広範な文脈の検出に関する解決済み決議
概要
「広範なコンテキスト検出（BCD）」向けに、新しい解決タイプを導入します。これらの解決タイプは、既存の「確認済み」および「未確認」のオプションに取って代わるもので、結果の記録をより正確かつ一貫性のある方法で行い、自動化を推進し、システムの継続的な改善に寄与します。
この記事では、今後導入される各解決策について、その使用タイミングや、機能が本番環境で稼働した際のシステム動作への影響を解説します。
解決済みの決議
BCDを終了する際、以下の解決策が利用可能になります。ユーザーが手動で設定するものもあれば、システムによって自動的に適用されるものもあります。
決議 | 設定者： | 説明 |
|---|
インシデント | ユーザー | BCDはセキュリティ上の問題であり、対応が必要です。BCDが実際のインシデントまたは不正な活動であると確認した場合は、これを選択してください。BCDが悪意のあるものである、または追跡調査が必要であると確信している場合にのみ、これを使用してください。 |
結論が出ない | ユーザー | 情報や背景が不十分で、BCDが実際のセキュリティ上の問題であるかどうか判断できない場合は、これを選択してください。この場合、自動的な処理は行われず、BCDはトレーニングや自動化にも使用されません。これをデフォルトのオプションとして使用しないでください。 |
偽陽性 | ユーザー | 通常のアプリケーションの動作や自動化に基づいた、一見すると正常かつ安全な動作に見えるインシデントがあります。これを「誤検知」としてクローズすることで、システムの学習に役立ち、今後同様のインシデントは自動的にクローズされるようになります。 |
許容される行動 | ユーザー | 一見同じように見える誤検知の事例でも、コマンドラインやパスなどのパラメータに違いがあり、「完全に同一ではない」場合があります。「許容される動作」としてクローズすると、抑制ルールを作成するためのウィザードが表示され、ワイルドカードを使用してパラメータを微調整することで、誤検知をより効果的に抑制できるようになります。 |
自動的に受け入れられる行動 | システム | システムは、一致する非表示ルールに基づき、BCDを自動的に非表示にしました。監査およびコンプライアンスの目的上、BCDは引き続き表示されたままとなります。ユーザーによる操作は必要ありませんが、必要に応じて非表示ルールを確認することができます。 |
自動誤検知 | システム | このBCDは、過去の誤検知と一致したため、システムによって自動的にクローズされました。これ以上のモニタリングは行われません。この判定が誤りであると思われる場合は、過去の解決内容を確認してください。 |
適切な解像度の選び方
以下の指針を参考にして、最適な解像度を選択してください：
- インシデント – BCDが実際の攻撃または不正な活動を示していると確信できる場合に使用してください。
- 結論が出ない – BCDを確認したものの、文脈が不足しているため、それが真の脅威であるかどうか判断できない場合に使用します。
- 誤検知 – 検出結果が誤っていた場合や、セキュリティ上の問題とは関係なく同じアラートが繰り返し表示される場合に使用します。
- 許容される行動 – この設定は、その動作が意図的かつ許可されたものである場合（たとえば、計画された管理者による操作など）に、抑制ルールを作成したくない場合に使用します。
注： 「結論不能」をデフォルトとして使用することは避けてください。これは、文脈情報が真に不十分な場合にのみ使用することを意図しています。過度に使用すると、システムの学習や将来の改善におけるこの判定の価値が低下してしまいます。
解決策がシステムの挙動に与える影響
解像度は単なるラベルではありません。解像度は、自動化や将来の検出に直接的な影響を及ぼします：
- 「インシデント」としてクローズされたBCDは、自動抑制をトリガーする目的では使用されません。これらは、時間の経過とともに検知精度を向上させるために使用されます。
- 「判定不能」として閉じられたBCDは、トレーニングおよび自動化の対象から除外されます。
- 「誤検知」としてBCDを閉じると、将来発生する類似のBCDが自動的に「自動誤検知」として閉じられる原因となる可能性があります。
- 「承認済み挙動」として閉じられたBCDは、抑制ルールの作成の基礎として使用でき、これにより、今後一致するBCDは自動的に「自動承認済み挙動」として閉じられるようになります。
注： 以前のBCDが「インシデント」として解決済みの場合、「自動誤検知」はトリガーされません。これにより、実際の脅威が自動的に見過ごされるのを防ぎます。
抑制ルールと許容される行動
BCDを「許容される動作」として閉じても、将来発生する同様のBCDが自動的に抑制されるわけではありません。同様のBCDが再発するのを防ぐには、抑制ルールを作成する必要があります。
BCDを「許容される動作」として閉じるとき、そのBCDに認識された抑制されていないキー検出が含まれている場合は、抑制ルールの作成を求めるメッセージが表示されます。また、「セキュリティ設定」→「自動アクション」→「抑制ルール」から、手動で抑制ルールを作成・管理することもできます。
注： 抑制ルールに関する詳細については、『抑制ルール ユーザーガイド』を参照してください。
メール通知
解決タイプによって、メール通知の動作は次のように異なります。
- インシデント – 以前の「解決済み」と同じメール通知動作がトリガーされます。
- 「結論なし」 – 以前の「未確認」という解決結果と同じメール通知動作がトリガーされます。
- その他のすべての解決策については、標準的な通知手順に従います。
過去の決議からの移行
「確認済み」および「未確認」の決議タイプは、この記事で説明されている決議タイプに置き換えられました。以下の対応関係が適用されます：
- 確認済み → 実際のセキュリティインシデントについては「インシデント」を、許可された活動については「許容される動作」を使用してください。
- 未確認 → 判断を下すのに十分な文脈がない場合は、「結論が出せない」を使用する。
この変更以前に、以前の解決タイプでクローズされていたBCDについては、影響を受けません。それらの解決状況は変更されません。