Taegis アクション🔗

概要🔗

Taegis アクションにより、汎用的なレスポンスアクションおよびエンリッチメントアクションの設定と使用がこれまで以上に容易になります。これらのアクションはトリアージおよびケースのワークフローに緊密に統合されており、分析を迅速化し、素早い対応を可能にします。

Taegis アクションは、一般的なITツールおよびInfoSecツールとの複数のインテグレーションをサポートし、各テクノロジーの複数のインスタンスで動作し、より複雑なプレイブックの構成要素として使用できます。これにより、テクノロジー固有のインテグレーション向けにプレイブックインスタンスを設定および維持する必要がなくなります。

重要

既存のプレイブックベースのインテグレーションは引き続きサポートされ、プレイブックとアクションの両方を一緒に使用できます。

簡素化された設定をサポートする新しいアクションは、アクションの単一インスタンスをサポートしますが、追加のインスタンスは高度なプレイブックテンプレート設定を使用して構成できます。外部インテグレーションには引き続きコネクター設定が必要です。1つ以上の接続を作成し、アクションの設定時にそれらを選択するだけです。アクションは、複数のプレイブックインスタンスを設定する必要なく、設定された各インテグレーションで実行を試みます。

Taegis アクションへの移行🔗

テクノロジー固有のプレイブックから新しい Taegis アクションに移行することには、多くの利点があります。

複数の接続/テクノロジーのサポート — 単一のアクションを実行し、お客様の環境内の該当する有効なすべてのインスタンスで実行できます。
エンティティからアクションを実行できる機能 — 識別子やIPアドレスをコピー＆ペーストする必要なく、UIから直接アクションを実行できます。
より複雑なプレイブックで再利用可能 — 複数のステップを持つ、より複雑なプレイブックを構築できます。

テクノロジー固有のレスポンスプレイブックのいずれかから移行するには、Secureworks® Taegis™ XDR で新しいアクションを設定し、古いプレイブックインスタンスを無効にします。

移行例🔗

Taegis™ NDR Block と Cisco Meraki プレイブックを使用して、NDR プラットフォーム上および2つの Cisco Meraki ファイアウォールインスタンス上でIPをブロックしている場合があります。これらの古いプレイブックはアクションメニューに表示されず、プレイブックの実行時に指定されたIPアドレスを使用して、それぞれを手動で実行する必要があります。代わりに、次のようにします。

追加する単一の Block IP アクションで、アクション実行時に使用する Integrations タブから Taegis™ NDR および Cisco Meraki のアクティビティを選択します。

Block IPアクションの追加
古い設定済みプレイブックをそれぞれ無効化します。

プレイブックの無効化

エンティティのアクションメニューから新しい Block IP アクションを実行すると、1回のクリックですべての設定済みインスタンスでIPがブロックされます。

利用可能なアクション🔗

利用可能なレスポンスアクションおよびエンリッチメントアクションは、今後も定期的なリリースで拡張され続けます。現在利用可能なものは次のとおりです。

ヒント

最新のプレイブックテンプレート、アクション、コネクターの公開履歴や、既存のテンプレートおよびコネクターの更新情報については、自動化の概要をご覧ください。

レスポンスアクション🔗

ワンクリックのレスポンスアクションにより、レスポンスが必要なエンティティから1回クリックするだけで、お客様の環境内でレスポンスアクションを迅速に実行できます。利用可能なレスポンスアクションには次のものがあります。

ホストの隔離 / リストア
ユーザーの無効化 / 有効化
侵害されたユーザーとして確認 / 却下
IPのブロック / ブロック解除
ドメインのブロック / ブロック解除
ファイルハッシュのブロック / ブロック解除
ホストでのAntivirusスキャンの開始

設定後、アクションの実行に関する詳細は、エンティティでレスポンスアクションを実行するを参照してください。

エンリッチメントアクション🔗

エンリッチメントアクションは外部ツールに自動的に接続し、検出のトリアージやケースの確認時に非常に有益となる追加情報を取得します。これにより、検出、イベント、またはそれらの検出内のエンティティの詳細を完全に理解するために必要なコンテキスト情報が得られ、インジケーターやエンティティの詳細を調査するためにプラットフォームの外へピボットする必要がなくなります。

資産の検索
ユーザーの検索
Emailの分析

設定後、エンリッチメントデータは検出の詳細とエンティティの両方で表示できます。

事前対応アクション🔗

Secureworks® Taegis™ MDR のお客様は、Taegis MDR アナリストが、最初に通知して応答を待つことなく、お客様に代わって資産に対して対応できるようにすることができます。そうしない場合、重要なアクションの適時実施が遅れる可能性があります。アナリストは、重大と判断された脅威のケースが分析された後にレスポンスアクションを実行します。個々のアクションを認可するプロセスは、Taegis アクション設定によって改善され、特定のアクション名を手動で入力する必要がなくなりました。

これで、単一の設定トグルで個々のアクションに対する事前対応を認可できます。アクション名は、認可トグルを有効にすると承認済みの命名規則で設定され、編集できません。

次のレスポンスアクションが事前対応でサポートされています。

ホストの隔離 / リストア
ユーザーの無効化 / 有効化
IPのブロック / ブロック解除

追加のアクションが事前対応でサポートされると、アクションテーブルの事前対応列に認可トグルが表示されます。

事前対応の詳細については、事前対応アクションの概要を参照してください。

Taegis アクションの表示🔗

Taegis アクションを表示および管理するには、Taegis Menu から Automations を選択し、Actions を選択します。Available Actions タブには設定可能なすべてのアクションが表示され、Configured Actions タブにはすでに設定されているアクションが表示されます。

アクションの追加🔗

新しいアクションを追加するには、次の手順に従います。

設定するアクションを選択します。
- Available Actions タブから、目的のアクションの Select Action アイコンを選択するか、
- Configured Actions タブから、テーブル上部の + Add Action を選択し、目的のアクションの Select Action アイコンを選択します。
（任意）名前または説明を編集する場合は、アクション名の横にある Edit アイコンを選択します。
アクションの Integrations タブから、このアクションで使用するインテグレーションを選択します。

重要

アクションおよびお客様の環境によっては、複数のインテグレーションを選択する際に注意してください。たとえば、Isolate Host アクションで複数の EDR タイプを選択すると、同時に実行されている場合にホストが複数のエージェントによって隔離される可能性があります。

ヒント

Dependencies タブから、サポートされているアクティビティとドキュメントを表示します。

Block IPアクションの追加
Action Name フィールドに、アクションを実行するために XDR に表示されるアクション名を入力します。
アクションを常に表示するには Always を選択するか、Only When を選択して CEL 構文でトリガーフィルターを入力し、アクションが表示される条件を指定します。設定の完了中に式の結果を確認できるよう、特定の入力タイプに対して CEL 式をテストするには、CEL Explorerを参照してください。
（任意）サポートされているアクションを事前対応アクションとして承認する場合は、Enable トグルを選択します。事前対応アクションとして承認された場合、Action Name フィールドは編集できません。
Save を選択してアクションを保存します。アクションは有効な状態で Configured Actions タブに追加されます。

注意

Actions ページで設定されたアクションは、Playbooks ページに表示されます。アクションを編集すると、Configure Action フォームに移動します。行の左側にある、そのインスタンスがレスポンス/エンリッチメントアクションであることを示すアイコンに注意してください。インスタンス名を選択すると、実行履歴やその他の関連する操作情報を含む詳細を表示できます。詳細については、設定済みプレイブックを参照してください。

プレイブックテーブル上のアクション

アクションの有効化と無効化🔗

アクションを有効化または無効化するには、次の手順に従います。

Configured Actions タブから、必要に応じて Include Disabled トグルを選択して無効なアクションを表示し、テーブル内で目的のアクションを見つけます。
Status 列から、トグルを選択してアクションを有効化または無効化します。

アクションの編集🔗

設定済みアクションを編集するには、次の手順に従います。

Configured Actions タブから、必要に応じて Include Disabled トグルを選択して無効なアクションを表示し、テーブル内で目的のアクションを見つけます。
Actions 列から、Edit Action アイコンを選択します。アクション設定が表示されます。
必要な変更を行い、完了したら Save を選択します。

アクションの削除🔗

設定済みアクションを削除するには、次の手順に従います。

Configured Actions タブから、必要に応じて Include Disabled トグルを選択して無効なアクションを表示し、テーブル内で目的のアクションを見つけます。
Actions 列から、Delete Action アイコンを選択します。Delete Action の確認が表示されます。
Confirm Delete を選択して、アクションを確認して削除します。