SMTP 応答ルールの作成

Symantec DLP で SMTP 応答ルールを構成できます。

1. Symantec DLP ユーザー・インターフェースにログインします。
2. メニューから、 管理 > ポリシー > 応答ルールを選択します。
3. 「応答ルールの追加」をクリックします。
4. 以下の応答ルール・タイプのいずれかを選択します。
   • 「自動応答 (Automated Response)」 - 自動応答ルールは、インシデントの発生時に自動的にトリガーされます。 これがデフォルト値です。
   • 「スマート応答 (Smart Response)」 - スマート応答ルールは「インシデント・コマンド (Incident Command)」画面に追加され、権限のある Symantec DLP ユーザーによって処理されます。
5. 「次へ」をクリックします。

   以下の値を構成します。

6. ルール名 -作成するルールの名前を入力します。 この名前は、ポリシー作成者がルールを識別するために十分な説明です。
   例えば、QRadar Syslog SMTPなどです。
7. 説明 -オプション。 作成するルールの説明を入力します。
8. 「条件の追加」をクリックします。
9. 「条件」 パネルで、以下の条件を選択します。
   • 最初のリストでは「プロトコルまたはエンドポイント・モニタリング (Protocol or Endpoint Monitoring)」を選択します。
   • 2 番目のリストで、「次のいずれか (Is Any Of)」を選択します。
   • 3 番目のリストから、 「SMTP」を選択します。
10. 「アクション」 ペインで、 「アクションの追加」をクリックします。
11. 「アクション」 リストから、 「すべて: Syslog サーバーに記録 (All: Log to a Syslog Server)」を選択します。
12. 以下のオプションを構成します。
    1. ホスト - IBM QRadarの IP アドレスを入力します。
13. ポート -syslog ポートとして 514 と入力します。
14. メッセージ -以下のストリングを入力して、SMTP イベントのメッセージを追加します。

    LEEF:2.0|Symantec|DLP|2:medium|$POLICY$|||usrName=$SENDER$|duser=$RECIPIENTS$|rules=$RULES$|matchCount=$MATCH_COUNT$|blocked=$BLOCKED$|incidentID=$INCIDENT_ID$|incidentSnapshot=$INCIDENT_SNAPSHOT$|subject=$SUBJECT$|fileName=$FILE_NAME$|parentPath=$PARENT_PATH$|path=$PATH$|quarantineParentPath=$QUARANTINE_PARENT_PATH$|scan=$SCAN$|target=$TARGET${color}

15. レベル -このリストから 「6-通知」を選択します。
16. 「保存」をクリックします。