サードパーティ ベンダーのアラートを管理する

以下でサポートされています。

このドキュメントでは、サードパーティ ベンダーのアラートカテゴリのルールセットの概要、必要なデータソース、各ルールセットによって生成されるアラートの調整に使用できる構成について説明します。

サードパーティ ベンダーのアラート カテゴリのルールセットは、サードパーティ ベンダーのアラートを Google Security Operations の検出として表示します。このカテゴリには、次のルールセットが含まれます。

  • Carbon Black アラート: Carbon Black アラートのパススルールール。
  • CrowdStrike アラート: CrowdStrike アラートのパススルールール。
  • Microsoft Defender for Endpoint アラート: Microsoft Defender for Endpoint Graph アラートのパススルールール。
  • SentinelOne Threats アラート: SentinelOne アラートのパススルールール。
  • Cybereason EDR パススルールール: Cybereason EDR アラートのパススルールール。
  • Deep Instinct EDR パススルールール: Deep Instinct EDR アラートのパススルールール。
  • Digital Guardian EDR パススルールール: Digital Guardian EDR アラートのパススルールール。
  • ESET EDR パススルールール: ESET EDR アラートのパススルールール。
  • Fortinet FortiEDR パススルールール: Fortinet FortiEDR アラートのパススルールール。
  • Google Threat Intelligence（BYOL）: Google Threat Intelligence からお客様が取り込んだ脅威インジケーターとテレメトリーを照合するルール。
  • LimaCharlie EDR パススルールール: LimaCharlie EDR アラートのパススルールール。
  • MalwareBytes EDR パススルールール: MalwareBytes EDR アラートのパススルールール。
  • PAN EDR パススルールール: PAN EDR アラートのパススルールール。
  • Sophos EDR パススルールール: Sophos EDR アラートのパススルールール。
  • Symantec EDR パススルールール: Symantec EDR アラートのパススルールール。
  • Uptycs EDR パススルールール: Uptycs EDR アラートのパススルールール。

サポート対象のデバイスとログタイプ

このセクションでは、各ルールセットに必要なデータについて説明します。

サードパーティ ベンダーのアラート カテゴリのルールセットはテスト済みであり、Google SecOps のサポート対象となっている次の EDR データソースでサポートされています。

  • Carbon Black (CB_EDR)
  • CrowdStrike Detection Monitoring（CS_ALERTS）
  • Microsoft Defender for Endpoint（MICROSOFT_GRAPH_ALERT）
  • SentinelOne CF（SENTINELONE_CF）
  • Cybereason EDR (CYBEREASON_EDR)
  • Deep Instinct EDR（DEEP_INSTINCT_EDR）
  • Digital Guardian EDR（DIGITAL_GUARDIAN_EDR）
  • ESET EDR（ESET_EDR）
  • Fortinet FortiEDR（FORTINET_FORTIEDR）
  • Google Threat Intelligence（BYOL）（GCP_THREATINTEL）
  • LimaCharlie EDR（LIMACHARLIE_EDR）
  • MalwareBytes EDR（MALWAREBYTES_EDR）
  • PAN EDR（PAN_EDR）
  • Sophos EDR（SOPHOS_EDR）
  • Symantec EDR（SYMANTEC_EDR）
  • Uptycs EDR（UPTYCS_EDR）

Google SecOps がサポート対象とするすべてのデータソースのリストについては、サポートされているログタイプとデフォルト パーサーをご覧ください。

ルールセットによって返されるアラートを調整する

ルール除外を使用して、ルールまたはルールセットが生成する検出数を減らすことができます。

ルールの除外では、ルールセットまたはルールセット内の特定のルールによる評価対象からイベントを除外するために使用される条件を定義します。1 つ以上のルールの除外を作成して、検出の量を減らします。詳細については、アラートの抑制を構成するをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。