サードパーティのアラートにキュレーテッド検出ルールを使用する

以下でサポートされています。

このドキュメントでは、サードパーティ ベンダーのアラート カテゴリのルールセットの概要、必要なデータソース、各ルールセットによって生成されるアラートの調整に使用できる構成について説明します。

サードパーティ ベンダーのアラート カテゴリのルールセットは、サードパーティ ベンダーのアラートを Google Security Operations の検出として表示します。このカテゴリには、次のルールセットが含まれます。

  • Carbon Black アラート: Carbon Black アラートのパススルー ルール。
  • CrowdStrike アラート: CrowdStrike アラートのパススルー ルール。
  • Microsoft Defender for Endpoint アラート: Microsoft Defender for Endpoint Graph アラートのパススルー ルール。
  • SentinelOne Threats アラート: SentinelOne アラートのパススルー ルール。
  • Cybereason EDR パススルー ルール: Cybereason EDR アラートのパススルー ルール。
  • Deep Instinct EDR パススルー ルール: Deep Instinct EDR アラートのパススルー ルール。
  • Digital Guardian EDR パススルー ルール: Digital Guardian EDR アラートのパススルー ルール。
  • ESET EDR パススルー ルール: ESET EDR アラートのパススルー ルール。
  • Fortinet FortiEDR パススルー ルール: Fortinet FortiEDR アラートのパススルー ルール。
  • LimaCharlie EDR パススルー ルール: LimaCharlie EDR アラートのパススルー ルール。
  • MalwareBytes EDR パススルー ルール: MalwareBytes EDR アラートのパススルー ルール。
  • PAN EDR パススルー ルール: PAN EDR アラートのパススルー ルール。
  • Sophos EDR パススルー ルール: Sophos EDR アラートのパススルー ルール。
  • Symantec EDR パススルー ルール: Symantec EDR アラートのパススルー ルール。
  • Uptycs EDR パススルー ルール: Uptycs EDR アラートのパススルー ルール。

サポート対象のデバイスとログタイプ

このセクションでは、各ルールセットに必要なデータを示します。

サードパーティ ベンダー アラートのカテゴリのルールセットはテスト済みであり、Google SecOps のサポート対象となっている次の EDR データソースでサポートされています。

  • Carbon Black (CB_EDR)
  • CrowdStrike 検出モニタリング（CS_DETECTS）
  • Microsoft Defender for Endpoint（MICROSOFT_GRAPH_ALERT）
  • SentinelOne CF（SENTINELONE_CF）
  • Cybereason EDR (CYBEREASON_EDR)
  • Deep Instinct EDR（DEEP_INSTINCT_EDR）
  • Digital Guardian EDR（DIGITAL_GUARDIAN_EDR）
  • ESET EDR（ESET_EDR）
  • Fortinet FortiEDR（FORTINET_FORTIEDR）
  • LimaCharlie EDR（LIMACHARLIE_EDR）
  • MalwareBytes EDR（MALWAREBYTES_EDR）
  • PAN EDR（PAN_EDR）
  • Sophos EDR（SOPHOS_EDR）
  • Symantec EDR（SYMANTEC_EDR）
  • Uptycs EDR（UPTYCS_EDR）

Google SecOps がサポートするすべてのデータソースのリストについては、サポートされているログタイプとデフォルト パーサーをご覧ください。

ルールセットによって返されるアラートを調整する

ルール除外を使用して、ルールまたはルールセットが生成する検出数を減らすことができます。

ルールの除外では、ルールセットまたはルールセット内の特定のルールによる評価対象からイベントを除外するために使用される条件を定義します。1 つ以上のルールの除外を作成して、検出の量を減らすことができます。詳細については、ルールの除外対象の構成をご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。