マッピングを構成してビジュアル ファミリーを割り当てる
イベント構成機能を使用すると、イベントにビジュアル ファミリーを割り当てて、他のアクションとの関係をグラフィックで視覚化できます。このプロセスにより、イベントが正しく分類され、正確で完全な情報が含まれるようになります。
イベント構成には次の機能が含まれています。
- 可視化: イベントにファミリーを割り当てます。このファミリーは、関係とエンティティの視覚的な地図として機能し、何が起こったかを最もわかりやすく説明するグラフィックを提供します。割り当てられたファミリーが [ケースを探索] 画面に表示されます。
- マッピング: 特定のフィールド情報を編集または追加して、エラーを修正したり、欠落しているデータを入力したりします。
[イベント設定] ページにアクセスする
[イベント構成] ページにアクセスするには、次のいずれかを行います。
- ケースキューからケースを選択し、アラートの [イベント] タブに移動して、設定 設定をクリックします。
- [設定> オントロジー > オントロジー ステータス] で、 設定 構成 をクリックします。
モデル ファミリーを割り当てる
モデル ファミリーは、発生するすべてのイベントとアクションの関係をグラフィックで可視化します。
[可視化] ページでは、イベント、商品、ソースを特定のファミリーに割り当てます。このビジュアル ファミリーは、[探索] ページに表示されます。
モデル ファミリーは、次の 3 つのレベルで割り当てることができます。
- ソースレベル: 最上位レベル。ここで割り当てられたファミリーは、そのソース内のすべてのプロダクトとイベントに継承されます。
- 商品レベル: 第 2 レベル。ここで割り当てられたファミリーは、そのプロダクト内のすべてのイベントに継承されます。
- イベントレベル: 地上レベル。
モデル ファミリーは親から継承されます。ソースレベルでファミリーを割り当てると、プロダクトとイベントはソースレベルからモデル ファミリーを継承します。各レベルでマッピングされたフィールドを編集して、親の設定をオーバーライドできます。
Google Security Operations には 24 個の標準モデル ファミリーが用意されています。必要に応じて追加のモデル ファミリーを作成することもできます。詳細については、セキュリティ イベントとビジュアル ファミリーの関係をマッピングするをご覧ください。
モデル ファミリーを割り当てる手順は次のとおりです。
- [Events Configuration] ページで、[Visualization] をクリックします。
- この状況で発生するイベントとアクションの関係に最も近いモデル ファミリーを選択します。
- [Confirmation] ダイアログで [Yes] をクリックして、割り当てを確認します。
イベントの特定のフィールドを管理する
[マッピング] ページでは、イベントの特定のフィールド情報を管理します。割り当てられたモデル ファミリーに属するフィールドが表示されます。
たとえば、イベントが取り込まれ、情報が欠落しているか、誤っていることがわかった場合は、次の操作を行います。
- [アラート イベント] タブで、[設定] [構成] をクリックし、正しいビジュアル ファミリーに割り当てられていることを確認します。
- [マッピング] ページに移動して、特定のフィールド情報を編集または追加します。
これらのフィールドに対してさまざまな操作を行うことができます。
- 各行の末尾にある more_vert その他アイコンをクリックします。
- [ edit ] [Edit Field] をクリックします。
- [Map Target Field] ダイアログで、抽出するイベント フィールドの名前を入力し、[保存] をクリックします。
編集可能なフィールド
エンティティをダブルクリックして、次のフィールドを編集します。
| フィールド | 説明 |
|---|---|
| 抽出されたフィールド |
情報を取得する未加工のイベント フィールドのメイン フィールド名。ヒント: Contains または Starts with を使用して、データを個別のエンティティに分割します。これは、url_1 や url_2 などの複数のフィールドで複数のエンティティを作成する場合に便利です。 |
| 代替フィールド 1 | プライマリ フィールドが見つからない場合に情報を取得する、未加工のイベント フィールドのフォールバック フィールド。 |
| 代替フィールド 2 | プライマリとセカンダリの両方が見つからない場合に情報を取得する、未加工のイベント フィールドのフォールバック フィールド。 |
| 抽出関数 |
次の 3 つのオプションを含む、未加工のイベント フィールドからデータを抽出または操作します。
|
| 変換関数 |
データソースの情報を変換して、データベースとの互換性を維持します。使用可能な関数は次のとおりです。
関数を選択したら、適切なパラメータを追加します。 たとえば、 FROM_CUSTOM_DATETIME を選択して、日付と時刻の形式を %Y-%m-%DT%H:%M:%S に変更します。 |
1 つのソース フィールドからデータを抽出し、複数のターゲット フィールドにマッピングできます。たとえば、ソース フィールドにホスト名と IP アドレスの両方がある場合は、正規表現を使用してそれらを分離できます。
マッピング後の結果を表示する
マッピング プロセス後の値を表示するには、 more_vert [その他] > [結果を表示] をクリックします。
エンリッチメント データを追加する
さまざまな SIEM には、初期取り込みプロセスの一環として拡充データが含まれています。拡充データを追加する手順は次のとおりです。
- more_vert [その他] > database_upload [エンリッチメントを追加] を選択します。
- エンティティに追加するエンリッチメント値を選択します。
- [保存] をクリックします。このエンティティがアラートの一部としてプラットフォームに取り込まれると、[詳細を表示] をクリックすると、この拡充フィールドがサイド ドロワーの [未加工の拡充] 見出しの下に表示されます。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。