ArcSight ESM イベントの取り込み統合のマッピングの作成
このステップでは、サンプル相関イベントを取り込み、値を SIR セキュリティインシデントフィールドにマップします。
始める前に
必要なロール：admin、sn_si.admin
このタスクについて
フォームの右側にあるマッピンググリッドのフィールドを追加または削除して、カスタムマッピングを作成します。デフォルトで表示されるフィールドは、通常、セキュリティインシデント応答フォームに入力する重要なフィールドです。ただし、[+] および [-] ボタンを使用して、これらのフィールドを削除し、追加のフィールドを表示することができます。フォームの右側にあるマッピンググリッドのフィールドを追加または削除して、カスタムマッピングを作成します。フィールドをカスタマイズすると、セキュリティインシデントのデフォルトのマッピンググリッドに表示されていない ArcSight ESM フィールドをマッピングできます。
手順
-
ドロップダウンリストから、次のいずれかを選択します。
- 最新の相関イベントを取得
- イベント ID に基づいて相関イベントを選択します
[イベントを取得] をクリックして、選択した相関検索ルールについて ArcSight ESM コンソールから最新のサンプル相関イベントをプルします。
相関イベントのフィールドと値の結果は、個別のタブとして表示されます。
サンプル相関イベントのプルには少し時間がかかる場合があります。トランザクションが機能していることを示すメッセージが画面の上部に表示されます。
次の図では、取り込みプルの完了後に、取り込まれた相関イベントまたはインポートされたサンプルイベントのフィールド名値のペアがこのフォームの左側に表示されます。これらの値は、フォームの [SIR インシデントフィールドマッピング] 側のセキュリティインシデントフィールドにマッピングする値です。
-
フィールド名 (agent.hostname など) をドラッグして、[セキュリティインシデント] 列のフィールド名の横にある [入力式] 列のフィールドにドロップします。
マッピングプロセスでイベントフィールドが見落とされたり重複したりしないように、フィールドは色分けされています。左側のライトブルーのフィールドは、相関イベントフィールドがまだ未選択で、セキュリティインシデントにマップされていないことを示します。受信相関フィールドをセキュリティインシデントの 1 つ以上のフィールドに関連付けることができます。
灰色のフィールドは、フィールドが選択され、セキュリティインシデントのフィールドにマッピングされていることを示します。この色分けは、今後のセキュリティインシデントフィールドマッピングでどのイベントフィールドが既に使用されているかを追跡するのに役立ちます。
-
フォームの右側のセキュリティインシデントに表示されるデフォルトのフィールドにフィールドを追加するには、次のステップを実行します。
-
[セキュリティインシデント] 列で表示されている選択リストを展開し、フィールドを選択します。
新しいフィールドの展開された選択リストでは、一部のフィールドが網掛けされています。セキュリティインシデントにマップされたため、次の図では、[影響を受けるユーザー] のバックグラウンドはグレーになっています。フォームの左側の相関イベントフィールドの色分け同様、セキュリティインシデントフィールドのこの色分けも、すでにマップされた SIR インシデントフィールドを追跡するのに役立ちます。
注:同じセキュリティインシデントに複数の観測事象を表示できるため、[観測事象] フィールドを異なる値で複数回マップできます。同様に、[構成アイテム] フィールドと [作業メモ] フィールドは複数の値をサポートします。複数の値をサポートできないフィールドに 2 つの値をマッピングしようとすると、インシデントをプレビューするときに、フィールドに値がないことを示すエラーメッセージが表示されます。同様に、セキュリティインシデントのフィールドに複数のオプションを選択できる選択リストがあり、選択リストに表示されていないフィールドにオプションをマップしようとすると、そのフィールドはセキュリティインシデントに入力されません。
-
[セキュリティインシデント] 列で表示されている選択リストを展開し、フィールドを選択します。
- オプション:
先行するフィールドマッピングステップを完了したら、インシデント生成条件ビルダーで同じフィールド値を使用して、SIR セキュリティインシデントを作成するために、受信相関イベントが満たす必要がある追加の条件を定義することができます。
インシデント生成条件を設定するには、次のステップを実行します。
- オプション:
2 行目で、2 番目のフィルター条件を設定します。
次の画像は、セキュリティインシデントが作成される前に一致する必要がある 2 つの条件を含む例です。
入力した両方のフィルタリング条件に一致した場合にのみセキュリティインシデントが作成されるように、インシデント生成条件を設定しました。
この種のインシデント生成条件フィルタリングでセキュリティイベントを絞り込むことができ、基になる相関検索を変更することなく作成する不要なセキュリティインシデントの数を制限したり、ArcSight ESM でイベントをフィルターで除外したりすることができます。追加のフィルタリング条件を設定する場合、すべての条件に一致する相関イベントのみがインシデントにマップされます。
注:イベントフィールド名に引用符 (")、ハイフン (')、アンダースコア (-)、またはアンパサンド (@) などの特殊文字が含まれている場合、これらの文字はマッピング変換のために置き換える必要があり、重複イベント名が作成される可能性があります。マッピングは適切に実行できますが、重複するイベント名を持つフィールドを区別するために数値のサフィックスが追加されます。たとえば、最初のイベントフィールドがevents.eventで、2 番目のイベントフィールドがevents.eventの場合、残りの標準的なテキスト文字は同じであるため、これらのフィールドは一意に識別されません。この場合、サフィックスが 2 番目のイベントフィールドに追加され、フィールド名が「events.event(1)」に変更されます。
類似の相関イベントを処理して重複インシデントを防止するイベント集計基準 - オプション:
2 行目で、2 番目のフィルター条件を設定します。
- オプション:
重複セキュリティイベントが作成されないように、追加のイベント集計条件を定義して、受信する相関イベントをオープンセキュリティインシデント別に集計します。
基準を設定するには、以下のステップを実行します。
-
[利用可能] リストから、Now Platform の既存のセキュリティインシデントで照合するフィールド値を選択し、[選択済み] リストに移動させます。
この受信相関イベントを既存のセキュリティインシデントに追加するには、選択するすべてのフィールド値が一致する必要があります。これには、複数の相関イベントフィールド値がマッピングされている可能性がある [観測事象] や [構成アイテム] などのフィールドが含まれます。すべての値が一致している必要があります。値のサブセットのみが一致した場合、イベント集計条件は満たされず、新しいセキュリティインシデントが作成されます。複数値フィールドのマッピングについては、以下のスクリーンショットを参照してください。
新しい相関イベントが、マッピングステップの集計フィールド条件で選択されたすべての値と一致する場合、新しい相関イベントは、同じフィールド値を持つ最新のオープンセキュリティインシデントに自動的に追加されます。セキュリティインシデントを扱う SOC アナリストは、セキュリティインシデントの関連リストで、追加されたすべての集計相関イベントを表示できます。セキュリティインシデントの集計された相関イベントはすべて、[集計された ArcSight イベント] 関連リストに表示されます。このリストには、関連するタイムスタンプと集計されたフィールド値の詳細が表示されます。この情報は、これらの相関イベントが既存のセキュリティインシデントに集計される理由を理解するのに役立ちます。このタブが表示されない場合は、[関連リンク] の下のレコードの左側にスクロールし、[すべての関連リストを表示] リンクをクリックします。注:この関連リストが表示されない場合は、次のステップを実行します。- セキュリティインシデントフォームヘッダーを右クリックし、 .
- [利用可能] リストで [集計された ArcSight イベント] を選択し、[選択済み] リストに移動して [保存] をクリックします。
- [関連リストを表示] をクリックします。[関連リスト] セクションに [集計された ArcSight イベント] タブが表示されます。
相関イベントから SIR セキュリティインシデントのフィールドに値を正常にマッピングしました。また、インシデント生成フィルタリング基準を使用してセキュリティインシデントの作成を制限する追加条件も構成しました。また、イベントフィールド値が設定された集計基準に一致する場合は、相関イベントを既存の SIR セキュリティインシデントに集計しました。 -
[利用可能] リストから、Now Platform の既存のセキュリティインシデントで照合するフィールド値を選択し、[選択済み] リストに移動させます。