検出の抑止ルール🔗

検出の抑止ルールを作成すると、検出の作成時に 抑止済み として解決されるため、デフォルトでは Detection Triage Dashboard に表示されなくなりますが、検索では引き続き見つけることができます。

重要

抑止済みの検出は、Secureworksのアナリストによってトリアージされません。

ヒント

より高いレベルのサポートをご希望の場合、SecureworksプロフェッショナルサービスチームがTaegis XDRへの投資から最大限の価値を引き出すお手伝いをいたします。高度なスキルを持つコンサルタントが、迅速な展開、最適化、価値実現までの時間短縮をサポートします。詳細については、 Professional Services Overview.

検出の抑止ルールを表示する🔗

Taegis Menu から、Detections > Customization Rules を選択します。Custom Rules テーブルが表示されます。
Suppression Rules タブを選択して、現在のすべての抑止ルールを表示します。

テナントルールはそのテナントに固有であり、その個別のテナントに対する検出のみを抑止します。グローバルルールは、すべての XDR テナントに適用されます。グローバルルールは、一般的に、検出ルールまたは検知機が調整されるまで検出の大量発生をトリアージするために作成されます。グローバルルールは読み取り専用です。グローバルルールについて質問がある場合は、サポートにお問い合わせください。

抑止ルールを作成する🔗

検出の抑止ルールは、次のいずれかの方法で作成できます。

クエリ言語の方法
検出の方法

クエリ言語の方法🔗

抑止ルールでは、詳細検索クエリ言語を使用して、検出の基になるイベントデータに対する一致条件をサポートしています。たとえば、抑止ルールでは process.commandline、process、parent_image_path、その他のイベントスキーマなどのクエリ言語要素を使用できます。

注意

追加情報については、FAQ を参照してください。

抑止ルールを作成する前に、まず詳細検索を使用して、目的の検出を対象とするクエリを作成してください。

詳細検索クエリを作成して、将来抑止する対象となる過去の検出を確認します。結果に問題がなければ、ルールビルダーに貼り付けるためにクエリをコピーします。
Detections > Customization Rules に移動し、Suppression Rules タブを選択します。
Suppression Rules テーブルの上にある Create Rule をクリックします。
Create Suppression Rule で、目的の検出を対象とする詳細検索クエリを Rule Criteria フィールドに貼り付けます。

ヒント

右側のペインで See potential matches with current data をクリックしてクエリをテストし、目的の検出を対象としていることを確認します。
ルールの Name と Description を入力します。
このルールに一致する検出に付与する解決ステータスを選択します。

クエリ言語を使用した抑止ルールの作成
Create Rule をクリックします。

検出の方法🔗

抑止したい検出の詳細を開きます。
検出の詳細ページで、Actions > Create Suppression Rule を選択します。
Create Suppression Rule フォームには、検出から取得したエンティティが入力されます。1つ以上のエンティティを選択してルールを作成するか、条件を手動で追加します。
- 複数の条件は AND 演算子で結合されます。
- 条件では、一致を実行するために PCRE 正規表現を使用します。
- 抑止ルールはストリーミングデータに対してクエリを実行し、Primitive Fields にはデフォルト値が自動的に設定されません。これは、Taegis データレイクに保存され、データレイク検索でクエリされるデータとは異なります。抑止ルールでは、これらの Primitive Fields が設定されているかどうかを確認するために NULL 演算子を使用できます。
- 事前入力されたエンティティを使用する場合、正規表現の特殊文字は自動的にエスケープされます。条件を手動で追加する場合は、これらの文字をエスケープする必要があります。詳細については、次の注意を参照してください。
注意

正規表現内で次の文字は特別な意味を持ちます: . ^ $ * + - ? ( ) [ ] { } \ | /。IPアドレスやドメイン名などの場合、これらの文字はバックスラッシュでエスケープしてください: 1\.1\.1\.1。
複数の特殊文字を含む長い文字列をエスケープする場合は、文字列全体を \Q と \E で囲むことで、正規表現の特殊文字として評価されないようにできます。例えば、次の文字列全体をエスケープする場合:
\Q${jndi:ldap://log4shell-smb-21yg3cbuy21gbcy21gc321uc${lower:ten}.w.nessus.org/nessus}\E
これは次のようにエスケープした場合と同等です:
\$\{jndi:ldap:\/\/log4shell\-smb\-21yg3cbuy21gbcy21gc321uc\$\{lower:ten\}\.w\.nessus\.org\/nessus\}
ルールの Name と Description を入力します。
このルールに一致する検出に付与する解決ステータスを選択します。

特定の検出から抑止ルールを作成する
Create Rule をクリックします。

抑止ルールの詳細と履歴を表示する🔗

Suppression Rules テーブルからルール名を選択して、その詳細と履歴を表示します。

抑止ルールの詳細🔗

抑止ルールの Details タブには、ルールが一致する条件とともに、ルールの概要情報が表示されます。このビューでは、ルール名、条件、説明、解決ラベルを編集できます。

ルールが過去7日間に一致し、検出を抑止していた場合は、次が表示されます。

過去7日間のヒット数
最終ヒット日時
ヒット数を可視化した折れ線グラフ

過去7日間にアクティビティがない場合、このセクションは表示されません。

抑止ルールの履歴🔗

抑止ルールの History タブには、ルールに対する編集の変更ログが含まれます。左側の一覧から監査ログを選択すると、右側のペインに差分が表示されます。

抑止ルールをアーカイブおよびリストアする🔗

抑止ルールの表示中に Archive を選択してアクションを確認すると、そのルールをアーカイブできます。これによりルールは無効化され、アーカイブ済みとしてマークされ、Suppression Rules テーブルのデフォルトビューから削除されます。

アーカイブ済みルールを表示するには、テーブルの上にある Showing Archived Rules を選択します。

アーカイブ済みの抑止ルールの表示中に Restore を選択してアクションを確認すると、そのルールをリストアできます。これにより、ルールは無効状態でリストアされ、Suppression Rules テーブルのデフォルトビューに戻ります。トグルを選択してルールを有効にします。

テナント内の別のユーザーと抑止ルールを共有するには、ルールの詳細から Copy share link アイコンを選択して、直接URLを取得します。

一般的な検出の抑止ルール🔗

承認済みスキャナー🔗

承認済みスキャナーから発生する検出を抑止するには、Source IP Address を使用します。

承認済みスキャナーが複数ある場合は、正規表現を使用してすべてのIPアドレスを1つの抑止ルールに含めます。

ゲストネットワーク範囲🔗

ゲストネットワーク範囲からの検出を抑止するには、Source IP Address を使用し、正規表現を使用してネットワーク範囲全体に一致させます。

エンドポイントでの承認済みプロセス実行🔗

エンドポイントとプロセスの両方に一致させるために、パターンの組み合わせを使用します。

エンドポイントに一致させるものを1つ使用します。
- Sensor Host ID
- IP Address（ホストが固定IPアドレスを持ち、エンドポイントエージェントがインストールされていない場合）
プロセスに一致させるものを1つ使用します。
- File Name
- File (MD5|SHA1|SHA256|SHA512)
- Program Name
- Program (MD5|SHA1|SHA256|SHA512)
- Script SHA1（実行されたスクリプトのハッシュです）

FAQ🔗

検出が抑止されているかどうかは、どのように確認できますか？

抑止済みの検出には、フィードバックラベルとして Suppressed が付けられます。

抑止済みの検出を検索するにはどうすればよいですか？

抑止済みの検出には、フィードバックラベル Suppressed が付いています。次のクエリを使用して検索できます。

from detection where suppressed = true

結果から抑止済みの検出を除外するには、labelName 条件の一致に NOT を追加します。

from detection where suppressed = false

別の方法として、ルール自体からピボットサーチを実行できます。ルールを開き、Search for all alerts suppressed by this rule の横にある新しいタブのアイコンを選択します。これにより、この特定のルールによって抑止された検出をクエリする詳細検索が開きます。

抑止済みの検出をケースに追加できますか？

はい、抑止済みの検出も新規または既存のケースに追加できます。

抑止済みの検出のフィードバックラベルを変更できますか？

はい、検出の詳細ビューで、フィードバックラベルを削除するか、ラベルを変更できます。

ルールマネージャーのアクティビティを監査できますか？

はい、ルールマネージャーでのアクションは、Tenant Settings > Audit Logs に移動することで表示できます。監査ログのカテゴリは Rules です。

さらに、ルールに対する編集の変更ログはルール自体から利用できます。抑止ルールの詳細と履歴を表示するを参照してください。

検出が抑止された場合、どのルールがその検出を抑止したかはどのように確認できますか？

検出の詳細を表示しているときに、Suppression Rule フィールド内のルール名をクリックすると、サイドパネルでルールを表示できます。

ルールではどの正規表現機能がサポートされていますか？

検出の抑止エンジンでは、正規表現の適用に Hyperscan を使用します。Hyperscan は、http://www.pcre.org/ に記載されている、PCRE ライブラリ libpcre で使用されるパターン構文をサポートしています。ただし、libpcre で利用可能なすべての構文がサポートされているわけではありません。サポートされていない構文を使用すると、コンパイルエラーになります。

詳細については、Hyperscan Developer Reference Compilation を参照してください。

ドメイン名またはIPアドレスについて、ドットを扱うために何か特別なことをする必要がありますか？

はい、バックスラッシュを使用してドットをエスケープする必要があります。正規表現では、ドットは改行を除く任意の1文字に一致することを意味します。

例: 192\.168\.1\.1 または www\.secureworks\.com

どのエンティティに対して一致させることができますか？

抑止ルールを作成する最善の方法は、既存の検出に一覧表示されているエンティティを活用することです。検出の詳細を表示しているときに、その検出で利用可能なエンティティを確認するには、次の手順を実行します。

JSON タブに移動します。
entities JSON オブジェクトを展開します。
検出に一覧表示されているエンティティを確認します。

Note

検出に entities がない場合、その検出は現時点ではまだ抑止できません。すべての検出に検出の抑止を追加する取り組みが進められています。

検出エンティティ

ルールの作成時には、ドロップダウンからエンティティを選択できます。次のエンティティを使用して検出の抑止ルールを作成できます。一意のエンティティは、検出に含まれる個々のイベントから解析されます。

Entity Prefix	Entity Description
authDomainName	Active Directory ドメイン
sourceUserName	Auth ソースユーザー名
sourceAuthDomainName	Auth ソースドメイン名
targetUserName	Auth ターゲットユーザー名
targetAuthDomainName	Auth ターゲットドメイン名
computerName	コンピューター名
decodedScriptSha1	デコードされたスクリプト SHA1
destHostName	宛先ホスト名
destIpAddress	宛先IPアドレス
destIpGeo	宛先IP位置情報
destMacAddress	宛先MACアドレス
dnsName	DNS名
fileMd5	ファイル MD5
fileName	ファイル名
fileSha1	ファイル SHA1
fileSha256	ファイル SHA256
fileSha512	ファイル SHA512
ipAddress	IPアドレス
city	IPアドレス位置情報の市区町村
country	IPアドレス位置情報の国
latLon	IPアドレスの緯度,経度
macAddress	MACアドレス
programMd5	プログラム MD5
programName	プログラム名
programSha1	プログラム SHA1
programSha256	プログラム SHA256
programSha512	プログラム SHA512
registryName	Registry 名
registryPath	Registry パス
scriptSha1	スクリプト SHA1
sensorHostId	Sensor Host ID
sensorId	Sensor ID
sourceIpAddress	送信元IPアドレス
sourceIpGeo	送信元IP位置情報
sourceMacAddress	送信元MACアドレス
topPrivateIpDomain	トッププライベートIPドメイン
userName	ユーザー名
workstationName	ワークステーション名

どの検知機が検出の抑止をサポートしていますか？

すべての検知機と検出ソースが抑止をサポートしています。

抑止ルールにクエリ言語を使用する場合の制限はありますか？

現時点では、次の検出スキーマフィールドはサポートされていません。

enrichment_details
third_party_details — 代わりに thirdparty イベントスキーマを使用してください
status
case

特定の commandline を含む検出に対する抑止ルールはどのように作成できますか？

commandline で抑止するには、高度な抑止ルールのクエリ言語で process.commandline スキーマを使用します。

FROM detection WHERE process.commandline CONTAINS 'your_string'

抑止ルールで検出エンティティを使用するにはどうすればよいですか？

検出エンティティを使用する方法は2つあります。

クエリで論理型を使用して、目的の検出エンティティを含めます。hostname で抑止するには、@host を使用します。

FROM detection WHERE @host='somehostname'
entities フィールドを直接使用します。抑止したい検出を表示しているときに、JSON ビューで entities.entities を開きます。目的のエンティティに一致させるには、文字列全体を使用します。宛先IPアドレスで抑止するには、次を使用します。

FROM detection WHERE entities='destIpAddress:128.206.10.3'

抑止にIP CIDR範囲を使用するにはどうすればよいですか？

ルールのクエリで IPv4 CIDR 範囲を使用できるようになりました。

注意

検出の検索では CIDR 範囲をサポートしていないため、これらのクエリを詳細検索を使用して作成することはできません。まず CIDR 範囲なしで詳細検索でクエリを作成し、抑止ルールを作成する準備ができたら範囲を追加することをお勧めします。

注意

現時点では、抑止ルールでは IPv6 CIDR 範囲はサポートされていません。

IPv6アドレスを持つ検出を抑止するにはどうすればよいですか？

抑止ルールは IPv6 アドレスをサポートしています。抑止ルールで IPv6 アドレスを使用すると、ルールはアドレスを自動的に正規化し、等価な表現に一致するようにします。たとえば、圧縮形式を使用するルールは非圧縮形式にも一致し、その逆も同様です。

抑止ルールでは、次の3つの方法で IPv6 アドレスに一致させることができます。

論理型（例: @ip）:

FROM detection WHERE @ip = '2001:db8:85a3::8a2e:370:7334'

スキーマフィールド（例: auth.source_address）:

FROM detection WHERE auth.source_address = '2001:db8:abcd:1234:0:1::'

エンティティ（例: sourceIpAddress）:

FROM detection WHERE entities = 'sourceIpAddress:2001:db8:abcd:1234:0:1::'

いずれの場合も、アドレスが圧縮形式（例: 2001:db8:abcd:1234:0:1::）、部分展開形式（例: 2001:db8:abcd:1234:0:1:0:0）、または完全展開形式（例: 2001:db8:abcd:1234:0000:0001:0000:0000）のいずれで保存されていても、ルールはイベントに一致します。

注意

現時点では、抑止ルールは IPv4-mapped IPv6 アドレス（::ffff:192.0.2.47 など）をサポートしていません。
現時点では、抑止ルールは IPv6 CIDR 範囲をサポートしていません。IPv6 アドレスの範囲を抑止するには、個別のルールを作成するか、検出の方法で正規表現パターンを使用してください。