Splunk Enterprise Event Ingestion 統合でのアラートのマッピング
イベントフィールドマッピングのステップでは、トリガーされたアラートまたはインポートされたイベントデータの個々のイベントフィールドを Now Platform セキュリティインシデントレスポンス (SIR) セキュリティインシデントのフィールドにマップします。
始める前に
必要なロール：sn_si.admin
このタスクについて
デフォルトのセキュリティインシデントフィールドの事前設定されたマッピンググリッドを編集できます。イベントフィールドの色分けは、既にマッピングされているフィールド値を監視するのに役立ちます。このステップは、編集がセキュリティインシデントのフィールドにどのように影響するかを視覚化するのに役立ちます。
フォームの左側にある [アラートサンプルの取り込み] 列から、右側の [SIR インシデントフィールドマッピング] 列のセキュリティインシデントフィールドに最大 5 つのアラートをマッピングします。
フォームの右側にあるマッピンググリッドのフィールドを追加または削除して、カスタムマッピングを作成します。フィールドをカスタマイズすると、SIR セキュリティインシデントのデフォルトのマッピンググリッドに表示されていない Splunk フィールドをマッピングできます。
手順
-
[アラームサンプルの取り込み] の下にあるスケジュール済みアラートプロファイルの場合、[アラート名] でアラートを選択し、[サンプルデータをフェッチ] をクリックして Splunk Enterprise コンソールから発生したアラートの最新のインスタンスをプルします。
アラートはタブとして表示されます。最新のアラートを最大 5 件取り込むことができます。
サンプルイベントのプルには少し時間がかかる場合があります。トランザクションが機能していることを示すメッセージが画面の上部に表示されます。
注:追加のマッピングフィールド [Splunk アラート名] が統合によって追加され、Splunk のソースアラートルールまでイベントを追跡できます。これは、複数の Splunk アラートが単一のプロファイルに結合されているシナリオで役立つ可能性があります。1 つのフィールドに複数の値が含まれている場合、それらの値は解析され、[SIR インシデントフィールドマッピング] セクションの個々のフィールドエントリーにマップされます。たとえば、ソース IP アドレス、資産名、または URL に複数の観測事象フィールドエントリーまたは複数の CI がある場合、それらは解析され、[SIR インシデントフィールドマッピング] セクションの個々のフィールドエントリーにマップされます。
次の図では、プルの完了後に、取り込まれたアラートまたはインポートされたサンプルイベントのフィールド名値のペアがこのフォームの左側に表示されます。これらの値は、フォームの [SIR インシデントフィールドマッピング] 側のセキュリティインシデントフィールドにマッピングする値です。
-
または、Splunk Enterprise コンソールからエクスポートするイベントタイプのプロファイルの場合は、次の手順に従って Now Platform® インスタンスに添付ファイルデータをアップロードします。
-
[アラートサンプルの取り込み] 列で、[添付ファイルデータのロード] をクリックします。
-
[アラートサンプルの取り込み] 列で、[添付ファイルデータのロード] をクリックします。
-
フィールド名 (カテゴリなど) をドラッグして、[セキュリティインシデント] 列のフィールド名の横にある [入力式] 列のフィールドにドロップします。
フィールド値が [入力式] 列に表示されます。次の画像では、category がセキュリティインシデントの [カテゴリ] フィールドにマップされます。ただし、左側から右側のフィールドまでの任意の値を一致させることができます。プレビューステップで、セキュリティインシデントの値が正しくマッピングされていることを確認します。
マッピングプロセスでイベントが見落とされたり、重複したりしないようにするために、フィールドは色分けされています。左側のライトブルーのフィールドは、フィールドがまだ未選択で、セキュリティインシデントにマップされていないことを示します。受信アラートフィールドをセキュリティインシデントの 1 つ以上のフィールドに関連付けることができます。
灰色のフィールドは、フィールドが選択され、セキュリティインシデントのフィールドにマッピングされていることを示します。場合によっては、アラートイベントフィールドが 1 回しか割り当てられないことがあるため、この色分けはマッピングの追跡に役立ちます。たとえば、 [簡単な説明] などのフィールドに値を割り当てることができるのは 1 回のみです。ただし、マッピンググリッドに行を追加することで、作業メモなどのリストフィールドを複数回割り当てることができます。
-
フォームの右側のセキュリティインシデントのデフォルトマッピングにフィールドを追加するには、次のステップを実行します。
-
フォームの右側の [SIR インシデントフィールドマッピング] セクションで、グリッドの下部にあるプラスアイコンをクリックします。
新しいフィールドが表示されます。
-
[セキュリティインシデント] 列で表示されているリストを展開し、フィールドを選択します。
新しいフィールドの展開されたリストでは、一部のフィールドが網掛けされています。次の図では、セキュリティインシデントにマッピングされているため、カテゴリのバックグランドがグレーになっています。フォームの左側のアラートフィールドの色分け同様、右側のセキュリティインシデントフィールドのこの色分けも、マッピングの追跡に役立ちます。
注:同じセキュリティインシデントに複数の観測事象を表示できるため、[観測事象] フィールドを異なる値で複数回マップできます。同様に、[構成アイテム] フィールドと [作業メモ] フィールドは複数の値をサポートします。複数の値をサポートできないフィールドに 2 つの値をマッピングしようとすると、インシデントをプレビューするときに、フィールドに値がないことを示すエラーメッセージが表示されます。同様に、セキュリティインシデントのフィールドに複数のオプションを選択できるリストがあり、リストに表示されていないフィールドにオプションをマップしようとすると、そのフィールドはセキュリティインシデントに入力されません。
-
フォームの右側の [SIR インシデントフィールドマッピング] セクションで、グリッドの下部にあるプラスアイコンをクリックします。
-
フィールドを追加または削除し、値をマップに追加してマッピングを続行します。
次の図は、編集されたマッピンググリッドの例です。右側の下部のフィールドに [作業メモ] フィールドが追加され、複数の値が表示されます。値はスペースと句読点で区切られます (Category:${category} |destination IP:78.146.73.180)。
プレビューでは、これらの値はセキュリティインシデントの [作業メモ] に表示されます。値はグリッドに追加したフィールドの値であり、[作業メモ] フィールドに複数の値がマッピングされているため、値は入力されたとおりに表示されます。この例では、フィールドに入力したスペースと句読点が、セキュリティインシデントのプレビューの作業メモとして [関連アイテム] セクションに表示されます。
次の画像は、前の画像の値がセキュリティインシデントにどのように表示されるかを示した例です。
インシデント生成フィルタリング条件
- オプション:
先行するフィールドレベルマッピングのステップを完了したら、フィルター条件ビルダーで同じフィールド値を使用して、SIR セキュリティインシデントを作成するために受信アラートが満たす必要がある追加の条件を定義できます。
フィルタリング条件を設定するには、次のステップを実行します。
-
フォームの [インシデント生成条件] セクションまでスクロールし、[条件に基づいてフィルター] チェックボックスをオンにして、オプションを有効にします。
フィルター条件ビルダーが表示されます。これらのフィルターを使用して、フィールドで説明されている特定の条件に一致するセキュリティインシデントを作成します。
フィルター条件ビルダーの最初のフィールドのリストオプションは、取り込まれたアラートの [アラートサンプルの取り込み] セクションに表示されるフィールドと一致します。これらのフィールドは動的であり、取り込む Splunk アラートまたは手動で転送するイベントに応じて変化します。入力する条件は大文字と小文字が区別され、Splunk Enterprise アラートまたはイベントの値と正確に一致する必要があります。フィルターフィールドに入力する値が不明な場合、Splunk Enterprise コンソールに戻り、アラートとイベントをレビューしてキーワードを確認することができます。
- オプション:
2 行目で、2 番目のフィルター条件を設定します。
次の画像は、セキュリティインシデントが作成される前に一致する必要がある 2 つの条件を含む例です。
入力した両方のフィルタリング条件に一致した場合にのみセキュリティインシデントが作成されるように、トリガー条件を設定しました。
このタイプのフィルタリングは、セキュリティインシデントを分離し、作成するセキュリティインシデントの数を制限するのに役立ちます。追加のフィルター条件を設定すると、Splunk のクエリまたはトリガーされたアラート構成を変更することなく、必要なアラートのみが取り込まれます。
重複インシデントを防止する集計アラート
-
フォームの [インシデント生成条件] セクションまでスクロールし、[条件に基づいてフィルター] チェックボックスをオンにして、オプションを有効にします。
- オプション:
重複セキュリティイベントが作成される可能性がないように、追加のインシデントフィールド条件を定義して、受信アラートをオープンセキュリティインシデント別に集計することができます。
この基準を設定するには、以下のステップを実行します。
-
フォームで [アラートアグリゲーション基準] セクションにスクロールして、[集計条件] チェックボックスをオンにして、このオプションを有効にします。
[値が一致するインシデントフィールド] 列が表示されます。これらのフィールド名は、SIR セキュリティインシデントで構成されたカスタムフィールドを含むセキュリティインシデントのフィールドです。
-
[利用可能] リストから、Now Platform の既存のセキュリティインシデントで照合するフィールド値を選択し、[選択済み] リストに移動させます。
この受信アラートを既存のセキュリティインシデントに追加するには、選択するすべてのフィールド値が一致する必要があります。この基準に使用するセキュリティインシデントのフィールド値を確認するには、次に移動します: .
新しいアラートが、マッピングステップの集計フィールド条件で選択されたすべての値と一致する場合、新しいアラートは、同じフィールド値を持つ最新のオープンセキュリティインシデントに自動的に追加されます。セキュリティインシデントを扱う sn_si.analyst ロールを持つユーザーは、セキュリティインシデントの関連リストで、追加されたすべての集計アラートを表示できます。セキュリティインシデントの集計されたアラートはすべて、[タスクに対する Splunk イベント] 関連リストに表示されます。このリストには、関連するタイムスタンプと集計されたフィールド値の詳細が表示されます。この情報は、アラートが既存のセキュリティインシデントに追加される理由を理解するのに役立ちます。このタブが表示されない場合は、 [関連リンク] の下のレコードの左側にスクロールし、[すべての関連リストを表示] リンクをクリックします。
Splunk アラートまたはイベントから SIR セキュリティインシデントのフィールドに値を正常にマッピングしました。また、フィルター条件に基づいてセキュリティインシデントの作成を制限する追加条件も設定しました。既存の SIR セキュリティインシデントにアラートまたはイベントも追加しました。 -
フォームで [アラートアグリゲーション基準] セクションにスクロールして、[集計条件] チェックボックスをオンにして、このオプションを有効にします。
次のタスク
次のステップでは、 セキュリティインシデントにマッピングした値をプレビューします。