Mandiant の推奨ルール

以下でサポートされています。

このガイドは、セキュリティ オペレーション センター（SOC）のアナリストと検出エンジニアが、高忠実度の脅威検出ベースラインを確立するのに役立ちます。Google Security Operations の Mandiant Recommended ルールが、SOC のアラート疲れを最小限に抑えながら脅威アクターの行動を特定するように設計された、キュレートされた脅威検出ベースラインをどのように提供するかについて説明します。

一般的なユースケース

このワークフローの一般的なユースケースは次のとおりです。

脅威検出の自動化のベースライン

目的: ルールごとの手動構成なしで脅威アクターの行動を特定する、キュレートされた脅威検出ベースラインを確立します。

価値: Mandiant 推奨ベースラインのコア アーキテクチャ戦略では、複合検出（マルチイベントとマルチ検出の相関）と高精度の 脅威インテリジェンス（ATI）を組み合わせて使用します。ノイズの多い単一イベントのアラートよりも多段階の複合ロジックを優先することで、デフォルトで検出の信頼性が高まり、初期のルール調整の要件が軽減されます。

割り当てなしの検出範囲

目的: カスタムルールの容量割り当てを消費することなく、環境全体で脅威検出の対象範囲を最大化します。

価値: Mandiant 推奨ルールは、カスタムルールの容量割り当てにカウントされないため、容量を犠牲にすることなくカバレッジを最大化できます。

主な用語

  • Mandiant の推奨ルール: Google Security Operations のキュレーテッド検出ルール。SOC のアラート疲れを最小限に抑えながら、脅威アクターの行動を特定します。
  • 複合検出: 複数のイベントと複数の検出の相関関係。単一イベントのアラートよりも多段階の複合ロジックを優先します。
  • Applied Threat Intelligence（ATI）: キュレートされたベースラインの複合検出とともに使用される高精度の脅威インテリジェンス。
  • タグ サブスクリプション サービス: google.mandiant.recommended タグが付けられた自動化ルールのデプロイとライフサイクル管理を自動化するバックグラウンド サービス。

始める前に

タグ サブスクリプションを管理するには、次の IAM 権限が必要です。

  • chronicle.tagSubscriptions.create
  • chronicle.tagSubscriptions.delete
  • chronicle.tagSubscriptions.get
  • chronicle.tagSubscriptions.list
  • chronicle.tagSubscriptions.update

主なコンセプトとルールタグ付けインフラストラクチャ

Mandiant 推奨ベースラインでは、Google SecOps の統合ルール ダッシュボードとバックグラウンド サブスクリプション サービスを使用して、デプロイとライフサイクル管理を自動化します。

システムタグとカスタムタグ

Google SecOps は、このキュレートされたベースラインのすべての検出ルールに、次のタグを自動的に付けます。

google.mandiant.recommended

このタグを使用すると、Google SecOps は推奨ルールを自動的に識別、有効化、更新できます。

タグのサブスクリプション

ルールごとに手動で有効にする代わりに、サブスクリプション サービスを使用してタグをサブスクライブできます。

  • 自動同期: google.mandiant.recommended タグをサブスクライブすると、サブスクリプション サービスがトリガーされます。
  • LiveRules の入力: サブスクリプション サービスは、推奨される検出とアラートの設定を使用して、対応する YARA-L ルールを自動的に入力して有効にします。

タグのサブスクリプションを管理するには:

  1. [ルールと検出] ダッシュボードに移動し、[概要] タブを選択して、[タグのサブスクリプションを管理] をクリックします。
  2. [Mandiant Recommended] タグを見つけて、切り替えをオンに設定してサブスクリプションを有効にします。配信停止するには、切り替えボタンをオフに設定します。

Mandiant 推奨タグに登録すると、そのタグが付いたすべてのキュレートされたルールが、推奨される検出とアラートの設定に自動的に設定されます。これらの設定をオーバーライドする必要がある場合は、ルールの [概要] タブを使用して各ルールを更新できます。警告は、Mandiant 推奨サブスクリプション ベースラインから設定を変更したことを示します。ルール設定を変更する代わりに、キュレートされたルールの除外機能を使用できます。詳細については、ルールの除外を抑制するをご覧ください。

Mandiant の推奨構成とオーバーライドのすべての違いを表示するには、[概要] タブに移動して [差分を表示して調整] をクリックします。これにより、オーバーライドを Mandiant の推奨デフォルトに戻すことができる概要ドロワーが開きます。このボタンは、[Alignment] の値が 100% 未満の場合にのみ表示されます。

キュレートされた保存済みビュー

Google SecOps は、Mandiant の推奨ルールと呼ばれるデフォルトの固定された保存済みビューを統合ルール ダッシュボードに追加します。このビューでは、フィルタ条件 (rule_owner:"*" AND archived=false) AND (tags:"google.mandiant.recommended") が使用されます。

ルールの検索の詳細については、ルールリストを検索するをご覧ください。

トラブルシューティング

このセクションでは、一般的な問題を解決し、推奨ルールの動作を理解するための情報を提供します。

Mandiant 推奨ルールで標準アラートを無効にすると、ハード制限ではなく警告メッセージがトリガーされます。推奨ルールのアラートを無効にする前に、チームがアクティブなカバレッジを維持していることを確認します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。