アラートの抑制を構成する
このドキュメントでは、Google Security Operations で使用できる、ノイズの多いアラートを抑制し、重大な脅威に優先順位を付けるメカニズムについて説明します。アラートの抑制では、事前定義された条件に基づいて重複したアラートや価値の低いアラートが自動的にフィルタされます。この抑制により、SOC チームは優先度の高いセキュリティ インシデントに集中できます。
アラートの抑制を使用すると、同じ基盤となるアクティビティからの重複アラート、構成ミスによる誤検出、既知の無害なアクティビティでトリガーされる広範なルールロジック、計画されたメンテナンスの時間枠など、さまざまなトリガーによって生成されるボリュームを管理できます。
Google SecOps には、アラート量を管理する次の方法が用意されています。
スロットリング: 最初のアラートがトリガーされた後、定義された時間枠（1 時間など）で同じアクティビティの繰り返し検出を抑制します。
除外: 除外を使用すると、アラートがトリガーされる前に一致をフィルタリングして、特定の検出を防止できます。ルールのロジックを満たしているが、除外条件を満たしていないイベントは、通常どおり検出をトリガーします。
SOAR ハンドブック: IP アドレスやホスト名などの特定のエンティティ ルックアップに基づいて、時間制限付きのアラート抑制を提供します。
SOAR アラートのグループ化: 類似したアラートを基準に基づいて 1 つのケースに自動的にクラスタリングし、調査を効率化します。
スロットリングによるアラートの抑制
スロットリングは、最初のルール一致の後、指定された期間、検出を抑制します。ルールロジックで suppression_window オプションと suppression_key オプションを使用すると、システムは抑制キーの最初の固有の組み合わせに対してのみ検出を生成します。Google SecOps は、定義されたウィンドウが期限切れになるまで、同じ組み合わせの後続の一致をすべて抑制します。
この方法により、同じ基盤となるアクティビティによって発生する重複した検出を効果的に削減できます。
ユースケース
PowerShell の実行: 最初のイベントから 1 時間、同じユーザーとホストに対する繰り返しのアラートを抑制します。
ネットワーク スキャン: 最初の検出から 6 時間、悪意のあるポートスキャナからの繰り返しのアラートを抑制します。
ノイズの多いルールをモニタリングする
ノイズの多いルールを特定する手順は次のとおりです。
[メニュー] をクリックし、[検出] > [ルールと検出] を選択します。
[ルール エディタ] タブでルールを選択し、[テスト] をクリックします。
期間セレクタを調整して、過去 7 日間のデータを分析します。ルールで 1 日に 100 件を超える検出が生成される場合は、ルールが広すぎる可能性があります。
[メニュー] をクリックし、[ルールの検出を表示] をクリックします。検出の詳細ページが表示されます。
[Procedural Filtering] パネルで、寄与する UDM フィールドを特定します。
matchセクションまたは$suppression_keyを変更して、検出の量を減らします。
例: 場所ごとに一意のログインを特定する
アラート疲れを防ぎながら、場所ごとに一意のログインを識別するには、同じ状態からの検出を抑制します。UDM フィールド event.principal.location.state を探して、状態ごとの検出数を確認します。
特定の状態の数が過度に多い場合は、そのフィールドを suppression キーまたは match キーに追加します。これにより、システムは一意のログイン場所ごとに 1 つの検出のみを発生させます。
検出のスロットリングを構成する
スロットリングでは、最初のアラートがトリガーされてから指定された期間、検出が抑制されます。重複する検出を制限するには、ルールの options セクションに suppression_window を追加します。次のガイドラインが適用されます。
単一イベントルール:
outcomeセクションで$suppression_key変数を定義して、重複除去キーとして機能させます。マルチイベント ルール:
matchセクションの変数を重複除去キーとして使用します。ウィンドウ期間:
suppression_windowがmatchウィンドウ サイズ以上であることを確認します。同じ期間に設定すると、抑制が適用されていないかのようにルールが動作します。上限: 抑制ウィンドウの期間に上限はありません。
互換性: スロットリングは、単一イベントルールとマルチイベントルール、カスタムルールとキュレートされたルールの両方に適用されます。
例: Windows ファイル共有アクティビティをモニタリングする
次のルールは、Windows ファイル共有アクティビティをモニタリングします。60 分間（1hr）のウィンドウ内で、一意のユーザーとホスト名ごとに 1 つの検出を作成し、同じ組み合わせの重複する一致を 24 時間（24h）抑制します。
rule rule_noisy_winshares {
meta:
author = "Google Cloud Security"
events:
$e.metadata.event_type = "NETWORK_CONNECTION"
$e.target.resource.name = /(C|ADMIN|IPC)\$/ nocase
$user = $e.principal.user.userid
$hostname = $e.target.hostname
match:
$hostname, $user over 1h
outcome:
$sharename = array_distinct($e.target.resource.name)
condition:
$e
options:
suppression_window = 24h
}
この構成により、アナリストは、抑制期間中に同じユーザーとホストの重複するアラートを処理することなく、最初のアクティビティを調査できます。
ルール除外を使用してアラートを抑制する
除外を使用すると、アラートがトリガーされる前に一致をフィルタリングして、特定の検出を防止できます。一致が除外ロジックを満たす場合、システムは検出を抑制します。ルールのロジックを満たしているが、除外条件を満たしていないイベントは、通常どおり検出をトリガーします。適用された除外は、手動で無効にするまで有効なままになります。
[ルールと検出] ページの [除外] タブで、除外の完全なリストと関連するメタデータを表示、管理、監査できます。テスト除外機能を使用して、特定のフィルタを適用する前に、検出量に与える影響を評価することもできます。
API を使用して除外を作成するには、API を使用してルールの除外を管理するをご覧ください。
ユースケース
承認された IT ツールによる正当な PowerShell の実行を抑制する。
大量のポートスキャンを実行する内部脆弱性スキャナを除外します。
ルールの除外対象を作成する
ノイズの多いルールの除外を作成する手順は次のとおりです。
[メニュー] > [検出] > [ルールと検出] に移動します。
[Rules Dashboard] タブで、検出数の多いルールを探します。
[ルール名] をクリックして、[検出] ページを開きます。
[ルールのオプション] > [除外] をクリックします。
除外フィルタを追加するには、次の詳細を指定します。
除外名
適用されるルールまたはルールセット
指定された条件が満たされた場合に検出を抑制する除外条件。複数の条件を追加する場合は、次のガイドラインに沿って操作してください。
論理 OR 関係を作成するには、Enter キーを使用して 1 行に複数の値を入力します。
例:
principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2[+ 条件ステートメント] をクリックして、前のステートメントと論理的な
AND関係を持つ新しいステートメントを追加します。例:
(principal.ip IS 192.158.1.38 OR principal.ip IS 192.186.0.2) AND (principal.user.userid CONTAINS sensitive)
省略可: [除外をテスト] をクリックして、過去 30 日間の検出数の減少をフィルタがどのように測定するかを確認します。結果に基づいて条件を調整します。
[作成] をクリックして、除外を有効にします。
ルールの除外を管理する
除外を管理する手順は次のとおりです。
[メニュー] > [検出] > [ルールと検出] に移動します。
[除外設定] タブに移動して、除外設定のリストを表示します。次のことが可能です。
除外を有効または無効にするには、[有効] の切り替えボタンを切り替えます。
除外をフィルタするには、 [フィルタ] をクリックします。
除外を編集するには、 [メニュー] > [編集] をクリックします。
除外をアーカイブするには、 [メニュー] > [アーカイブ] をクリックします。
除外を復元するには、 [メニュー] > [アーカイブ解除] をクリックします。
API を使用してルール除外を作成、管理するには、API を使用してルール除外を管理するをご覧ください。
制限事項
除外を構成する場合は、次の制限事項に注意してください。
複合ルール: ルールの除外を複合ルールに直接適用しないでください。除外は、複合ルールにフィードされる基本的なルールに適用する必要があります。これは、ルール除外は UDM フィールド（
principal.user.useridなど）に対して評価されますが、複合ルールは UDM フィールドではなく他の検出に基づいてトリガーされるためです。ルール除外を複合ルールに直接適用すると、除外が一致せず、イベントは除外されません。基本ルールを見つけるには:
- Google SecOps コンソールで [コンテンツ ハブ] に移動します。
- [キュレーションされた検出] タブをクリックします（または、特定のルールパックを検索します）。
- 複合ルールを見つけて、[表示と管理] をクリックします。
- [ルール定義] を選択して、基盤となる YARA-L ソースコードを表示します。
- YARA-L ロジックの
events:セクションを確認して、基盤となるルール名を特定します。
また、コンソールと API の機能的な違いは次のとおりです。
ルールのスコープ: コンソールでは、複数のキュレートされたルールに同時に除外を適用できますが、一度に適用できるカスタムルールは 1 つだけです。
結果変数: 結果変数に基づくロジックを使用する除外を作成するには、API を使用する必要があります。
SOAR ハンドブックを使用してアラートを抑制する
SOAR プレイブックは、特定のルックアップ条件に基づいて重複するアラートを特定して抑制するのに役立ちます。このハンドブックでは、事前定義された有効期限までアラートを抑制し、有効期限が切れるとテーブルからアラートを自動的に削除します。アナリストは、このメソッドを使用して、特定のエンティティ（IP アドレスやホスト名など）のアラートを一定期間抑制します。
他の方法とは異なり、このメカニズムは過去のデータを追跡し、ケースの詳細内に抑制アクションの明示的な監査証跡を提供します。
ユースケース
最初の警告の後、疑わしい IP アドレスからの受信接続リクエストに対する後続の警告を抑制し、抑制監査証跡を維持します。
SOAR でアラートをグループ化する
アラートのグループ化では、定義した条件に基づいて、24 時間以内に生成された類似のアラートが自動的にクラスタ化されます。システムは、グループ化されたアラートを 1 つのケースに統合して調査します。
詳細については、アラートのグループ化メカニズムをご覧ください。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。