None Of SMTP 応答ルールの作成
Symantec DLP で None Of SMTP 応答ルールを構成できます。
手順
- メニューから、 管理 > ポリシー > 応答ルールを選択します。
- 「応答ルールの追加」をクリックします。
- 以下の応答ルール・タイプのいずれかを選択します。
- 「自動応答 (Automated Response)」 - 自動応答ルールは、インシデントの発生時に自動的にトリガーされます。 これはデフォルト値です。
- 「スマート応答 (Smart Response)」 - スマート応答ルールは「インシデント・コマンド (Incident Command)」画面に追加され、権限のある Symantec DLP ユーザーによって処理されます。
- 「次へ」をクリックします。
以下の値を構成します。
- ルール名 -作成するルールの名前を入力します。 この名前はポリシー作成者がルールを識別できる記述的な名前にすることをお勧めします。 例えば、
QRadar Syslog None Of SMTPのように指定します。 - 説明 -オプション。 作成するルールについての説明を入力します。
- 「条件の追加」をクリックします。
- 「条件」 ペインで、以下の条件を選択します。
- 最初のリストでは「プロトコルまたはエンドポイント・モニタリング (Protocol or Endpoint Monitoring)」を選択します。
- 2 番目のリストで、「次のいずれか (Is Any Of)」を選択します。
- 3 番目のリストで、「None Of SMTP」を選択します。
- 「アクション」 ペインで、 「アクションの追加」をクリックします。
- 「アクション」 リストから、 「すべて: Syslog サーバーに記録 (All: Log to a Syslog Server)」を選択します。
- 以下のオプションを構成します。
- ホスト - QRadarの IP アドレスを入力します。
- Port -syslog ポートとして 514 と入力します。
- メッセージ - 「SMTP なし」 イベントのメッセージを追加するには、以下のストリングを入力します。
LEEF:1.0|Symantec|DLP|2:medium|$POLICY$|src=$SENDER$|dst=$RECIPIENTS$|rules=$RULES$|matchCount=$MATCH_COUNT$|blocked=$BLOCKED$|incidentID=$INCIDENT_ID$|incidentSnapshot=$INCIDENT_SNAPSHOT$|subject=$SUBJECT$|fileName=$FILE_NAME$|parentPath=$PARENT_PATH$|path=$PATH$|quarantineParentPath=$QUARANTINE_PARENT_PATH$|scan=$SCAN$|target=$TARGET$ - レベル -このリストから 「6-通知」を選択します。
- 「保存」をクリックします。