関する実用的なガイダンスを提供します。
誤検知：特定の検出における誤検知の可能性を示します。

ケース 2: 既存の緩和措置がない場合。

このような場合、その特定のルールについては緩和措置は不要であることが暗黙の了解となっています。

実行の詳細

メモリ使用量の観点から、計算負荷の高い継続的ルールを特定するために使用されます。また、現在収集されているログのうち、どのログがこのルールのアクションの対象となるかも表示されます。

実行モード：

実行モード：このルールに設定されている実行構成モード（「継続的」、「5分ごと、10分ごと、30分ごと、1時間ごとのスケジュール」、「カスタム」）が表示されます。
診断：ルールによって生成されるリソース使用状況やアクティビティに関する洞察を提供します。これにより、実行中のルールのパフォーマンスを確認できます。
- アクション名：この特定の検出に関連付けられたイベント／アクションを表示します。例：「ログオン成功」。
- メモリ使用率：アクションの実行中に使用された総メモリ量を、ほぼリアルタイムで追跡します。
- ヒット数：アクションのヒット総数をほぼリアルタイムで追跡します。
実行履歴：各実行時に記録されたイベント数やメモリ消費量など、ルールの過去の実行履歴をタイムライン形式で表示します。これにより、経時的なルールのパフォーマンスを確認し、異常のトラブルシューティングを行うことができます。
継続モードとスケジュールモードの実行モードの違いについて詳しくは、「ルールの理解」ページを参照してください。

ルールのチューニング

「ルールのチューニング」オプションは、クエリの実行を最適化することで、管理者が検出ルールを微調整するのに役立ちます。この機能は、ルールの処理方法を分析し、パフォーマンスを向上させるための実用的な洞察を提供します。以下は、ルールのチューニングによって管理者が実現できる機能強化です。

不要な実行オーバーヘッドを削減することで、ルールのパフォーマンスを向上させます。
クエリ実行中のタイムアウトや遅延を防止します。
ログ量が増加しても、検出効率を維持できるよう支援します。

注：チューニングに関する洞察は、クエリ応答の分析に基づいて生成されます。これらを適用すると、結果の一貫性に影響を与える可能性があります。適用前に確認してください。

[ルール概要] ボックスの右上隅にあるアイコンをクリックすると、ルールチューニングの設定ボックスが表示されます。
「ルールのチューニング」パネルが開き、以下が表示されます。
- ルールの条件とアクション。
- チューニングに関する洞察と推奨事項。
- グラフィカルな出力を伴うルール実行のプレビュー。

利用可能なアクション：

ルールのプレビュー
- クエリの実行傾向を示すサンプル出力グラフを生成します。
- 実行時間とデータ結果（例：ユーザー名、デバイス）を表示します。
- 精度を損なうことなく、チューニングによって効率が向上するかどうかを検証するのに役立ちます。
クエリのタイムアウトへの対応
- スケジュールされたタスクがクエリのタイムアウトにより失敗した場合は、次の操作を行うことができます：
  - クエリのタイムアウト値を調整します。
  - 推奨されるチューニングを適用します。

使用例：ブルートフォース攻撃の検出

特定の期間内に失敗および成功した Windows ログインを検出する「ブルートフォース」ルールを例に考えてみましょう。

チューニングを行わない場合、このルールは大量のデータセットを返す可能性があり、実行の遅延を引き起こす恐れがあります。
チューニングを行うと、以下のことが可能になります。
- ユーザー名やデバイスごとのグループ化を追加できます。
- 分析対象の結果数を制限する。
- 実行負荷を軽減するために、重複するユーザー名やデバイスを除外する。

結果：クエリの応答速度が向上し、ノイズが低減され、ブルートフォース攻撃の検知効率が向上します。

ルールのチューニングに関するベストプラクティス

調整を適用する前に、必ずルールをプレビューしてください。
ルールを無効にするのではなく、繰り返されるパターンに対しては手動で例外設定を行ってください。
ログの量や攻撃パターンが変化するにつれて、チューニングの推奨事項を定期的に見直してください。

C. 重大度

ルールに設定された重大度レベル（「Critical」、「Trouble」、「Attention」）が表示されます。

D. MITRE ATT&CK マッピング

ルールに関連付けられた、MITRE ATT&CK フレームワークに準拠した戦術および手法の分類。

E. タグ

ルールに関連付けられた、脅威アクター、ソフトウェア、業界セグメントなどの追加のコンテキストタグ。

F. 実行モードとステータス

各ルールに設定された実行構成モードを表示します。

G. アラートプロファイル

ここにリストされているすべてのルールに対して、アラートプロファイルを作成するオプションを提供します。
[アラートプロファイルの作成] オプションをクリックすると、対応するルールのアラートプロファイルが即座に作成され、以下のポップアップが表示されます。
上記のようにポップアップに表示される「ここをクリック」オプションをクリックすると、「アラートプロファイルの編集」モジュールに移動します。アラートプロファイルの編集および割り当ての詳細については、アラートプロファイルのヘルプページをご覧ください。

H. 作成者

このルールを作成したユーザー（このネットワーク内での役割によって識別されます）が表示されます。

I. ルールタイプ

ルールのカテゴリ（「標準」、「異常」、「高度」）が表示されます。

J. インストール日時

ルールライブラリからのルールインストール日時を表示します。

K. 最終変更日時

ルールに対して行われた最新の変更日時を表示します。

L. 検知

[検出を表示] リンクをクリックすると、その特定のルールによってトリガーされたすべての検出を確認できます。以下に示すように、その特定のルールに関する検出の推移グラフが表示されます。

検知結果に表示される詳細は以下の通りです：

表示のカスタマイズ：
並べ替えと表示件数のカスタマイズ：
- 「発生回数が多い順」「発生回数が少ない順」「昇順」「降順」のオプションから並べ替えと表示件数をカスタマイズし、「保存」ボタンをクリックします。
ウィジェットのカスタマイズ：
- 「グラフ」または「表」表示のオプションからウィジェットの表示をカスタマイズし、「保存」ボタンをクリックします。また、レポート内のパーセンテージを表示するか非表示にするかを選択することもできます。
検出グラフ：
- 異常を素早く特定するために、各ルールをトリガーしたイベント数を時間軸に沿って視覚的に表示します。グラフの横にあるドロップダウン矢印をクリックすると、選択可能なさまざまな種類のグラフが表示されます。
イベントログテーブル：ルールをトリガーした各検出イベントの詳細（終了時刻、イベントID、ログソース、時刻、ユーザー名、ドメイン、メッセージなど）を表示します。データテーブルの右上隅にあるアイコンをクリックすると、列ごとに表示したいフィールドの選択・選択解除や追加を行うことができます。提供されている多数のオプションからフィールドを選択できます。

検出モジュールで利用可能な操作：

ボタンをクリックすると、当該データをPDF形式またはCSVファイルのいずれかでエクスポートする形式を選択できます。
レポートのエクスポート履歴アイコンをクリックすると、その特定のレポートについて過去に行われたデータエクスポートの完全な履歴を表示できます。
また、をクリックすることで、検出の対象となる期間をカスタマイズすることもできます。

以下の操作が可能です：

希望する期間の開始日と終了日を選択します。
要件に合った、あらかじめ定義された時間範囲のいずれかをクリックします。
[カスタム範囲] をクリックし、表示したい過去の日数分のデータに相当する数値を、下のボックスに入力します。
[適用]をクリックします。

以下は、各ルールカテゴリに基づいて行われた検知およびその詳細にアクセスするための手順です：

検知の詳細にアクセスする手順

「ルールの管理」モジュールに移動し、確認したいルールの「最近の検出」列に表示されている数字をクリックします。
そのルールで特定された検知結果が表示されます。以下で強調表示されている「イベント分析を表示」アイコンをクリックします。
「タイムライン」をクリックして、イベント分析のタイムライン表示を表示します。
「詳細」をクリックします。
「イベントの詳細」ペインがスライドして開き、そのルールでフラグが立てられた検出のすべての詳細を確認できます。

標準ルールの検出

標準ルールが設定され、有効化されると、製品は受信ログを継続的に監視し、あらかじめ定義された検出条件に一致するイベントを探します。標準ルールはシグネチャベースであるため、単一のログイベントが、イベント ID、ログソースタイプ、ユーザー、オブジェクト名、メッセージパターンなどの設定された基準を満たすたびに、検出がトリガーされます。トリガーされたすべての検出結果は、「検出」の下に一覧表示されます。

「検出」ビューでは、どのアクティビティがルールに一致したか、誰がそれを実行したか、および元のログに記録されたイベント属性の全容を確認できます。これにより、セキュリティに関連するイベントの迅速な検証と優先順位付けが可能になります。

検出対象

各標準ルールの検出エントリは、ルール条件に一致したアクティビティを表します。HCR以外の標準ルールの場合、これは単一のログイベントに対応します。HCRベースの標準ルールの場合、検出は複数の相関付けられたイベントから導き出されることがあります。「イベントの詳細」パネルには、トリガーとなったアクティビティの完全な生コンテキストが表示されます。

標準ルールの検出が生成されると、以下の詳細情報が表示されます：

メッセージ：ログソースから受信したイベントの完全な説明。これには通常、
- ユーザーアカウントの詳細
- アクセスされたオブジェクト名
- プロセス情報
- アクセス権限と結果
カテゴリとタイプ：ファイルシステム → セキュリティなどのログ分類を示し、アナリストがアクティビティの性質を即座に特定するのに役立ちます。
発生時刻：ソースシステムによってイベントが記録された正確なタイムスタンプが表示されます。
エンティティ情報：以下の主要な識別フィールドが記録されます。
- ユーザー名
- ドメイン
- ホスト名
- セキュリティ ID
アクセスされたオブジェクト／リソース：イベントで参照されている正確なファイル、フォルダー、またはリソースが表示されます。たとえば、スクリーンショットでは、削除されたファイルのフルパスが含まれています。
イベント ID およびソース：元のログソースイベント（Windows セキュリティイベント ID 4656 など）を特定し、フォレンジックによる追跡を可能にします。
プロセス情報：次のような属性が含まれます：
- プロセス名
- プロセス ID
- オブジェクトサーバー
結果と重大度：操作が成功したかどうか、および検出に割り当てられた重大度レベルを示します。

これらのフィールドは、検出されたイベントを総合的に説明し、そのアクティビティが予想されたものか、不審なものか、あるいは悪意のあるものかを検証するのに十分な技術的詳細を提供します。

標準ルールの検出結果の解釈

標準ルールの検出結果は、以下の目的で使用します。

ファイルへのアクセス、ログオン試行、権限の使用、設定の変更など、セキュリティに関連する個々のイベントを特定します。
監査や調査のために、生のイベント属性全体を確認する。
検出されたアクションが業務活動と整合しているかどうかを検証する。
必要に応じて、ユーザーレベルまたはホストレベルの調査に迅速に切り替える。

標準ルールは、既知で明確に定義されたセキュリティ上重要なアクションを監視するのに最適であり、単一のイベントだけでアラートを発行する根拠となります。

異常ルールの検出

異常ルールが設定され、有効化されると、製品は受信ログを継続的に監視し、ルールで定義された条件に一致する行動の逸脱を検出します。逸脱が検出されると、プラットフォームはそれを異常としてフラグ付けし、「検出」に記録します。

「検出」ビューでは、何が検出されたか、なぜ検出されたか、どのエンティティがトリガーとなったかを把握できるため、より迅速なトリアージと対応が可能になります。

検出される内容：

各異常検出エントリには、トリガーされた異常に関連する詳細情報が表示されます。異常ルールは静的なログシグネチャではなく、行動パターン、ベースライン、および閾値からの逸脱に基づいているため、検出結果は標準ルールや高度なルールとは異なります。

異常が検出されると、以下の詳細情報が表示されます：

異常タイプ：異常ルールによって検出された逸脱のカテゴリを指定します。サポートされているタイプは次のとおりです：
- 時間：アクティビティが通常の時間ベースラインの範囲外で発生しました。
- 回数：発生回数が予想される閾値を超えました。
- パターン：アクティビティが、予想される／通常の行動パターンと一致しませんでした。
異常メッセージ：検出理由を説明するもので、逸脱パターンや予想されるベースラインの挙動が含まれます。例：パターン：HOSTNAME → USERNAME 取得値：192.168.23.12 → [username] 予想されるパターンや過去のベースラインも表示されるため、アナリストは、そのイベントが通常のユーザーまたはシステムの挙動とどのように異なるかを把握できます。
エンティティタイプ：異常がユーザー、ホスト、アプリケーション、またはサービスアカウントのいずれによって引き起こされたかを示します。エンティティの分類は、同じソースからの繰り返される異常を相関させるのに役立ちます。
エンティティ名：異常なエンティティの識別情報を表示します。たとえば、逸脱の原因となったユーザーやホストなどです。これにより、ユーザーや資産を中心とした調査へ迅速に切り替えることができます。
イベントの詳細：ログソース（例：Windows セキュリティログ）から取得された生のイベントコンテキストです。これには、送信元 IP アドレス、タイムスタンプ、アカウントのドメイン詳細、セキュリティ ID、ログオン識別子、およびイベント ID が含まれます。

これらの詳細情報を総合的に分析することで、異常の背景が明らかになり、その逸脱が悪意のあるものか、不審なものか、あるいは業務上のものかを判断できるようになります。

異常検出の解釈

異常検出を活用して、以下のことを行います：

アカウントの不正使用を示唆する可能性のある、異常なアクセスパターンや権限の変更を特定する。
異常なログイン時間帯、見慣れないマシン、不規則な認証場所など、ユーザーの過去の行動からの逸脱を追跡する。
ホストレベルでの不正な設定変更を検出します。
同じユーザーまたはマシンからの複数の異常を関連付け、インシデントの仮説を構築する。

高度なルールによる検知

高度なルールが設定され、有効化されると、製品は、ルールで定義された静的な条件に対して、受信ログを継続的に評価します。イベントが設定されたロジック（たとえば、単一のソースからの繰り返しの認証失敗など）に一致すると、プラットフォームはそれを検出としてフラグ付けし、「検出」に記録します。

「検出」ビューでは、何が検出されたか、なぜトリガーされたか、どのユーザーまたはシステムが関与していたかを特定できるため、セキュリティ分析と対応を迅速に行うことができます。

検出対象：

各高度な検出エントリには「イベント詳細」ビューが含まれており、トリガーされたイベントに関連する生のログ属性がすべて表示されます。行動の逸脱に依存する異常検出とは異なり、このビューは、特定の認証アクティビティやログオンイベントなど、事前に定義されたルール条件との直接的な一致を反映しています。

高度なルールによる検知がトリガーされると、以下のイベントレベルの詳細が表示されます：

リスクレベル：個々のログイベントのリスク評価（例：低、中、高）を示します。これにより、アナリストは検出されたアクティビティの重要度を評価できます。
カテゴリ：イベントの種類を指定します。この例では、イベントは「ログオン」カテゴリに分類されます。
認証パッケージ：ログオン試行時に使用された認証メカニズム（例：Kerberos）を示します。これは、Kerberos や NTLM などの認証フローを区別するのに役立ちます。
メッセージ：ログソースからの完全な生の監査メッセージを表示します。これには、セキュリティ識別子、アカウント名、プロセスの詳細、ネットワークアドレス、およびなりすましレベルなどの重要なコンテキストフィールドが含まれます。生のメッセージは、検証および調査のための完全なフォレンジックコンテキストを提供します。
イベント名：オペレーティングシステムによって生成されたイベントの種類を示します。例：Windows ログオン成功。
デバイス：イベントが発生したデバイスまたはホストを表示します。
GUID：ログオンイベントに関連付けられた一意の識別子です。
時刻：イベントが記録された正確なタイムスタンプを表示します。
重大度：ログオンイベントが「成功」か「失敗」かを示します。
イベント ID：オペレーティングシステムの監査イベント ID が表示されます。例：4624。これは、Windows でのログオン成功イベントに対応します。
ソース: 「Microsoft-Windows-Security-Auditing」などのログソースの種類を指定します。
リモートデバイスの IP：認証要求を開始したリモートマシンの IP アドレスが表示されます。
ログオンタイプ: ログオンセッションのタイプ (たとえば、3 — ネットワークログオン) が表示されます。これにより、アナリストは、ローカル、ネットワーク、バッチ、またはサービスベースの認証を区別することができます。
呼び出し元のログオン ID: 認証を開始したプロセスのログオンセッション識別子を指定します。
ユーザー名とセキュリティ識別子: ログオンに関与したユーザーアカウントと、それに対応する SID を表示します。
なりすましレベル: アカウントが委任アクセスに使用されているかどうかを示します。
追加のネットワークおよびホスト属性：これには、送信元ポート、ホストタイプ、ドメイン情報などの詳細が含まれ、ログオンがどのように、どこで開始されたかをさらに詳しく説明します。

これらのフィールドは、認証イベントのコンテキスト全体を再現し、アナリストが検知されたアクティビティを検証し、それが正当なアクセスであるか、悪意のある動作であるかを判断するのに役立ちます。

高度な検出イベントの詳細の解釈

[イベントの詳細] ビューを使用して、次のことを行います。

検出されたログオンが成功したか失敗したかを確認する
認証試行に使用された発信元デバイスまたは IP を特定する
関与した認証プロトコルとログオン種別を特定する
特権アカウント（管理者など）が使用されたかどうかを確認する
ログオンの委任やなりすましの挙動を追跡する
関連する認証イベント間でフォレンジック相関分析を実行する

「イベントの詳細」ビューを分析することで、アナリストは認証イベントに関するホストレベルの詳細な可視性を得ることができ、検証、優先順位付け、およびインシデント調査を迅速に行うことが可能になります。

スケジュールされたレポート

注：検出レポートには、[ManageRules] モジュールから直接アクセスできます。詳細については、「スケジュールされた検出レポート」を参照してください。

以下で強調表示されている「スケジュールされたレポート」オプションをクリックします。
該当するルールレポート（存在する場合）の利用可能なスケジュールが画面に表示されます。
以下の手順に従って、特定のルールに対するスケジュールを作成できます。
- 以下で強調表示されている「スケジュールを作成」をクリックします。
- クリックすると、[スケジュールを作成] 用の入力フィールドが表示されるポップアップが表示されます。
- 必要な項目を入力してください：
  - スケジュールの詳細
    - スケジュール名：スケジュールに一意の名前を付けます。
    - スケジュールの頻度：スケジュールを実行する頻度（1時間ごと、1日ごと、1週間ごと、または1ヶ月ごと）を定義します。
    - エクスポート対象期間：データを含める期間を指定します（例：過去24時間、過去7日間、またはカスタム）。
    - レポート形式：エクスポートするレポートの形式を選択してください（PDF、CSV、XLS）。
  - 通知
    - テンプレートの選択：あらかじめ定義されたレポートテンプレートを選択するか、カスタマイズします。
- スケジュールの設定が完了したら、「保存」をクリックします。設定が正常に完了すると、ポップアップボックスにスケジュールが更新され、確認メッセージが表示されます。
- また、ポップアップボックス内の編集アイコンをクリックして、スケジュールを編集することもできます。編集用の同じフィールドが表示されます。
- 編集を行い、「更新」をクリックします。正常に完了すると、ポップアップボックスでスケジュールが更新され、確認メッセージが表示されます。

関連情報

このドキュメントでは、「ルールの管理」モジュールの操作方法、ルールに対する主要な操作の実行方法、詳細なルール概要の表示方法、パフォーマンスの調整方法、および詳細な分析のための検出レポートの生成方法について説明しました。