macOS の脅威
このドキュメントでは、macOS 脅威カテゴリのルールセットの概要、必要なデータソース、これらのルールセットによって生成されるアラートの調整に使用できる構成について説明します。
macOS 脅威カテゴリのルールセットは、CrowdStrike Falcon、macOS Auditing System（AuditD）、Unix システムログを使用して macOS 環境の脅威を特定するのに役立ちます。 このカテゴリには次のルールセットが含まれます。
- Mandiant Intel Emerging Threats: このルールセットには、Mandiant Intelligence Campaigns と Significant Events から派生したルールが含まれています。これらのルールは、Mandiant が評価した、影響力の大きい地政学的活動と脅威アクティビティを対象としています。このアクティビティには、地政学的紛争、エクスプロイト、フィッシング、マルバタイジング、ランサムウェア、サプライ チェーンの侵害などが含まれます。
サポート対象のデバイスとログタイプ
このセクションでは、各ルールセットに必要なデータを示します。別の EDR ソフトウェアを使用してエンドポイント データを収集している場合は、Google Security Operations の担当者にお問い合わせください。
Google SecOps がサポート対象とするすべてのデータソースのリストについては、 サポート対象のデフォルトのパーサーをご覧ください。
Mandiant Front-Line Threats ルールセットと Mandiant Intel Emerging Threats ルールセット
これらのルールセットはテスト済みであり、Google SecOps のサポート対象となっている次の EDR データソースでサポートされています。
- Carbon Black（
CB_EDR） - SentinelOne (
SENTINEL_EDR) - Crowdstrike Falcon（
CS_EDR）
これらのルールセットは、Google SecOps のサポート対象となっている次の EDR データソースに対してテストされ、最適化されています。
- Tanium
- Cybereason EDR (
CYBEREASON_EDR) - Lima Charlie (
LIMACHARLIE_EDR) - OSQuery
- Zeek
- Cylance（
CYLANCE_PROTECT）
これらのログを Google SecOps に取り込むには、Google SecOps に Google Cloud データを取り込むをご覧ください。別の仕組みを使用してこれらのログを収集する必要がある場合は、Google SecOps の担当者にお問い合わせください。
Google SecOps がサポート対象とするすべてのデータソースのリストについては、 サポート対象のデフォルトのパーサーをご覧ください
macOS 脅威のカテゴリから返されるアラートの調整
ルール除外を使用して、ルールまたはルールセットが生成する検出数を減らすことができます。
ルールの除外では、ルールセットによる評価からイベントを除外する UDM イベントの条件を定義します。
1 つ以上のルール除外を作成して、このルールセットまたはルールセット内の特定のルールによる評価からイベントを除外する UDM イベントの条件を特定します。これを行う方法については、ルール除外を構成するをご覧ください。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。