検出グループキー🔗

検出の量を減らすために、Secureworks® Taegis™ XDR の検知機は、指定された時間枠内でキーごとに1つの検出を作成するために検出グループキーを使用する場合があります。これらのグループキーは、主に同一であり、タイムスタンプやその他の重要でないフィールドのみが異なる検出を重複排除することを目的としています。グループ化された検出には、合計発生回数、初回確認タイムスタンプ、最終確認タイムスタンプ、最初のイベント、および最後のイベントが含まれます。

検出の詳細概要タブには、Occurrence Count フィールドと Group by (Group Key) フィールドが含まれています。さらに、JSONタブには、検出に関連付けられた最初と最後のイベントを含むオブジェクト events_metadata が含まれています。

Occurrence count は、次のページに含まれる検出テーブルで利用できます。

検出
検出検索
ケース → 証拠 → 検出

FAQ🔗

検出JSONで利用できるイベントが2つしかないのはなぜですか？🔗

検出の JSONビューには、発生した最初のイベントIDと最後のイベントIDが含まれます。すべてのイベント発生は検索可能であり、検出の詳細のイベントタブに表示されます。

グループキーとは何ですか？🔗

グループキーは Watchlist ごとに設定され、検出に含まれるイベントのフィールドを含みます。たとえば、NIDS グループキーは次のフィールドで構成されます。

Tenant ID
センサータイプ
検出タイトル
ソースIP
宛先IP
日付（24時間ウィンドウ）

このグループキー機能を持つ検出タイプは何ですか？🔗

すべての検出は、繰り返し発生する事象を集約するためにグループキーを使用します。

7日間のグループキーはどのように機能しますか？🔗

7日間のグループキーで設定されたルールの検出は、月曜日から金曜日までの単一の日にグループ化されます。関連付けられたルールによって生成されるすべての検出は、同じ営業日の曜日に重複排除されます。

例🔗

ルール1は月曜日に重複排除するよう設定されています。
このルールは金曜日に新しい検出を作成します。
土曜日と日曜日の繰り返し発生は、金曜日に作成された検出に追加されます。
月曜日になると、繰り返し発生によって新しい検出が生成され、次の月曜日まで発生が追加されます。
次の月曜日に、新しい検出が作成される場合があります。

検出スキーマでは何が変更されましたか？🔗

検出スキーマには、group_key と events_metadata オブジェクトが含まれるようになりました。

   "events_metadata":{
       "__typename":"AlertEventMetadata",
       "began_at":{
           "__typename":"Timestamp",
           "nanos":0,
           "seconds":1661119511
       },
       "ended_at":{
           "__typename":"Timestamp",
           "nanos":774000000,
           "seconds":1661286639
       },
"first_event_id":"event://priv:scwx.nids:35959:1661272095206:146d8128-d2fb-5d06-ac20-8dd7bac30763",
"last_event_id":"event://priv:scwx.nids:35959:1661286639774:146d8128-d2fb-5d06-ac20-8dd7bac30763",
       "total_events":9,
       "updated_at":{
           "__typename":"Timestamp",
           "nanos":391062,
           "seconds":1661287835
       }
   },
   "group_key":[
       "35959:Cisco eStreamer:SERVER-WEBAPP GPON Router authentication bypass and command injection attempt:2.2.3.3:1.1.1.4:2022-08-21"
   ],