Cyber Adversary Framework Mapping Application のカスタマイズ

QRadar® のカスタム・ルールを MITRE ATT & CKにマップするように Cyber Adversary Framework Mapping Application をカスタマイズします。

始める前に

2.6.0では、 QRadar Use Case Manager は QRadar Advisor with Watson と共にインストールされ、 QRadar Use Case Manager のバージョンは 2.3.1に更新されます。 Use Case Manager には、MITRE ATT & CK のマッピングと可視化が含まれています。 QRadar Use Case Managerの指示に従う必要があります。 詳しくは、 QRadar Use Case Managerを参照してください。
重要: QRadar Advisor with Watson 2.5.3 以前を使用している場合は、 QRadar Advisor with Watsonに組み込まれている Cyber Adversary Framework Mapping Application アプリケーションを使用できます。 QRadar Use Case Manager と Cyber Adversary Framework Mapping Application の両方を同時に使用しないでください。使用すると、非同期の問題が発生します。

以下の手順は、Cyber Adversary Framework Mapping Application に適用されます。 先に進む前に、許可サービス・トークンを作成するためのステップを完了する必要があります。 詳しくは、 Cyber Adversary Framework Mapping Application の構成を参照してください。

このタスクについて

Cyber Adversary Framework Mapping Application を使用すると、独自のルール・マッピングを作成したり、 IBM のデフォルト・マッピングを変更してカスタム・ルールを特定の戦術および技法にマップしたりすることができます。 例えば、トリガーされたルールが表示された場合、そのルールに特定の戦術および技法をマップできます。
注: QRadar Advisor with Watson アプリケーション以降は、MITRE ATT & CK 戦術を CRE ルールに自動的にマップします。

手順

  1. ナビゲーション・メニュー ( ナビゲーション・メニュー・アイコン ) で、 「管理」をクリックします。
  2. QRadar 7.3.3 以降では、 「アプリケーション」 > 「Cyber Adversary Framework Mapping Application」 > 「構成」をクリックします。
    Cyber Adversary Framework Mapping Application アプリケーション
  3. IBM のデフォルト・マッピングを上書きするには、ルール名、戦術、または技法でフィルタリングして、編集するルールを見つけます。
  4. 「アクション」列の 「マッピングの編集」 アイコンをクリックして、ルールに関連付けられている確信度レベル、戦術、および技法をカスタマイズします。 戦術、技法、および信頼度が QRadar Advisor with Watson 関係グラフに表示されます。
    1. 「戦術と技法をルールにマップ」をクリックします。
    2. ルールに関連付ける戦術を選択します。 選択した戦術の詳細を確認するには、「詳細... (More about...)」リンクをクリックします。 リンク。
    3. 関連付けられている技法を選択します。
    4. 「信頼性の設定」をクリックします。
    5. オプション: 戦術の信頼性レベルを変更します。
    6. 「ルールの更新」をクリックします。
  5. 別のルール・マッピングを追加するか、 「マッピングの保存」をクリックします。
    マッピングの編集
    注: すべてをデフォルトにリセットするには、「アクション」列の 「マッピングの削除」 アイコンをクリックします。
  6. デフォルト・リストにリストされていないルールをさらにマップするには、 「マッピングの追加」 をクリックします。
  7. 「グループ」を選択または検索します。 QRadar システムで定義されているグループに関連付けられているすべてのルールが表示されます。
    注: 以下の理由で、空のグループが表示される場合があります。
    • 一部のグループは、 QRadar システムでは空であるため、空になっている可能性があります。
    • 選択対象のルールが既に戦術に関連付けられている。
  8. 選択したグループに関連付けられているリストから 「ルール名」 を選択します。 戦術、技法、および信頼度が QRadar Advisor with Watson 関係グラフに表示されます。
    1. 「戦術と技法をルールにマップ」をクリックします。
    2. ルールに関連付ける戦術を選択します。 選択した戦術の詳細を確認するには、「詳細... (More about...)」リンクをクリックします。 リンク。
    3. 関連付けられている技法を選択します。
    4. 「信頼性の設定」をクリックします。
    5. オプション: 戦術の信頼性レベルを変更します。
    6. 「ルールの更新」をクリックします。
  9. 「マッピングの保存」をクリックします。
    マッピングの追加
  10. すべてのカスタム・マッピングを削除して IBM のデフォルト・マッピングにリセットするには、 「リセット」をクリックします。

例

MITRE ATT&CK マッピング