複合ルール
このドキュメントでは、複合ルールセットの概要、必要なデータソース、生成されるアラートを調整するための構成オプションについて説明します。これらのルールセットにより、より精度の高いアラートが提供されます。 Google Cloud環境とエンドポイント環境のすべての Google Security Operations 対応検出コンテンツに、重大度、信頼度、リスク、優先度のレベルを設定します。
ルールセットの説明を取得する
複合ルール カテゴリには、次のルールセットが含まれます。
エンドポイント複合ルールについて
これらのルールは、定義された期間に同じエンドポイントに関連する複数の検出ルールの検出結果を関連付けます。信頼度とリスクレベルは、これらの検出の特定の特性によって決まります。
Cloud 複合ルールについて
これらのルールは、定義された期間に同じGoogle Cloud アカウントまたは Google Cloud リソースに関連付けられた複数の検出ルールの検出結果を関連付けます。信頼度とリスクレベルは、これらの検出の特定の特性に基づいています。
ATI 複合ルールについて
ATI 複合ルールは、同じキャンペーン、マルウェア バリアント、脅威アクターから複数の固有の Applied Threat Intelligence 検出を検出し、潜在的な脅威に関する追加の環境コンテキストを提供します。これにより、アクティビティのクラスタに焦点を当てて、優先順位付けを支援できます。これらのルールでアラートが生成されるようにするには、「アクティブな侵害」、「高」、「中」などの Applied Threat Intelligence ルールパックを有効にする必要があります。
サポート対象のデバイスとログタイプ
これらのルールは、主に Cloud Audit Logs、エンドポイントの検出と対応のログ、ネットワーク プロキシログに依存しています。Google SecOps UDM は、これらのログソースを自動的に正規化します。次のカテゴリは、キュレートされた複合コンテンツが効果的に機能するために必要な最も重要なログソースの概要を示しています。
エンドポイント複合ルールのログソース
Google Cloud 複合ルールのログソース
Google Cloud とエンドポイント ルールのログソース
使用可能なキュレーテッド検出の一覧については、キュレーテッド検出を使用するをご覧ください。別のメカニズムを使用して検出ソースを有効にする必要がある場合は、Google SecOps の担当者にお問い合わせください。
Google SecOps には、未加工のログを解析して正規化するデフォルトのパーサーが用意されており、複合検出ルールセットとキュレーテッド検出ルールセットで必要なデータを使用して UDM レコードを作成します。Google SecOps がサポート対象とするすべてのデータソースのリストについては、サポート対象のデフォルトのパーサーをご覧ください。
ルールセット内のルールを変更する
組織のニーズに合わせて、ルールセット内のルールの動作をカスタマイズできます。次のいずれかの検出モードを選択して各ルールの動作を調整し、ルールでアラートを生成するかどうかを構成します。
- Broad: 悪意のある動作や異常な動作を検出しますが、ルールの一般的な性質により、誤検出が多くなる可能性があります。
設定を変更するには、次の操作を行います。
ルールリストで、変更する各ルールの横にあるチェックボックスをオンにします。
ルールの [ステータス] と [アラート] の設定を次のように構成します。
ステータス: 選択したルールにモード（Precise または Broad）を適用します。ルールのステータスをモードに有効にするには、
Enabledに設定します。アラート: ルールが [アラート] ページでアラートを生成するかどうかを制御します。アラートを有効にするには、[オン] に設定します。
ルールセットのアラートを調整する
ルール除外を、基盤となるキュレーテッド ルールに適用することで、ルールセットによって生成されるアラートの数を減らすことができます。ルールの除外を複合ルールに直接適用しないでください。
ルール除外では、一致するイベントがキュレーテッド ルールまたはルールセットで検出をトリガーしないようにする条件を指定します。詳細については、アラートの抑制を構成するをご覧ください。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。