シーケンスルール
シーケンスルール
シーケンスルールを使用すると、検出が特定の順序で発生したときにインシデントを作成できます。
例:
<?xml version="1.0" encoding="utf-8"?> <rule> <definition> <sequence count="2" maxSpan="1m"> <detection> <definition> <process> <condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="notepad" /> </process> <operations> <operation type="Detection"> <condition component="InspectDetection" property="RuleName" condition="contains" value="Rule 01"/> </operation> </operations> </definition> </detection> <detection> <definition> <process> <condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="notepad" /> </process> <operations> <operation type="Detection"> <operator type="and"> <condition component="InspectDetection" property="RuleName" condition="contains" value="Rule 02"/> <condition component="InspectDetection" property="RuleCategory" condition="is" value="Custom category"/> <condition component="InspectDetection" property="RuleSeverity" condition="is" value="Threat"/> </operator> </operation> </operations> </definition> </detection> <aggregateOn> <property name="Computer"/> <property name="Process"/> <property name="ParentProcess"/> </aggregateOn> </sequence> </definition> <description> <name>Notepad triggered sequence of detections</name> <category> Default </category> </description> <actions> <action name="ReportIncident"/> </actions> </rule> |
上記のルールの例で注意すべき点:
1.sequenceタグは、インシデントを作成するためにシーケンス全体が一致する必要がある回数と、シーケンスの最初の検出から最後の検出までの最大時間を指定します。
2.上記の例では、シーケンスルールをトリガーするには、Rule 01とRule 02が1分間に2回、この順序で検出をトリガーする必要があります。
3.aggregateOnタグは、ルールのトリガーをグループ化する条件を指定します。
可能な値は、以下のとおりです。
oコンピュータ
oﾌﾟﾛｾｽ
oParentProcess
4.使用可能なアクションはReportIncidentのみです。