拡充ブロックを管理する

このドキュメントでは、拡充ブロックを使用してデータ拡充プロセスをきめ細かく制御する方法について説明します。デフォルトの拡充プロセスでは、さまざまなソースのコンテキスト データを使用し、データを分析して、内部ロジックに従って統合データモデル（UDM）フィールド データを上書きします。通常、デフォルトのプロセスは想定どおりに機能します。ただし、場合によっては、UDM フィールド データを上書きすると、検出エンジンルールが不適切にトリガーされるなど、予期しない動作が発生することがあります。

エンリッチメント ブロックを構成して表示する

Chronicle 管理者権限と編集者権限を持つ Google Security Operations ユーザーのみが、情報追加ブロックを構成できます。すべての Google SecOps ユーザーは、[情報追加ブロック] インターフェースを表示できます。

拡充ブロックの基本構成には、拡充タイプ、ターゲット ログタイプ、ソースの 3 つの連続したパラメータが必要です。[Target Log Type] で使用できるオプションは、選択した [Enrichment Type] によって異なります。[Source] で使用できるオプションは、選択した [Target Log Type] によって異なります。

拡充ブロックは削除できません。

拡充ブロックは、有効化、無効化、再有効化が可能です。

[Enrichment Blocks] ダイアログには、[Enabled Blocks] タブと [Disabled Blocks] タブがあります。両方のタブの表には、エンリッチメント ブロックの基本構成パラメータ、ブロックが最後に有効にされた UTC 日付、ブロックのユーザー指定の理由（省略可）が表示されます。[無効なブロック] タブの表には、ブロックが無効になった UTC 日付が含まれています。

エンリッチメント ブロック時間のロジックを改訂

拡充ブロックのステータスの変更は、5 ～ 10 分以内に反映されます。

ブロックを有効または無効にすることの主な効果は、開始時刻が同期されることです。

  • ブロックの有効化（拡充解除）: Google SecOps は、現在の日付の 00:00:00 UTC から、関連するすべてのフィールドの拡充を解除し、以降も継続します。

  • ブロックを無効にする（再拡充）: Google SecOps は、現在の日付の 00:00:00 UTC から、関連するすべてのフィールドを再拡充し、今後も拡充を続けます。

例: 9 月 16 日（火）23:59:59（UTC）に、エンリッチメント ブロックを有効にします。Google SecOps は、9 月 16 日（火）0:00:00（UTC）から、関連するすべての拡充フィールドの拡充を解除し、今後も拡充ブロックを実装し続けます。9 月 17 日（水）の 09:00:00 UTC に、拡充ブロックを無効にします。Google SecOps は、9 月 17 日（水）0:00:00（UTC）から、関連するすべてのフィールドを再拡充し、今後も関連するすべてのデータを拡充し続けます。

拡充ブロックを作成して有効にする

拡充ブロックを作成して有効にする手順は次のとおりです。

  1. [Settings] > [Detection] > [Enrichment Blocks] に移動します。

  2. 以下の構成を行います。

    1. [Enrichment Type] リストから、次のいずれかのオプションを選択します。

      • すべてのタイプ。リスト内のすべての項目に適用されます。このリストは、Google SecOps が取り込むデータとログタイプに基づいて入力されます。
      • アセット。エンリッチメント ブロックにない場合、このオプションは次の処理を行います。
        • hostname、asset_id、mac、ip（asset_id が空の場合）などのフィールドを抽出します。
        • Noun から Asset の下のフィールド（hostname、asset_id、mac、ip など）を拡充します。
        • DHCP や Asset Context などの拡充ソース（Tanium Asset や CrowdStrike など）を使用します。
      • GeoIP。エンリッチメント ブロックにない場合、このオプションは次の処理を行います。
        • ip などのフィールドを抽出します（公開されている場合、またはルーティング可能な場合）。
        • artifact.ip、artifact.location、artifact.network、location などのフィールドを拡充します。
        • Google GeoIP サービスの拡充ソースを使用します。
      • Google Threat Intel。エンリッチメント ブロックにない場合、このオプションは次の処理を行います。
        • 関連するフィールドを抽出します。
        • File フィールドまたは process.file フィールドを拡充します。
        • VirusTotal ファイルのメタデータの拡充ソースを使用します。
      • プロセス。エンリッチメント ブロックにない場合、このオプションは次の処理を行います。
        • process.product_specific_process_id などのフィールドを抽出します。
        • フィールドを拡充します。これには、Process の下のすべてのフィールドが含まれます。
        • EDR ログ（CrowdStrike や SentinelOne など）などの拡充ソースを使用します。
      • ユーザー。エンリッチメント ブロックにない場合、このオプションは次の処理を行います。
        • user.email_addresses、user.userid、user.windows_sid、user.employee_id、user.product_object_id などのフィールドを抽出します。
        • User の下にあるすべてのフィールドを拡充します。
        • ユーザー コンテキスト ログ（Workday や Windows AD など）などの拡充ソースを使用します。

    2. [ターゲット ログタイプ] リストから、選択した [拡充タイプ] に応じて、必要なオプションを選択します。オプションの例としては、[All Types]、[Windows_Sysmon]、[CB_EDR]、[BRO_JSON] などがあります。

    3. [ソース] リストから、必要なオプションを選択します。使用可能なオプションは、選択したターゲット ログタイプによって異なります。オプションの例としては、All Types、INFOBLOX_DHCP、WINDOWS_AD、VIRUSTOTAL_FILE_METADATA などがあります。

  3. [Enable Block] をクリックして [Enable Block] ダイアログを開き、前の手順の構成を表示します。

  4. 省略可: [ブロックの理由] フィールドに、拡充ブロックの理由を入力します。

  5. 情報を確認したら、[ブロックを有効にする] をクリックします。[有効なブロック] テーブルに、有効な拡充ブロックの行が表示されます。

    約 5 ～ 10 分後、Google SecOps は、現在の UTC 日付の 0:00:00 以降、拡充ブロックを実装します（つまり、関連するすべての拡充フィールドの拡充を解除します）。この期間が経過したら、結果が想定どおりであることを確認することをおすすめします。

拡充ブロックを無効にする

拡充ブロックを無効にするには、次の操作を行います。

  1. [Settings] > [Detection] > [Enrichment Blocks] に移動します。
  2. オン有効なブロックタブを開き、エンリッチメントブロックを見つけてクリックします。もっとその行で、ブロックを無効にする。確認ダイアログが表示されます。

  3. 情報を確認し、[ブロックを無効にする] をクリックします。[Disabled Blocks] テーブルに、無効にされた拡充ブロックの行が表示され、対応する行が [Enabled Blocks] テーブルから削除されます。

    約 5 ～ 10 分後、Google SecOps は、現在の UTC 日付の 0:00:00 以降のすべての関連フィールドを再拡充します。この期間が経過したら、結果が想定どおりであることを確認することをおすすめします。

拡充ブロックを再度有効にする

拡充ブロックを再度有効にするには、次の操作を行います。

  1. [Settings] > [Detection] > [Enrichment Blocks] に移動します。
  2. [Disabled Blocks] タブで、エンリッチメント ブロックを見つけて、その行の [More] をクリックし、[Enable Block] を選択します。確認ダイアログが表示されます。

  3. 情報を確認し、[ブロックを有効にする] をクリックします。[有効なブロック] テーブルに、再度有効にした拡充ブロックの行が表示され、対応する行が [無効なブロック] テーブルから削除されます。

    約 5 ～ 10 分後、Google SecOps は、現在の UTC 日付の 0:00:00 以降、拡充ブロックを実装します（つまり、関連するすべての拡充フィールドの拡充を解除します）。この期間が経過したら、結果が想定どおりであることを確認することをおすすめします。

拡充ブロックのワークフローの例

このワークフローでは、不要なデータの上書きによって不適切にトリガーされたルールを、エンリッチメント ブロックを使用して解決する方法を示します。

  1. ルールを検証する: アラートを受け取り、それが不適切にトリガーされたと判断します。ルールロジックが正しいことを確認します。ルール除外の候補ではありません。
  2. ログソースを特定する: アラートを確認すると、CrowdStrike ログによってトリガー条件が満たされていることがわかります。

  3. 拡充ソースを調査する: イベント ビューアを使用して、重要なフィールドを変更した外部ソースを特定します。イベント ビューアを開く手順は次のとおりです（別の方法もあります）。

    1. Google SecOps コンソールで、[検出] > [アラートと IOC] に移動します。
    2. 不適切にトリガーされた検出を選択し、イベントにドリルダウンします。
    3. イベントのタイムスタンプをクリックして、イベント ビューアを開きます。デフォルトでは、[イベント フィールド] タブが表示されます。拡充された各フィールドは E で識別され、ノードを開くと拡充ソースが表示されます。
    4. [Event Fields] タブで、問題のある拡充フィールドのノードを開いてソースを特定します。アラートをトリガーしたフィールドが Okta によって拡充されていることがわかります。

  4. エンリッチメント ブロックを作成して有効にする: CrowdStrike ログのエンリッチメント ソースとして Okta からの User データを無効にするエンリッチメント ブロックを作成して有効にします。

  5. 解決を確認する: 拡充ブロックが有効になるまで 5 ～ 10 分待ってから、アラートが不適切にトリガーされなくなったことを確認します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。