オントロジーの概要

以下でサポートされています。

Google Security Operations オントロジーは、アラートとイベントの共有可能で再利用可能な知識表現を提供する正式な仕様を使用します。オントロジーにより、Google SecOps はイベントからエンティティを構築し、それらの関係を定義できます。このプロセスにより、[探索] ページで全体像を確認し、潜在的な脅威を調査できます。オントロジーを使用してエンティティを定義すると、攻撃またはイベントでのロールに基づいてエンティティに対してアクションを実行できます。

オントロジーのステータスを表示する

[設定] > [調査] > [オントロジー ステータス] に移動して、次の情報を確認します。
  • 商品タイプの数: Google SecOps が環境からキャプチャする商品の数。この数は、環境にプロダクトが追加されると変化します。
  • イベントタイプの数: Google SecOps がキャプチャするイベントの数。
  • デフォルトのファミリーに割り当てられたイベント数: Google SecOps が自動的に割り当てたイベントの数。イベントは、[ファミリー名] 列でデフォルト値を見つけて、設定 [構成] をクリックすることで、いつでも再割り当てできます。

選択したオントロジー ステータス行を、JSON ファイルを含む ZIP ファイルとしてエクスポートできます。オントロジーのステータス行をインポートすることもできます。オントロジーの詳細を含む JSON ファイルを含む ZIP ファイルをインポートしてください。

モデル ファミリーを設定する

最初のデータ接続を確立したら、次の操作を行う必要があります。

  1. 次の手順を完了して、データが Google SecOps データモデルに取り込まれていることを確認します。
  2. 要件に応じて新しいイベントとアラートをマッピングしてモデル化します。

モデル ファミリーを設定する手順の概要は次のとおりです。

  1. ファミリーを定義します。[設定] > [調査] > [ビジュアル ファミリー] をクリックします。
  2. [アラート イベント] タブまたは [オントロジー ステータス] ページから、ファミリーをイベント（またはプロダクト / ソース）に割り当て、[イベント構成] > [可視化] をクリックします。

データ フィールドのマッピング

データ フィールドをマッピングする手順の概要は次のとおりです。

  1. [ケース管理] ページまたは [探索] ページで、不足しているフィールド情報や不正確なフィールド情報を修正します。
  2. 新しいビジュアル ファミリーをアタッチすることで解決できるかどうかを確認します。解決できない場合は、[イベント構成] > [マッピング] ページで、ファミリーと一般的なシステム フィールドの両方を構成するルールを編集して構成します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。