しきい値ルールの例

しきい値ルールの定義

<?xml version="1.0" encoding="utf-8"?>
<rule>
  <definition>
    <threshold count="3" interval="900s">

      <detection>
        <definition>

          <process>
            <operator type="or">
              <condition component="FileItem" property="FileName" condition="is" value="notepad.exe"/>
              <condition component="FileItem" property="FileName" condition="is" value="cmd.exe"/>
            </operator>
          </process>

          <operations>
            <operation type="Detection">
              <operator type="or">
                <condition component="InspectDetection" property="RuleName" condition="contains" value="PB000"/>
                <condition component="InspectDetection" property="RuleName" condition="contains" value="PB001"/>
              </operator>
            </operation>
          </operations>

        </definition>
      </detection>

      <aggregateOn>
        <property name="ParentProcess"/>
      </aggregateOn>

      <cardinality>
        <property name="ruleName" value="2" />
      </cardinality>

    </threshold>
  </definition>

  <actions>
    <action name="ReportIncident" />
  </actions>

  <description>
    <name>Test Threshold Rule</name>
    <category>Default</category>
  </description>

</rule>

サポートルール

1.ルールPB000 (メモ帳)

<?xml version="1.0" encoding="utf-8"?>
<rule>
  <definition>
    <process>
      <condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="notepad"/>
    </process>
  </definition>
  <description>
    <name>notepad [PB000]</name>
    <category>
      Default
    </category>
  </description>
</rule>

2.ルールPB001 (cmd)

<?xml version="1.0" encoding="utf-8"?>
<rule>
  <definition>
    <process>
      <condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="cmd"/>
    </process>
  </definition>
  <description>
    <name>cmd [PB001]</name>
    <category>
        Default
    </category>
  </description>
</rule>

上記のルールの例で注意すべき点:

このしきい値ルールは、特定の期間内に特定の条件が満たされたときにインシデントをトリガーします。

トリガーの説明:

1.しきい値の数と期間:

oしきい値ルールは、900秒以内に3つの検出が発生した場合にトリガーされます(インシデントが作成されます)。

2.検出

oプロセスセクションでは、監視対象のプロセス(notepad.exeとcmd.exe)を指定します。

oこの例では、特定のルール(PB000とPB001)によって監視対象のプロセスが既に定義されているため、プロセスセクションはオプションです。

o操作セクションでは、ルール名(PB000とPB001)に基づいて条件を指定します。

3.AggregateOn (オプション):

oこの例では、aggregateOnがParentProcessに設定されています。すべての種類の集約はコンピューター集約を意味するため、検出は同じParentProcessを持つ同じコンピューターで行う必要があります。

4.カーディナリティ(オプション):

oカーディナリティは、検出が少なくとも2つの異なるルール(ruleName値は2)から発生する必要があることを指定します。

5.アクション

oサポートされているアクションはReportIncidentのみです。他のすべてのパラメーター(aggregateOnとaggregationParameter) は無視されるため、しきい値ルールでは使用しないでください。

oこのアクションがないと、しきい値ルールはインシデントを作成しません。

シナリオの例:

•PB000が1回、PB001が2回検出されました。

•PB000が2回、PB001が1回検出されました。

•PB000が3回、PB001が10回検出されました。

•条件を満たすその他の組み合わせ:

o合計検出回数は3以上である必要があります。

o少なくとも2つの異なるルールをトリガーする必要があります。

˄˅