エイリアスの構成

以下でサポートされています。

エイリアスを使用すると、エンリッチメントが可能になります。たとえば、エイリアスを使用すると、ホスト名の IP アドレスと MAC アドレス、またはユーザー ID の役職と雇用ステータスを検索できます。

Google Security Operations の他の機能と同様に、エイリアスを使用するには、データの取り込みとインデックス登録が必要です。次のカテゴリがあります。

  • お客様固有のデータ: お客様に固有のデータ。たとえば、tim.smith@cymbal.com のデータを提供できるのは Cymbal のみです。お客様固有のエイリアスタイプには、アセット、ユーザー、プロセスなどがあります。
  • グローバル データ: すべてのお客様に適用されるデータ。Google は、お客様に代わってこのデータを取り込み、 インデックス登録します。たとえば、悪意のあるファイルに関する Google Threat Intelligence のデータを使用して、一致するファイル ハッシュ値を使用して、企業内にそのファイルが存在するかどうかを確認できます。詳細については、VirusTotal ファイルのメタデータを使用してイベントを拡充するをご覧ください。 Google SecOps は、お客様固有のデータに含まれる IP アドレスを地理的 位置にマッピングする GeoIP データも提供します。詳細については、IP ジオロケーション エンリッチメントをご覧ください。

アセットのエイリアス

アセットのエイリアスは、ホスト名、IP アドレス、MAC アドレス、アセット ID、その他の メタデータをリンクします。次の作業を行います。

  • DHCP エイリアス: DHCP イベントを使用して、ホスト名、MAC アドレス、IP アドレスをリンクします。
  • EDR エイリアス: プロダクト ID（アセット ID）をホスト名にマッピングします。 EDR マッピング フィールドは、CS_EDR ログタイプからのみ派生します。
  • アセット コンテキスト エイリアス: アセット インジケーターを、 ホスト名、IP アドレス、MAC アドレス、ソフトウェア バージョン、デプロイ ステータスなどのエンティティ データに関連付けます。

DHCP インデックス フィールド

Google SecOps は DHCP レコードにインデックスを付けて、 ホスト名、IP アドレス、MAC アドレスをリンクするエイリアスを生成します。

次の表に、アセットのエイリアスに使用される UDM フィールドと対応するインジケーター タイプを示します。

UDM フィールド インジケーター タイプ
principal.ip と principal.asset.ip ASSET_IP_ADDRESS
principal.mac と principal.asset.mac MAC
principal.hostname と principal.asset.hostname HOSTNAME
principal.asset_id と principal.asset.asset_id PRODUCT_SPECIFIC_ID
network.dhcp.yiaddr ASSET_IP_ADDRESS
INFORM、RELEASE、REQUEST の network.dhcp.ciaddr ASSET_IP_ADDRESS
DECLINE の network.dhcp.requested_address ASSET_IP_ADDRESS
network.dhcp.chaddr MAC
network.dhcp.client_hostname HOSTNAME

EDR マッピング インデックス フィールド

Google SecOps は EDR マッピング フィールドにインデックスを付けて、ホスト名とプロダクト固有の ID を リンクするエイリアスを生成します。

次の表に、UDM フィールドと対応するインジケーター タイプを示します。

UDM フィールド インジケーター タイプ
principal.hostname と principal.asset.hostname HOSTNAME
principal.asset_id と principal.asset.asset_id PRODUCT_SPECIFIC_ID

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。