Mandiant ハンティングのルール
このドキュメントでは、Mandiant ハンティングのルールセット、 必要なデータソース、Google Security Operations プラットフォームで生成されるアラートを調整するための構成オプションの概要について説明します。
Mandiant Hunting Rules は、クラウドデータとエンドポイント データに関連するセキュリティ イベントを特定します。これらのルールは、Mandiant Threat Defense チームと連携して開発され、 脅威ハンティング オペレーションのベースラインを提供します。これらのルールからの検出結果は、複合ルールで使用できます。 このカテゴリには次のルールセットが含まれます。
クラウド識別ルール: 世界中のクラウド インシデントに対する Mandiant Threat Defense の調査と対応から導き出されたロジック。これらのルールは、 セキュリティに関連するクラウド イベントを検出するように設計されており、 クラウド複合ルールセットの相関ルールで使用するように設計されています。
エンドポイント識別ルール: 世界中のインシデントに対する Mandiant Threat Defense の調査と対応から導き出されたロジック。これらのルールは、セキュリティに関連する エンドポイント イベントを検出するように設計されており、エンドポイント 複合ルールセットの相関ルールで使用するように設計されています。
サポート対象のデバイスとログタイプ
これらのルールは主に、Cloud Audit Logs のログ、エンドポイントの検出と 対応のログ、ネットワーク プロキシのログに依存しています。Google SecOps 統合データ モデル（UDM）は、これらのログソースを自動的に正規化します。
Google SecOps がサポート対象とするすべてのデータソースのリストについては、 サポート対象のデフォルトのパーサーをご覧ください。
次のカテゴリでは、 キュレートされた複合コンテンツが効果的に機能するために必要な最も重要なログソースについて説明します。
エンドポイント識別ルールのログソース
Google Cloud 識別ルールのログソース
Google Cloud とエンドポイント ルールのログソース
使用可能なキュレーテッド検出の完全なリストについては、 キュレートされた検出を使用するをご覧ください。別の仕組みを使用して 検出ソースを有効にする必要がある場合は、Google SecOps の担当者にお問い合わせください。
Google SecOps には、 未加工のログを解析して正規化するデフォルトのパーサーが用意されており、複合ルールセットとキュレートされた 検出ルールセットで必要なデータを使用して UDM レコードを作成します。Google SecOps がサポート対象とするすべての データソースのリストについては、サポート対象のログタイプとデフォルトのパーサーをご覧ください。
ルールセット内のルールを変更する
組織のニーズに合わせて、ルールセット内のルールの動作をカスタマイズできます。次のいずれかの検出モードを選択して各ルールの動作を調整し、ルールがアラートを生成するかどうかを構成します。
- 広範囲: 悪意のある動作や異常な動作を検出しますが、ルールの一般的な性質により、偽陽性が多くなる可能性があります。
- 正確: 特定の悪意のある動作や異常な動作を検出します。
設定を変更する手順は次のとおりです。
- ルールのリストで、変更する各ルールの横にあるチェックボックスをオンにします。
- ルールの [ステータス] と [アラート] の設定を次のように構成します。
- ステータス: 選択した
ルールにモード（正確 または 広範囲）を適用します。
Enabledに設定すると、ルールのステータスがモードに有効になります。 - [アラート]: ルールが [アラート] ページにアラートを生成するかどうかを制御します。アラートを有効にするには、On に設定します。
- ステータス: 選択した
ルールにモード（正確 または 広範囲）を適用します。
ルールセットからのアラートを調整する
ルール除外を使用すると、複合ルールによって生成されるアラートの数を減らすことができます。
ルールの除外では、特定のイベントが ルールまたはルールセットによって評価されないようにする条件を指定します。除外を使用して検出量を減らします。 詳細については、ルールの除外対象の構成をご覧ください。
さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。