カスタム検出ルール🔗

カスタム検出ルールは、Secureworks® Taegis™ XDR の正規化されたイベントから検出を作成するために使用できます。

ヒント

より高いレベルのサポートをご希望の場合、SecureworksプロフェッショナルサービスチームがTaegis XDRへの投資から最大限の価値を引き出すお手伝いをいたします。高度なスキルを持つコンサルタントが、迅速な展開、最適化、価値実現までの時間短縮をサポートします。詳細については、プロフェッショナルサービスの概要。

カスタム検出ルールマネージャー🔗

Taegis Menu から、検出 → Customization Rules を選択します。カスタムルールのテーブルには、現在のすべてのカスタムルールが表示されます。

カスタムルールの作成🔗

ヒント

最初にデータレイク検索を使用して、Rule Criteria フィールドで目的のイベントを対象とするルール構文を作成してください。

カスタムルールでは、データレイク検索とは異なる regex エンジンを使用します。後方参照や条件付きパターンなど、一部のパターンはカスタムルールではサポートされていません。

カスタムルールのテーブルの上部右側にある ルールの作成 ボタンを選択します。Create Custom Rule パネルが表示されます。
Rule Criteria フィールドに、詳細検索クエリ言語のクエリを入力します。
- 正規表現は、高性能 regex エンジンの制限内でサポートされています。詳細については、FAQ の「Custom Rules の regex の制限事項は何ですか？」を参照してください。
- IPv4 CIDR 表記は、演算子 = および matches を使用する IP フィールドでサポートされています。
- Glob パターンはサポートされていません。
- カスタムルールはストリーミングデータに対してクエリを実行し、Primitive Fields にはデフォルト値が自動的に設定されません。これは、Taegis データレイクに保存され、データレイク検索で検索されるデータとは異なります。カスタムルールでは、NULL 演算子を使用して、これらの Primitive Fields が設定されているかどうかを確認できます。
注意

正規表現内で次の文字は特別な意味を持ちます: . ^ $ * + - ? ( ) [ ] { } \ | /。IPアドレスやドメイン名などの場合、これらの文字はバックスラッシュでエスケープしてください: 1\.1\.1\.1。
複数の特殊文字を含む長い文字列をエスケープする場合は、文字列全体を \Q と \E で囲むことで、正規表現の特殊文字として評価されないようにできます。例えば、次の文字列全体をエスケープする場合:
\Q${jndi:ldap://log4shell-smb-21yg3cbuy21gbcy21gc321uc${lower:ten}.w.nessus.org/nessus}\E
これは次のようにエスケープした場合と同等です:
\$\{jndi:ldap:\/\/log4shell\-smb\-21yg3cbuy21gbcy21gc321uc\$\{lower:ten\}\.w\.nessus\.org\/nessus\}
ルールに Name、Mitre Attack Categories、および Description を追加します。これらは生成される検出に使用されます。
生成される検出に対して希望する重大度を選択します。
ルールの作成 を選択します。

カスタム検出を表示する方法🔗

カスタムルールによって生成された検出は、XDR の Detection Triage Dashboard の Detections by Detector ウィジェットに、検知機名 Custom Detections の下で表示されます。

ヒント

一致する検出が表示されませんか？Detection Triage Dashboard の上部で正しい重大度レベルが選択されていることを確認してください。

Detection Triage Dashboard からカスタム検出を削除する🔗

Detection Triage Dashboard の上部にある Include Options を選択し、Custom Detections オプションを切り替えることで、Detection Triage Dashboard の表示からカスタム検出を削除できます。

カスタムルールの詳細と履歴を表示する🔗

カスタムルールのテーブルからルール名を選択すると、その詳細と履歴を表示できます。

カスタムルールの Detail タブには、ルールが一致する条件とともに、そのルールの概要情報が含まれています。ルールが過去7日間に一致し、検出を作成している場合は、次の内容が表示されます。

過去7日間のヒット数
最終ヒット日時
ヒット数を可視化した折れ線グラフ

過去7日間にアクティビティがない場合、このセクションは表示されません。

カスタムルールの History タブには、ルールに対する編集の変更ログが含まれています。左側のリストから監査ログを選択すると、右側のペインに差分が表示されます。

カスタムルールのアーカイブとリストア🔗

カスタムルールの表示中に、Archive を選択してアクションを確認することで、そのルールをアーカイブできます。これにより検出が無効化され、アーカイブ済みとしてマークされ、カスタムルールのテーブルのデフォルト表示から削除されます。

アーカイブ済みルールを表示するには、カスタムルールのテーブルの上部にある Showing Archived Rules トグルを選択します。

アーカイブ済みのカスタムルールを表示しているときは、Restore を選択してアクションを確認することで、そのルールをリストアできます。これにより、ルールは無効状態でリストアされ、カスタムルールのテーブルのデフォルト表示に戻ります。トグルを選択してルールを有効にします。

FAQ🔗

Taegis MDR ではカスタムルールはどのようにサポートされていますか？

XDR 内のカスタムルール機能を使用して、設定した特定の条件が検知されたときに通知するカスタムルールを作成できます。この機能により、セキュリティチームはお客様の環境に固有のルールを柔軟に作成でき、内部機能をさらにカスタマイズできます。これらはお客様ごとに大きく異なる可能性があるため、当社のアナリストはお客様のカスタムルールを監視できません。したがって、カスタムルールを実装する場合は、対応する検出を管理するための社内リソースとプロセスを用意する必要があります。

検出ルールで、domain、IP address などの論理データ型を使用できますか？

はい。論理データ型を使用すると、スキーマ内の複数のフィールドにまたがって表現されるデータ型との一致に役立ちます。唯一の注意点は、ルールは単一のスキーマタイプに対してのみ一致できますが、論理データ型は個々のスキーマ内で利用可能なフィールドに展開されることです。

ルール条件の例: FROM auth WHERE @user='gcostanza' AND win_event_id='4624'

ルールの変更を監査するにはどうすればよいですか？

ルールマネージャーでのアクションは、テナント設定 → 監査ログ で確認できます。監査ログのカテゴリは Rules になります。

さらに、ルール自体からルール編集の変更ログを確認できます。カスタムルールの詳細と履歴を表示するを参照してください。

ルールを作成できるのは誰ですか？

現時点では、どのロールでも検出ルールを作成できます。これは今後提供予定のロールベースアクセス制御によって変更される予定です。

すべてのスキーマフィールドをカスタム検出で使用できますか？

ほとんどのイベントフィールドは利用可能ですが、以下のフィールドは検出エンジンによる処理後にイベントへ追加されるため、例外です。

スキーマ auth、netflow、および dns_query では、以下のオブジェクトおよびフィールドはカスタム検出ルールの一致条件として使用できません。

dest_ipgeo_summary
src_ipgeo_summary
src_ipblacklist_hits
dest_ipblacklist_hits

すべてのスキーマで、以下のフィールドはカスタム検出ルールの一致条件として使用できません。 - hostname

スキーマ dns_query では、以下のオブジェクトはカスタム検出ルールの一致条件として使用できません。

whois

カスタムルールが作成できる検出数に制限はありますか？

はい。1時間あたり5,000件、または24時間で100,000件を超えるカスタムルールは、circuit breaker によって無効化されます。検出数を減らすようにルールを更新するか、ルールをカスタムレポートに切り替えてください。

注意

circuit breaker は、制限超過によりルールが無効化された場合、その旨をルール作成者にメールで通知します。

Custom Rules の regex の制限事項は何ですか？

以下の regex 構文は、カスタムルールではサポートされません。

後方参照およびキャプチャ部分式
任意のゼロ幅アサーション
サブルーチン参照および再帰パターン
条件付きパターン
バックトラッキング制御動詞
\C の「single-byte」ディレクティブ（UTF-8 シーケンスを壊します）
\R の改行一致
\K の一致開始リセットディレクティブ
コールアウトおよび埋め込みコード
アトミックグループ化および所有量指定子

評価モードの設定🔗

評価モードは、現在テストおよび調整中の高度な脅威検出ルールを有効にします。この設定を有効にしても、データ取り込みが変更されることはありませんが、追加の高度な検出を作成できるようになります。この設定を有効にする前に、次の重要な点に注意してください。

重要

この設定は、サポートから指示された場合にのみ有効にしてください。
この設定を有効にすると、生成されるセキュリティ検出の数が大幅に増加します。
評価モードのルールは調整中であるため、誤検知が発生する可能性があります。

評価モードを有効にする🔗

テナント管理者は、次の手順に従って評価モードを有効にできます。

Taegis Menu から検出を選択し、ルール を選択します。
ルールページの右上隅から設定を選択します。
この設定を有効にすることを確認するため、テキストフィールドにすべて大文字で「ENABLE」と入力します。
Save Changes を選択します。

評価モードを無効にする🔗

テナント管理者は、次の手順に従って評価モードを無効にできます。

Taegis Menu から検出を選択し、ルール を選択します。
ルールページの右上隅から設定を選択します。
Disable Evaluation Mode トグルを選択します。