[フィルター条件] の最初のフィールドのオプションは、取り込んだ検出の [CrowdStrike 次世代サンプル検出の取り込み] セクションに表示されるフィールドと一致します。これらのフィールドは動的であり、取り込む検出に応じて変化します。入力する基準は大文字と小文字を区別します。定義した基準が検出の値と一致していることを確認します。

複数の値を持つ次のフィールドには、フィルター条件 detection_id を使用します。

• composite_id
• host_names
• seconds_to_resolved
• seconds_to_triaged

フィルター条件は文字列のみ取得できるため、上記のフィールドには detection_id フィルター条件を使用して、データが正しくフィルタリングされるようにする必要があります。

• [AND] を選択した場合は、すべての条件に一致する必要があります。
• [OR] を選択した場合は、一致すべき条件がいずれか 1 つになります。

集計基準が満たされ、この受信インシデントを既存のセキュリティインシデントに追加できるように、複数選択入力フィールドで選択したすべてのフィールド値が一致する必要があります。この選択は、複数のフィールド値を持つ可能性がある [観測事象] や [構成アイテム] などのフィールドがマッピングされる AND 条件を意味します。値のサブセットのみが一致した場合、 CrowdStrike Next-Gen SIEM インシデント集計条件は満たされず、新しいセキュリティインシデントが作成されます。

定義した複数選択フィールド条件のいずれかが満たされると、集計が行われます。この選択は OR 条件を意味します。

作業メモには、新しいインシデントが追加されたことが記録され、インシデントの詳細へのリンクが含まれています。作業メモの記録では、マッピングセクションの作業メモフィールドに追加した詳細も更新されます。