最初のユースケースを開発する

以下でサポートされています。
このドキュメントでは、*ユースケース* を定義し、コンテンツ ハブにユースケースを公開するための要件の概要を示します。セキュリティの脅威の定義、ハンドブックの作成から最終的な公開まで、新しいユースケースを作成するための包括的なガイドを提供します。

ユースケースを理解する

ユースケースとは、次のようなソリューションをまとめて提供するアイテムのパッケージのことです。

  • フィッシング脅威の自動化
  • 誤検出を減らす
  • インシデント調査のオーケストレーション

ユースケースを Content Hub に公開すると、すべてのユーザーが使用できるようになります。

ユースケース パッケージは、次の要素で構成されています。

  • テストケース
  • コネクタ
  • ハンドブック
  • 統合
  • マッピングとモデリングのルール

公開の要件

ユースケースをコンテンツ ハブで利用できるようにするには、次の要件を満たしている必要があります。

  • シミュレーション アラートは、実際のプロダクトの実際のアラートに基づいています。
  • クリーンな環境でシミュレーション アラートを実行すると、すべてのエンティティが抽出されます。
  • コネクタで実際のアラートを実行すると、すべてのエンティティが抽出されます。
  • ハンドブックがエラーなくエンドツーエンドで実行されます。
  • 最終的な出力は、Content Hub にエラーなくインポートできる ZIP ファイルの書き出しです。
  • デプロイしたら、インテグレーションを構成して、シミュレーション アラートでハンドブックをエンドツーエンドで実行できます。

ユースケースを作成する

このセクションでは、最初のユースケースを作成する手順について説明します。

ユースケースを定義する

ユースケースを定義する手順は次のとおりです。

  1. 対処するセキュリティ上の脅威を説明します。
  2. アラートの種類と、それを生成する検出プロダクト（CrowdStrike - Falcon Overwatch` via `Malicious Activity など）を指定します。
  3. このアラートを処理するためのインシデント対応、オーケストレーション、または自動化プロセスを開発します。

ユースケースのアラートを準備する

  1. 実際のシナリオに基づいてカスタム アラートまたはイベントを作成します。ハンドブックとユースケースを継続的にテストするためのシミュレーション アラートを含めます。このシミュレーションは、ユースケース パッケージの一部としても含まれます。
  2. [ケース] で、 追加 [追加] > [ケースをシミュレート] をクリックします。
  3. [追加] をクリックします。
  4. ユースケース用に準備したアラートに基づいて、シミュレーション アラートのフィールドに値を入力します。
    5. フィールド 説明 例
    ソース \ SIEM 名 アラートのソース（Google Security Operations SIEM、検出ツールなど）。アラートがプロダクトによって生成され、Google SecOps によって取得される場合は、商品名を追加します。 Arcsight
    ルール名 Google SecOps SIEM ルールまたは検出プロダクトのアラート名。SIEM が関係していない場合は、検出プロダクトのアラートの名前を使用します。 Data Exfiltration
    アラート プロダクト アラートを生成した検出ツール。 DLP product
    アラート名 プロダクトによって生成されたアラート名。 Data Exfiltration
    イベント名 アラートをトリガーしたベースイベント。 Data Exfiltration
    追加のアラート フィールド 追加の SIEM フィールドまたはアラート名（SIEM が存在しない場合）。 Severity, Impact, Sensitive Assets SIEM が関係していない場合は、alert_name:。
    追加のイベント フィールド インシデント対応用の未加工のセキュリティ データ。 src_ip, dest_port, email_headers
  5. サンプルのアラートまたはイベントに基づいて、Google SecOps でシミュレーション アラートを作成します。

エンティティの抽出

  1. アラートの可視化モデル（Google SecOps が抽出する必要があるエンティティとその間の関係）を選択し、元データ フィールドを選択したモデルにマッピングします。
  2. イベントで、[設定] [構成] をクリックします。詳細については、Google Security Operations SOAR を使ってみる、エンティティの作成（マッピングとモデリング）、アラートのマッピングとモデリングをご覧ください。
  3. すべてのエンティティが [エンティティ ハイライト] の [ケース] タブに作成されていることを確認します。これを行うには、各エンティティの [エンティティのハイライト> 詳細を表示] をクリックします。

ハンドブックを作成する

ハンドブックを作成する手順は次のとおりです。

  1. アラートのインシデント対応フローを視覚的に定義します（グラフまたは図）。
  2. Google SecOps でハンドブックを設計します。そのためには、ハンドブックで使用するインテグレーションをダウンロードして構成します。詳細については、統合を構成するをご覧ください。

ハンドブックでアクションを構成する

アクションのパラメータ、条件、ブランチを次のように設定します。

  1. アクション タイプ: このアクションを自動的に実行するか手動で実行するかを選択します（人間による承認が必要）。
  2. インスタンスを選択: [動的] を選択します。
  3. ステップが失敗した場合: アクションが失敗した場合にハンドブックを停止するか、次のアクションにスキップするかを選択します。
  4. エンティティ: このアクションが影響するエンティティ タイプを選択します（シミュレーション アラートで抽出されたエンティティから）。
  5. その他のパラメータ: 統合のドキュメントに基づいてアクション固有のパラメータを入力します。

ハンドブックで条件を構成する

プレイブックで条件を構成する手順は次のとおりです。

  1. 必要なブランチの数を決定します。必要に応じて、[分岐を追加] をクリックして分岐を追加します。
  2. ブランチごとに、ブランチをトリガーする条件を定義します。イベントデータや前のアクションの結果などから条件を参照するには、プレースホルダ（角かっこ）を使用します。
    3. フローでテストできるツールを使用します。
  3. ライブデータでテストする: 作成したシミュレーション アラートと同様のアラートを pull できるコネクタを設定します。詳細については、コネクタを構成するをご覧ください。
  4. フィッシング メール アラートを使用するメールコネクタなどの例を使用して、コネクタをテストします。詳細については、コネクタをテストするをご覧ください。
  5. 次のことを検証する。
    • 実際のアラートに同じマッピングが適用されるため、Google SecOps は関連するエンティティを抽出できます。
    • ハンドブックはアラートに対してエンドツーエンドで実行され、定義されたロジックを実行します。（悪意のあるアラートと悪意のないアラートの両方をテストしてください）。

ガイドを作成する

作成するユースケースは、他の Google SecOps ユーザーによって使用されます。他のユーザーがユースケースを実装する際に役立つガイドとして、コンテンツを添付します。このガイドは、ユースケースの公開で添付できます。

  • ユースケースとその SOC の価値を説明します。
  • 改善のための推奨事項を提供します。
  • シミュレーション データと実際のデータを使用してユースケースを実行する手順を含めます。
  • コネクタとインテグレーションの設定手順を追加しました。
  • 関連するライセンス情報を含めます。
  • 最初のコネクタを開発する方法を記載します。

ユースケースを公開する

ユースケースを公開する手順は次のとおりです。

  1. コンテンツ ハブに移動し、[ユースケース] タブをクリックします。
  2. [ format_list_bulleted リスト] をクリックし、[新しいユースケースを作成] を選択します。
  3. 詳細を入力し、開発したすべてのアイテム（テストケース、プレイブック、コネクタ）を追加します。
  4. [説明] フィールドにガイドを添付するか、完全なガイドへのリンクを貼ります。
  5. 省略可: [エクスポート] をクリックしてユースケースをエクスポートし（今すぐまたは後で）、[保存] をクリックします。
  6. 省略可: [保存] をクリックした後、パッケージを ZIP ファイルとしてエクスポートするか、テスト用にインポートできます。
  7. 公開するには、承認を受けるために送信します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。