統合ルールで脅威を検出する

以下でサポートされています。

このガイドは、組織の脅威を検出する検出エンジニアを対象としています。統合ルール インターフェースを活用して脅威検出機能を高速化する方法について説明します。

一般的なユースケース

このワークフローの一般的なユースケースは次のとおりです。

ルールのデプロイの高速化

目標: 特定の攻撃者の戦術（Initial Access など）に対するキュレーテッド検出を迅速に特定して有効にします。

価値: 手動でルールを開発することなく、一般的な攻撃ベクトルの平均検出時間（MTTD）を短縮します。

ルール ライフサイクルの一元管理

目標: ルールの実行、ステータス、デプロイ履歴を 1 つのコンソールからモニタリングする。

価値: 運用の監視を改善し、アクティブな検出が期待どおりに機能するようにします。

主な用語

  • キュレーテッド検出: Google Cloudセキュリティの専門家が管理する事前構築済みの検出セット。

  • 統合ルール インターフェース: カスタム YARA-L ルールとキュレートされたコンテンツの両方を管理するための統合管理コンソール。

  • ルールのデプロイ: ルールの状態（ライブまたはアーカイブ）と、関連するアラート構成。

  • レトロハント: 過去のデータに対してルールを実行して、過去の脅威のインスタンスを検出するプロセス。

始める前に

チームでカスタム IAM ロールを使用している場合は、統合ルールのダッシュボードとエディタを操作するために次の権限があることを確認してください。

組織でデータ ロールベース アクセス制御（データ RBAC）を使用している場合は、管理するルールに関連付けられたスコープへのアクセス権も必要です。詳細については、データ RBAC の概要をご覧ください。

統合ルール ダッシュボードの権限

権限 必要な IAM 権限
View
  • chronicle.rules.list
  • chronicle.retrohunts.list
  • chronicle.ruleDeployments.list
  • chronicle.legacies.legacySearchCustomerStats
  • chronicle.legacies.legacyGetRuleCounts
  • chronicle.legacies.legacyGetRulesTrends
  • chronicle.legacies.legacyGetCuratedRulesTrends
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.rules.get
  • chronicle.rules.listRevisions
  • chronicle.legacies.legacyTestRuleStreaming
  • chronicle.legacies.legacyFetchAlertsView
Edit
  • chronicle.retrohunts.create
  • chronicle.ruleDeployments.update
  • chronicle.rules.modifyRules
  • chronicle.rules.create
  • chronicle.rules.update
  • chronicle.rules.verifyRuleText

保存済みビュー - 保存済みルールビューの一覧表示と作成

このセクションでは、保存済みビューの作成に必要な権限について説明します。保存済みビューを使用すると、ルールフィルタ、列セット、並べ替え順序のカスタムセットを作成して保存し、統合ルールダッシュボードにすばやくアクセスできます。

権限 必要な IAM 権限
Manage
  • chronicle.sharedPreferenceSets.get
  • chronicle.sharedPreferenceSets.list
  • chronicle.sharedPreferenceSets.create
  • chronicle.sharedPreferenceSets.update
  • chronicle.sharedPreferenceSets.delete

ルールエディタの権限

コンポーネント IAM 権限（IAM を使用する場合） アナリスト権限（以前の RBAC を使用している場合）
ルールエディタ ページ

chronicle.ruleDeployments.list

chronicle.rules.list

 detectRulesView
関連リファレンス リスト セクション

chronicle.referenceLists.get

chronicle.referenceLists.list

 referenceListView
関連データテーブル セクション

chronicle.dataTables.get

chronicle.dataTables.list

 なし
[新しいルールを作成] ボタン

chronicle.rules.verifyRuleText

chronicle.rules.create

 detectRulesCreate
[ルールをテスト] ボタン chronicle.legacies.legacyRunTestRule detectRulesRun
[ルールのスコープ] メニュー chronicle.rules.update detectRulesEdit
[ルールを保存] ボタン chronicle.rules.update detectRulesEdit
[新しいルールとして保存] ボタン chronicle.rules.create detectRulesCreate
[ルールのレトロハント] ボタン chronicle.retrohunts.create detectRulesRun
[ルールを有効にする] の切り替え chronicle.ruleDeployments.update detectRulesEdit
[ルールアラート] の切り替え chronicle.ruleDeployments.update detectRulesEdit
[ルールの実行頻度] の切り替え chronicle.ruleDeployments.update detectRulesEdit
ルールのアーカイブとアーカイブ解除の切り替え chronicle.ruleDeployments.update detectRulesEdit
エディタでキュレートされたルールを表示する chronicle.featuredContentRules.list なし

統合インターフェースの設定を管理する

統合ルール ダッシュボードとルールエディタの両方で、統合エクスペリエンスと以前のビューを切り替えることができます。選択すると、インスタンスに設定が保存され、デフォルトでその特定のバージョンが読み込まれます。

  • 統合ルール ダッシュボード: 統合ルール ダッシュボードを有効にするには、[ルール] ダッシュボードに移動して、[新しい統合ルールページを試す] をクリックします。オプトアウトするには、[以前のルール ダッシュボードに戻る] をクリックします。

  • ルールエディタ: 新しいルールエディタを有効にするには、ルールエディタ ページに移動して、[新しいルールエディタ ページ] をクリックします。オプトアウトするには、[以前のルールエディタ ページ] をクリックします。

キュレートされた保存済みビュー

[統合ルール] ダッシュボードには、ルールをすばやくフィルタして整理できるデフォルトの保存済みビューが含まれています。次の表に、これらのデフォルトのキュレートされた保存済みビューを示します。

保存済みビュー 説明 フィルタ条件
異常なルール 実行に関する問題があるルール、またはデフォルト以外の実行状態にあるルールを表示します。 execution_state が default と等しくない、アーカイブされていないルール。
有効な Google ルールとアラートを生成する Google ルール Google が作成した、有効でアラートを生成するように構成されている、キュレートされたルールが表示されます。 rule_owner が GOOGLE、archived が false、alerting_enabled が true、live_mode_enabled が true に設定されたルール。
心電図を使用するルール エンティティ コンテキスト グラフ（ECG）データを活用するルールが表示されます。 graph.entity を使用するアーカイブされていないルール。
永続性と権限昇格のルール 永続化と権限昇格の戦術に関連するルールが表示されます。 TA0003（永続性）または TA0004（権限昇格）のタグが付けられた、アーカイブされていないルール。
Mandiant の推奨ルール Mandiant がキュレートした、信頼性が高く、専門家によって検証されたルールが表示されます。詳細については、Mandiant の推奨ルールをご覧ください。 google.mandiant.recommended のタグが付けられた、アーカイブされていないルール。

キュレートされたルールで脅威の検出を加速

[統合ルール] インターフェースを使用すると、特定の MITRE ATT&CK 戦術の検出を識別できます。アラートが有効で、初期アクセスに関連するルールを検索するには、次の操作を行います。

  1. [統合ルール] ダッシュボードに移動します。

  2. 検索バーを使用して、特定の脅威をフィルタします。

    たとえば、初期アクセス（MITRE ATT&CK 戦術 TA0001）に関連するキュレーテッド ルールを検索するには、次の検索クエリを使用します。

    alerting_enabled = true AND tags:"TA0001"

    複雑なフィルタリングについては、[検索] ルールページの高度な構文をご覧ください。

  3. 省略可: 検索結果からルールを選択して、ルールの詳細を表示します。

  4. デプロイするルールの横にある [メニュー] をクリックします。

  5. [Live rule] と [Alerting] の切り替えをクリックして、脅威の積極的な検出を開始します。

ルールの実行、ステータス、アラート履歴はダッシュボードから追跡できます。

保存済みビューを使用する

[統合ルール] ダッシュボードは、保存済みビューをサポートしています。保存済みビューを使用すると、ルールフィルタ、列セット、並べ替え順序のカスタムセットを作成して保存し、統合ルールダッシュボードにすばやくアクセスできます。

カスタムビューを作成する

  1. [統合ルール] ダッシュボードに移動します。

  2. [保存したビュー] メニューをクリックし、[新しいビューとして保存] を選択します。

  3. ビューの名前を入力して、[保存] をクリックします。

  4. [統合ルール] ダッシュボードで、ターゲット フィルタ、列、並べ替え順を構成します。

保存済みビューを適用する

保存した構成でダッシュボードを更新する手順は次のとおりです。

  1. [統合ルール] ダッシュボードに移動します。

  2. [保存済みビュー] メニューをクリックし、リストから必要な保存済みビューを選択します。

  3. [保存] をクリックします。

保存済みビューを管理する

保存したビューを変更、名前変更、非表示、削除する手順は次のとおりです。

  1. [保存済みのビュー] メニューをクリックし、[ビューを管理] を選択します。

  2. [保存] をクリックします。

トラブルシューティング

このセクションでは、一般的な問題を解決し、統合ルール インターフェースの制限事項を理解するための情報を提供します。

レイテンシと上限

  • ルールの実行: ルールを保存してから、ダッシュボードに最初の実行指標が表示されるまでに、短い伝播遅延（通常は数分）が発生することがあります。

  • レトロハントの制限: キュレーテッド検出はレトロハントとして実行できません。また、レトロハントは、データの保持ティアに基づくルックバック ウィンドウの上限の対象となります。

エラーの修正

エラーコード 問題の説明 修正
403 Forbidden（アクセス拒否） キュレートされたコンテンツを表示する権限がありません。 chronicle.featuredContentRules.list が IAM ロールに追加されていることを確認します。
デプロイに失敗しました ルールの構文エラーまたは競合。 ルールエディタの [テストルール] ボタンを使用して、YARA-L 構文を検証します。
user does not have access to scope <scope_name> ユーザーに、ルールに割り当てられたスコープに必要なデータ RBAC 権限がありません。 必要なスコープにアクセスできることを確認します。詳細については、ユーザー向けにデータの RBAC を構成するをご覧ください。
The rule has been modified by someone else ルールを開いた後に、別のユーザーが新しいバージョンのルールを保存しました。 変更内容をコピーし、ページを更新して最新バージョンを読み込んでから、変更内容を再度適用して保存します。
rules editing not enabled Google SecOps インスタンスでルールの編集が無効になっています。 ルールの編集を有効にするには、管理者にお問い合わせください。

次のステップ

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。