ライブラリリストビューから TAXII 収集に追加
[TAXII 収集に追加] 機能を使用すると、アナリストは、観測事象、インジケーター、オブジェクト (攻撃パターンや攻撃者など) を含む、選択した脅威インテリジェンスを TAXII 収集に直接追加できます。
始める前に
必要なロール：sn_sec_tisc.analyst
このタスクについて
観測事象に TAXII コレクションを追加する手順を次に示します。
手順
-
TAXII 収集サンプルテンプレートを選択します。
[送信インテリジェンス共有 (Outbound Intel Sharing)] ページで構成されたすべてのテンプレートがここに表示され、必要なものを選択できます。詳細については、「送信インテリジェンス共有テンプレートの構成」を参照してください。
-
[ TAXII 収集レコード ] セクションにドリルダウンします。
選択した観測事象が TAXII 収集に追加され、除外ルールも表示されます。
除外ルールは、TAXII 収集にアイテムを追加するときに含めないレコードまたはデータを定義し、意図したインテリジェンスのみが共有されるようにします。各テンプレートには、共有中に含めるまたは除外する属性と情報を指定する独自の共有テンプレートコントロールが付属しています。
さらに、除外ルールを使用すると、特定のレコードが TAXII 収集に追加されないようにすることもできます。
これらのルールで定義された基準に一致するレコードは除外され、共有できません。たとえば、赤やクリアなどの特定のステータスのドメインをブロックするようにグローバル除外ルールが構成されている場合、その条件に一致するレコードはすべて自動的に除外されます。
このようなレコードを TAXII 収集に追加しようとすると、アプリケーションはそれらが除外されたことを示し (下のスクリーンショットを参照)、意図した許可された情報のみが共有されるようにします。除外ルールの詳細については、「 送信インテリジェンスデータ除外ルールの設定」を参照してください。
次のタスク
TAXII 収集にレコードを追加したら、 [ TAXII 収集レコード ] セクションで追加されたレコードを表示します。詳細については、「TAXII 送信サーバーの詳細」と「TAXII 収集レコードの表示」を参照してください。
TAXII 収集にレコードを追加すると、アプリケーションは自動的にマーキング定義を適用して、レコードに関する追加のコンテキストを提供します。
例：
レコードに TLP (TLP 白) などの TLP (信号灯プロトコル) 分類がある場合は、その TLP レベルの意味を説明する関連参照レコードが作成されます。これにより、共有インテリジェンスにアクセスするユーザーが各レコードの要件を認識できるようになります。レコードがコレクションに追加されると、関連するメタデータまたはコンテキストレコード (TLP マーキングなど) が自動的に作成され、リンクされます。
[ 管理 ] セクションでは、グローバル除外ルールを含む、構成関連のすべての設定を表示および管理できます。これらのルールは、TAXII 収集に追加から自動的に除外されるレコードを決定します。
たとえば、除外ルールで TLP Red または TLP Clear でマークされたドメインを除外できます。これらのルールはカスタマイズできます。たとえば、TLP 赤のレコードのみを除外するように変更できます。
- 選択したすべてのレコードが除外ルールに一致する場合、アプリケーションはレコードが追加されないようにします。
- 選択のレコードが有効な場合、それらのレコードは TAXII 収集に追加され、除外されたレコードは自動的に除外されます。