コンプライアンス
IBM Security QRadar Compliance Content Extension を使用して、新しい QRadar インストール用の基本コンプライアンス コンテンツ セットを強化します。
重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.2
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.1
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.0
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.8
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.7
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.6
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.5
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.4
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.3
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.2
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.1
- IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.0
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.2
AccountName カスタム・プロパティーは削除されました。
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.1
以下のルールおよびビルディング・ブロックは、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.1 で削除され、 Network Anomaly コンテンツ・パックに追加されました。
- BB:Policy Violation: IRC IM Policy Violation: IM Communications
- コンプライアンス: DMZ から内部ネットワークへのトラフィック
- リモート: 非標準ポートで FTP が検出されました
- Remote: Local P2P Client Connected to more than 100 Servers
- Remote: Local P2P Client Detected
- Remote: Local P2P Server Detected
- Remote: SSH or Telnet Detected on Non-Standard Port
- リモート: 疑わしい量の IM/Chat トラフィック (Remote: Suspicious Amount of IM/Chat Traffic)
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.0
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.0で更新されたルールを示しています。
| 名前 | 説明 |
|---|---|
| Excessive Firewall Accepts From Multiple Sources to a Single Destination | 複数の異なるソースから単一ホストへのファイアウォール要求が繰り返された場合にトリガーされます。 これは、悪意のある攻撃者によるサービス妨害攻撃またはネットワーク・フラッディングを示している可能性があります。 |
| Remote: Usenet Usage | Usenet サーバーへの、または Usenet サーバーからのフローを検出します。 正規の業務上の通信で Usenet サービスや NNTP サービスを使用するのは、一般的ではありません。 関係するホストが企業ポリシーに違反している可能性があります。 |
以下のルールおよびビルディング・ブロックは、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.1.0で削除されました。 これらは、エンドポイント・コンテンツ拡張で使用できます。
- BB:Threats: Remote Access Violations: Remote Desktop Access from Remote Hosts
- BB:Threats: Remote Access Violations: VNC Activity from Remote Hosts
- Remote: Remote Desktop Access from the Internet
- Remote: VNC Access from the Internet to a Local Host
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.8
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.8で更新されたルールおよびビルディング・ブロックを示しています。
| 名前 | 説明 | |
|---|---|---|
| ビルディング・ブロック | トラステッド宛先ネットワーク・セグメント | 「Trusted Source Network Segment」から名前を変更しました。 宛先ネットワークを使用するためにルール・フィルターを設定します。 |
| ビルディング・ブロック | トラステッド・ソース・ネットワーク・セグメント | 「Trusted Destination Network Segment」から名前を変更しました。 ネットワーク定義をグループとして追加しました。 送信元ネットワークを使用するためにルール・フィルターを設定します。 |
| ルール | リモート: 非標準ポートで FTP が検出されました | 「Remote: Hidden FTP Server」から名前を変更しました。 |
| ルール | リモート: 疑わしい量の IM/Chat トラフィック (Remote: Suspicious Amount of IM/Chat Traffic) | 「Remote: IM/Chat」から名前を変更しました。 |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.7
このコンテンツ拡張に以前含まれていたデフォルトの QRadar コンテンツは削除されました。 コンテンツ拡張からこのコンテンツを削除することで、コンテンツ拡張のインストール時にコンテンツが無用に再インポートされなくなります。
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.7で更新されたレポートを示しています。
| レポート名 | 検索名と依存関係 |
|---|---|
| 無効なアカウントまたは期限切れアカウントへの失敗したログイン (週次) | 無効または期限切れになっているアカウントの失敗したログイン試行を表示します。 |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.6
保存済み検索がデフォルトで共有されるようになりました。 すべてのビルディング・ブロックがグループ内に含まれるようになりました。
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.5
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.5に含まれるカスタム・プロパティーを示しています。
注: 以下の表に示すカスタム・プロパティーは、プレースホルダーです。 これらの名前のカスタム・プロパティーを含むその他のコンテンツ拡張をダウンロードすることも、ユーザー独自のプロパティーを作成することもできます。
| カスタム・プロパティー | 場所 |
|---|---|
| AccountName | Microsoft Windows |
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.5のビルディング・ブロックを示しています。
| 名前 | 説明 |
|---|---|
| BB:CategoryDefinition:監査が変更されました | 新規 QID を追加し、その他の一部 QID を削除しました。 |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.4
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.4で新しく導入された、または更新されたカスタム・プロパティーを示します。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| AccountName | はい | 2 | Account Name:\s*(.+?)\s+Account Name:\s*(.+?)\s+ |
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.4で新しく導入された、または更新されたルールおよびビルディング・ブロックを示します。
| タイプ | 名前 | 説明 |
|---|---|---|
| ビルディング・ブロック | BB:DeviceDefinition: FW / Router / Switch | システムのすべてのファイアウォール、ルーター、およびスイッチを定義します。 |
| ビルディング・ブロック | BB:DeviceDefinition: IDS / IPS | システム上のすべての侵入検知システム (IDS) と侵入防止システム (IPS) を定義します。 |
| ビルディング・ブロック | BB:DeviceDefinition: VPN | システム上のすべての仮想プライベート・ネットワーク (VPN) を定義します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Illegal TCP Flag Combination | 正しくない TCP フラグの組み合わせが含まれているフローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Suspicious ICMP Type Code | 疑わしい Internet Control Message Protocol (ICMP) タイプ・コードが使用されている ICMP フローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: TCP or UDP Port 0 | ポート 0 を使用する疑わしいフローを識別します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Superuser Accounts | スーパーユーザー・アカウントに該当するユーザー名 (admin、root など) を定義します。 |
| ルール | 可能な共有アカウント | 共有アカウントを検出します。 追加のフォールス・ポジティブのシステム・アカウントを加える必要があります。 |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.3
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.3のルールおよびビルディング・ブロックを示しています。
| タイプ | 名前 | 説明 |
|---|---|---|
| ビルディング・ブロック | BB:CategoryDefinition: Authentication to Disabled Account | 以下の QID を追加しました。
|
| ルール | コンプライアンス: 非トラステッド・ネットワークからトラステッド・ネットワークへのトラフィック | このルールのルール・テストは、フローまたはイベントが「BB:NetworkDefinition: Untrusted Network Segment」と一致し、かつ次のいずれかのルールと一致する場合にトリガーされるようになりました。
|
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.2
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.2のルールおよびビルディング・ブロックを示しています。
| タイプ | 名前 | 説明 |
|---|---|---|
| ビルディング・ブロック | BB:Suspicious: Remote: Unidirectional UDP or Misc Flows | このビルディング・ブロックのルール・テストは、「BB:Threats: Suspicious IP Protocol Usage:Unidirectional TCP Flows」ではなく「BB:Threats: Suspicious IP Protocol Usage:Unidirectional UDP and Misc Flows」と 1 分間に 15 回以上一致する場合に、トリガーされるようになりました。. |
| ビルディング・ブロック | BB:Suspicious: Local: Unidirectional UDP or Misc Flows | このビルディング・ブロックのルール・テストは、「BB:Threats: Suspicious IP Protocol Usage:Unidirectional TCP Flows」ではなく「BB:Threats: Suspicious IP Protocol Usage:Unidirectional UDP and Misc Flows」と 1 分間に 15 回以上一致する場合に、トリガーされるようになりました。. |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.1
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.1のルールおよびビルディング・ブロックを示しています。
| タイプ | 名前 | 説明 |
|---|---|---|
| ビルディング・ブロック | BB:NetworkDefinition: 信頼された宛先ネットワークセグメント | デフォルトのネットワーク階層を参照します。 別のネットワーク階層を使用している場合は、このビルディング・ブロックを更新してください。 |
| ビルディング・ブロック | BB:NetworkDefinition: 信頼できるソース・ネットワーク・セグメント | ビルディング・ブロック名を更新して、Source Networkを名前に含めました。 デフォルトのネットワーク階層を参照します。 別のネットワーク階層を使用している場合は、このビルディング・ブロックを更新してください。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication to Disabled Account | 「QID 5000475: Failure Audit: An account failed to log on」を追加しました。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication to Expired Account | 以下の QID を追加しました。
|
| ビルディング・ブロック | BB:DeviceDefinition: FW/ルーター/スイッチ | 更新はありません。 別のルールに依存しているため、拡張フレームワークに組み込む必要があります。 |
| ルール | コンプライアンス: 非トラステッド・ネットワークから内部ネットワークへのトラフィック | 新たに「BB:NetworkDefinition: Trusted Destination Network Segemnt」を追加しました。 |
| ルール | コンプライアンス: DMZ から内部ネットワークへのトラフィック | 新たにルール・テスト「BB:DeviceDefinition: FW/Router/Switch」を追加しました。 デフォルトのネットワーク階層を参照します。 別のネットワーク階層を使用している場合は、このルールを更新します。 |
IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.0
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.0のカスタム・プロパティー、検索、リファレンス・セット、およびレポートを示しています。
| タイプ | 名前 |
|---|---|
| カスタム・イベント・プロパティー | アカウント名 |
| イベント検索 | 管理者ログアウト (IP 別) |
| イベント検索 | ウィルスのサマリー (ホスト別) |
| イベント検索 | ウィルスのサマリー (ユーザー別) |
| イベント検索 | 日次ポリシー違反サマリー |
| イベント検索 | DOS 攻撃 (送信元 IP 別) |
| イベント検索 | DOS 攻撃 (タイプ別) |
| イベント検索 | DOS 攻撃 (宛先 IP 別) |
| イベント検索 | イベント・カテゴリーの分布 |
| イベント検索 | エクスプロイト (送信元別) |
| イベント検索 | エクスプロイト (宛先別) |
| イベント検索 | エクスプロイト (タイプ別) |
| イベント検索 | リモート・ホストから変更されたグループ |
| イベント検索 | IDP アクティビティー (カテゴリー別) |
| イベント検索 | IDP アクティビティー (イベント別) |
| イベント検索 | IDP アクティビティー (ログ・ソース別) |
| イベント検索 | 有効期限切れのアカウントまたは無効なアカウントに対するログの失敗 |
| イベント検索 | 失敗したリモート・アクセス (VPN およびその他) |
| イベント検索 | 成功したリモート・アクセス (VPN およびその他) |
| イベント検索 | 上位の失敗した認証 (ユーザー別) |
| イベント検索 | 上位の認証 (ユーザー別) |
| イベント検索 | 上位の IDS/IDP/IPS ルール |
| イベント検索 | 上位の IDS/IPS アラート (宛先 IP 別) |
| イベント検索 | ユーザーによって追加されたユーザー・アカウント |
| イベント検索 | ユーザーによって変更されたユーザー・アカウント |
| イベント検索 | ユーザーによって削除されたユーザー・アカウント |
| イベント検索 | VPN アクティビティー (カテゴリー別) |
| イベント検索 | VPN アクティビティー (イベント別) |
| イベント検索 | VPN アクティビティー (ログ・ソース別) |
| イベント検索 | Web 要求 (宛先別) |
| イベント検索 | Web 要求 (ログ・ソース別) |
| イベント検索 | Web 要求 (送信元別) |
| イベント検索 | 上位の IDS/IPS アラート (国/地域別) |
| フロー検索 | 着信バイト数 (宛先 ASN 別) |
| フロー検索 | 着信バイト数 (宛先 IF 索引別) |
| フロー検索 | 着信バイト数 (送信元 ASN 別) |
| フロー検索 | 着信バイト数 (送信元 IF 索引別) |
| フロー検索 | リンク使用状況 |
| フロー検索 | 上位の宛先ネットワーク - 内部 |
| フロー検索 | 上位の送信元ネットワーク |
| リファレンス・セット | データベース・サーバー |
| リファレンス・セット | DHCP サーバー |
| リファレンス・セット | DNS サーバー |
| リファレンス・セット | FTP サーバー |
| リファレンス・セット | LDAP サーバー |
| リファレンス・セット | メール・サーバー |
| リファレンス・セット | プロキシー・サーバー |
| リファレンス・セット | SSH サーバー |
| リファレンス・セット | Web サーバー |
| リファレンス・セット | Windows Server |
| レポート | ASN トラフィックのサマリー (日次) |
| レポート | 攻撃者およびターゲットのサマリー (日次) |
| レポート | カテゴリーの分布 (日次) |
| レポート | IDP-IDS アクティビティーのサマリー (日次) |
| レポート | IfIndex トラフィックのサマリー (日次) |
| レポート | ログ/イベントの分布 (日次) (カテゴリー別) |
| レポート | ネットワーク DOS のサマリー (日次) |
| レポート | ネットワーク・エクスプロイトのサマリー (日次) |
| レポート | 日次ポリシー違反サマリー |
| レポート | ユーザー・アカウント・アクティビティーのサマリー (日次) |
| レポート | ウィルスのサマリー (日次) |
| レポート | VPN アクティビティーのサマリー (日次) |
| レポート | Web アクセスのサマリー (日次) |
| レポート | 最近の 20 件の失敗したログイン |
| レポート | 最近の 20 件のログオフ |
| レポート | 最近の 20 件の成功したログイン |
| レポート | ASN トラフィックのサマリー (月次) |
| レポート | カテゴリーの分布 (月次) |
| レポート | IDP-IDS アクティビティーのサマリー (月次) |
| レポート | IfIndex トラフィックのサマリー (月次) |
| レポート | ネットワーク DOS のサマリー (月次) |
| レポート | ネットワーク・エクスプロイトのサマリー (月次) |
| レポート | 月次ポリシー違反サマリー |
| レポート | ユーザー・アカウント・アクティビティーのサマリー (月次) |
| レポート | ウィルスのサマリー (月次) |
| レポート | VPN アクティビティーのサマリー (月次) |
| レポート | Web アクセスのサマリー (月次) |
| レポート | ネットワーク・トラフィック量 |
| レポート | ASN トラフィックのサマリー (週次) |
| レポート | カテゴリーの分布 (週次) |
| レポート | リモート・ホストからのグループの変更 (週次) |
| レポート | IDP-IDS アクティビティーのサマリー (週次) |
| レポート | IfIndex トラフィックのサマリー (週次) |
| レポート | 無効なアカウントまたは期限切れのアカウントへのログインの失敗 (週次) |
| レポート | ネットワーク DOS のサマリー (週次) |
| レポート | ネットワーク・エクスプロイトのサマリー (週次) |
| レポート | 週次ポリシー違反サマリー |
| レポート | ユーザー・アカウント・アクティビティーのサマリー (週次) |
| レポート | ウィルスのサマリー (週次) |
| レポート | VPN アクティビティーのサマリー (週次) |
| レポート | Web アクセスのサマリー (週次) |
次の表では、 IBM Security QRadar コンプライアンス・コンテンツ拡張 1.0.0のルールおよびビルディング・ブロックを示しています。
| タイプ | 名前 | 説明 |
|---|---|---|
| ビルディング・ブロック | BB:DeviceDefinition: IDS / IPS | システム上のすべての IDS および IPS を定義します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Suspicious Flows | 疑わしいアクティビティーを示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Long Duration Outbound Flow | 48 時間を超える期間の間アクティブであるフローを識別します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Suspicious Events | 疑わしいアクティビティーを示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Unidirectional Flow SRC | |
| ビルディング・ブロック | BB:Flowshape: Outbound Only | アウトバウンドのみのフローの突き合わせを行います。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Large ICMP Packets | サイズが異常に大きい ICMP パケットのフローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: TCP or UDP Port 0 | ポート 0 を使用する疑わしいフローを識別します。 |
| ビルディング・ブロック | BB:CategoryDefinition: システムエラーと障害 | システムのエラーまたは障害を示している可能性のあるすべてのイベントを含めるには、このビルディング・ブロックを編集します。 デフォルトでは、イベントのイベント・カテゴリーが、サービス障害、システム・エラー、システム障害の各システム・カテゴリーのいずれかである場合に、このビルディング・ブロックが適用されます。 |
| ビルディング・ブロック | BB:CategoryDefinition: Suspicious Event Categories | 疑わしいアクティビティーを示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Zero Payload Bidirectional Flows | ペイロードを含まない双方向トラフィックを識別します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Unidirectional Flow | |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Unidirectional ICMP Replys | ICMP 応答が要求なしで検出されるトラフィックを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Unidirectional ICMP Flows | 単一方向 ICMP フローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Illegal TCP Flag Combination | 正しくない TCP フラグの組み合わせが含まれているフローを識別します。 |
| ビルディング・ブロック | BB:Flowshape: Inbound Only | このビルディング・ブロックは、インバウンドのみのフローの突き合わせを行います。 |
| ビルディング・ブロック | BB:CategoryDefinition: Unidirectional Flow DST | |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage:Unidirectional TCP Flows | 単一方向 TCP フローを識別します。 |
| ビルディング・ブロック | BB:NetworkDefinition: Honeypot like Addresses | ご使用のネットワークでは現在使用されていないか、またはハニーポットないしターピットのインストール済み環境で使用されている、ご使用のネットワーク階層で定義されたネットワーク・オブジェクトでその他のネットワークを置換することによって、このビルディング・ブロックを編集します。 これらを定義したら、「アノマリ: 潜在的ハニーポット・アクセス」ルールを有効にする必要があります。 試行したアクセスに基づいてイベントが生成されるようにするには、これらのネットワーク・オブジェクトに、セキュリティー/ポリシーの監視を追加する必要もあります。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Suspicious ICMP Type Code | 疑わしい ICMP タイプ・コードが使用されている ICMP フローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage: Large DNS Packets | サイズが異常に大きい DNS パケットのフローを識別します。 |
| ビルディング・ブロック | BB:Threats: Suspicious IP Protocol Usage:Unidirectional UDP and Misc Flows | 単一方向 UDP フローや他の各種フローを識別します。 |
| ビルディング・ブロック | BB:DeviceDefinition: VPN | このルールはシステムのすべての VPN を定義します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication Success | ネットワークへのアクセスに成功した試行を示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication Failures | ネットワークへのアクセスに失敗した試行を示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication to Disabled Account | 無効なアカウントの使用によってネットワークへのアクセスが失敗した試行を示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Authentication to Expired Account | 有効期限が切れたアカウントの使用によってネットワークへのアクセスが失敗した試行を示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Database Servers | 標準的なデータベース・サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:FalsePositive: Database Server False Positive Categories」および「BB:FalsePositive: Database Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: Database Ports | すべての共通データベース・ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostReference: Database Servers | |
| ビルディング・ブロック | BB:CategoryDefinition: Countries/Regions with no Remote Access | 通常は企業へのリモート・アクセスが許可されない任意の地理的位置を含めるには、このビルディング・ブロックを編集します。 構成すると、「アノマリ: 外国/外部地域からのリモート・アクセス」ルールを有効にすることができます。 |
| ビルディング・ブロック | BB:CategoryDefinition: Successful Communication | 成功した通信の特徴であるフローを定義します。 心配であれば、この率を 1 パケット当たり 64 バイトに下げることもできます。ただし、これを行うと多くのフォールス・ポジティブが発生することになり、フラグやその他のプロパティーを使用した追加の調整が必要となる場合があります。 |
| ビルディング・ブロック | BB:CategoryDefinition: Superuser Accounts | |
| ビルディング・ブロック | BB:CategoryDefinition: IRC Detected based on Application | アプリケーション・テストによって識別された IRC トラフィックを特定します。 |
| ビルディング・ブロック | BB:CategoryDefinition: IRC Detected based on Event Category | イベントまたはカテゴリーによって識別された IRC トラフィックを特定します。 |
| ビルディング・ブロック | BB:Policy Violation: IRC IM Policy Violation: IRC Connection to Internet | リモート・ホストへの IRC 接続を識別します。 |
| ビルディング・ブロック | BB:CategoryDefinition: IRC Detection based on Firewall Events | イベントまたはカテゴリーによって識別された IRC トラフィックを特定します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Firewall or ACL Accept | ファイアウォールへのアクセスを示すすべてのイベントを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:PortDefinition: IRC Ports | すべての共通 IRC ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:ComplianceDefinition: GLBAサーバー | GLBA IP システムを含めるにはこのビルディング・ブロックを編集します。 その後で、失敗したログインやリモート・アクセスなどに関連するルールに、このビルディング・ブロックを適用する必要があります。 |
| ビルディング・ブロック | BB:ComplianceDefinition: HIPAAサーバー | IP アドレスごとに HIPAA サーバーを含めるには、このビルディング・ブロックを編集します。 その後で、失敗したログインやリモート・アクセスなどに関連するルールに、このビルディング・ブロックを適用する必要があります。 |
| ビルディング・ブロック | BB:ComplianceDefinition: SOXサーバー | SOX IP サーバーを含めるにはこのビルディング・ブロックを編集します。 その後で、失敗したログインやリモート・アクセスなどに関連するルールに、このビルディング・ブロックを適用する必要があります。 |
| ビルディング・ブロック | BB:ComplianceDefinition: PCI DSS サーバー | IP アドレスごとに PCI DSS サーバーを含めるには、このビルディング・ブロックを編集します。 その後で、失敗したログインやリモート・アクセスなどに関連するルールに、このビルディング・ブロックを適用する必要があります。 |
| ビルディング・ブロック | BB:NetworkDefinition: 信頼できないネットワークセグメント | 非トラステッド・ロケーションがトラステッド・ロケーションに通信している場合にそれを検出するルールで一般に使用される、非トラステッド・ネットワーク・ロケーション。 |
| ビルディング・ブロック | BB:NetworkDefinition: 信頼されないローカルネットワーク | |
| ビルディング・ブロック | BB:NetworkDefinition: Inbound Communication from Internet to Local Host | |
| ビルディング・ブロック | BB:NetworkDefinition:信頼できるソース・ネットワーク・セグメント | |
| ビルディング・ブロック | BB:CategoryDefinition: System or Device Configuration Change | |
| ビルディング・ブロック | BB:CategoryDefinition:監査が変更されました | |
| ビルディング・ブロック | BB:PortDefinition: 認証済み L2R ポート | ローカルからリモートへのトラフィックでよく見受けられるポートを定義します。 |
| ビルディング・ブロック | BB:Policy Violation: コンプライアンス・ポリシー違反: 平文アプリケーションの使用法 (BB:Policy Violation: Clear Text Application Usage) | Telnet や FTP のような暗号化されていないプロトコルを使用しているフローを識別します。 |
| ビルディング・ブロック | BB:HostDefinition: DHCP Servers | 標準的な DHCP サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: DHCP Server False Positives Categories」および「BB:FalsePositve: DHCP Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: DHCP Ports | すべての共通 DHCP ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:Policy Violation: IRC IM Policy Violation: IM Communications | インスタント・メッセージ通信であることが特定されているフローを識別します。 |
| ビルディング・ブロック | BB:Threats: Remote Access Violations: Remote Desktop Access from Remote Hosts | リモート・デスクトップ・アプリケーションがリモート・ホストからアクセスされているフローを識別します。 |
| ビルディング・ブロック | BB:Policy Violation: Application Policy Violation: NNTP to Internet | インターネットへの NNTP トラフィックを識別します。 |
| ビルディング・ブロック | BB:Threats: Remote Access Violations: VNC Activity from Remote Hosts | VNC サービスがリモート・ホストからアクセスされているフローを識別します。 |
| ビルディング・ブロック | BB:HostDefinition: Servers | 汎用サーバーを定義するには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: DNS Servers | 標準的な DNS サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:FalsePositive: DNS Server False Positives Categories」および「BB:FalsePositve: DNS Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: DNS Ports | すべての共通 DNS ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: FTP Servers | 標準的な FTP サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: FTP Server False Positives Categories」および「BB:FalsePositive: FTP Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: FTP Ports | すべての共通 FTP ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: LDAP Servers | 標準的な LDAP サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: LDAP Server False Positives Categories」および「BB:FalsePositive: LDAP Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: LDAP Ports | LDAP サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Mail Servers | 標準的なメール・サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: Mail Server False Positives Categories」および「BB:FalsePositive: Mail Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: Mail Ports | メール・サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Network Management Servers | 標準的なネットワーク管理サーバーを定義するには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Proxy Servers | 標準的なプロキシー・サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: Proxy Server False Positives Categories」および「BB:FalsePositive: Proxy Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:HostDefinition: RPC Servers | 標準的な RPC サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: RPC Server False Positives Categories」および「BB:FalsePositive: RPC Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: RPC Ports | RPC サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: SNMP Sender or Receiver | SNMP 送信側または受信側を定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは「BB:PortDefinition: SNMP Ports」ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: SNMP Ports | SNMP 送信側または受信側が使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: SSH Servers | 標準的な SSH サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: SSH Server False Positives Categories」および「BB:FalsePositive: SSH Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: SSH Ports | SSH サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Virus Definition and Other Update Servers | ウィルス防止機能と更新機能が組み込まれているすべてのサーバーを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Web Servers | 標準的な Web サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: Web Server False Positives Categories」および「BB:FalsePositive: Web Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: Web Ports | Web サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostDefinition: Windows Servers | ドメイン・コントローラーや Exchange Server などの標準的な Windows サーバーを定義するには、このビルディング・ブロックを編集します。 このビルディング・ブロックは、「BB:False Positive: Windows Server False Positives Categories」および「BB:FalsePositive: Windows Server False Positive Events」の各ビルディング・ブロックと共に使用します。 |
| ビルディング・ブロック | BB:PortDefinition: Windows Ports | Windows サーバーが使用するすべての共通ポートを含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:ProtocolDefinition: Windows Protocols | フォールス・ポジティブのチューニング・ルールにより無視される、Windows サーバーが使用するすべての共通プロトコル (TCP は除く) を含めるには、このビルディング・ブロックを編集します。 |
| ビルディング・ブロック | BB:HostReference: DHCP Servers | |
| ビルディング・ブロック | BB:HostReference: DNS Servers | |
| ビルディング・ブロック | BB:HostReference: FTP Servers | |
| ビルディング・ブロック | BB:HostReference: LDAP Servers | |
| ビルディング・ブロック | BB:HostReference: Mail Servers | |
| ビルディング・ブロック | BB:HostReference: Proxy Servers | |
| ビルディング・ブロック | BB:HostReference: SSH Servers | |
| ビルディング・ブロック | BB:HostReference: Web Servers | |
| ビルディング・ブロック | BB:HostReference: Windows Servers | |
| ビルディング・ブロック | BB:CategoryDefinition: Failure Service or Hardware | サービス内またはハードウェア内の障害を示すイベント・カテゴリーを定義します。 |
| ビルディング・ブロック | BB:HostBased: Critical Events | 重要なイベントを示すイベント・カテゴリーを定義します。 |
| ビルディング・ブロック | BB:CategoryDefinition: Service Started | |
| ビルディング・ブロック | BB:CategoryDefinition: Service Stopped | |
| ビルディング・ブロック | BB:DeviceDefinition: FW / Router / Switch | このルールは、システムのすべてのファイアウォール、ルーター、およびスイッチを定義します。 |
| ビルディング・ブロック | BB:NetworkDefinition:信頼された宛先ネットワークセグメント | |
| ビルディング・ブロック | BB:Suspicious: Remote: Unidirectional UDP or Misc Flows | ある 1 つの送信元からの過剰な数の単一方向 UDP および各種フローを検出します。 |
| ビルディング・ブロック | BB:Suspicious: Local: Unidirectional UDP or Misc Flows | ある 1 つの送信元からの過剰な数の単一方向 UDP および各種フローを検出します。 |
| ルール | Login Failure to Disabled Account | 無効になっているユーザー・アカウントからのホスト・ログイン・メッセージをレポートします。 ユーザーがもう組織のメンバーではなくなっている場合、その同じユーザーから受信した認証メッセージが他にあれば、それを調べることをお勧めします。 |
| ルール | 有効期限が切れたアカウントへのログイン失敗 | 有効期限が切れた既知のユーザー・アカウントからのホスト・ログインの失敗のメッセージをレポートします。 ユーザーがもう組織のメンバーではなくなっている場合、受信した認証メッセージが他にあればそれを調べることをお勧めします。 |
| ルール | Database Groups Changed from Remote Host | データベース上のグループに対する変更がリモート・ネットワークから行われたときに応答します。 |
| ルール | 海外の国/地域からのリモート・アクセス | ある国/地域に属することが分かっていて、リモート・アクセス権限がない IP アドレスからの成功したログインまたはアクセスをレポートします。 このルールを有効にする前に、「BB:CategoryDefinition: Countries/Regions with no Remote Access」ビルディング・ブロックを構成しておくことをお勧めします。 |
| ルール | 外部の国/地域からのリモート・インバウンド通信 | ある国/地域に属することが分かっていて、リモート・アクセス権限がない IP アドレスからのトラフィックをレポートします。 このルールを有効にする前に、「BB:CategoryDefinition: Countries/Regions with no Remote Access」ビルディング・ブロックを構成しておくことをお勧めします。 SMTP および DNS はこのテストから除去されています。これは、ユーザーがそのアクティビティーをほとんど制御できないためです。 また、リモート・ホストによって Web スキャナーで頻繁にプローブされる DMZ 内のリモート Web サーバーの除去が必要な場合があります。 |
| ルール | 60 日間アクティビティーなし | このアカウントでは 60 日を超える期間の間ログインしていません。 |
| ルール | 可能な共有アカウント | 共有アカウントの検出。 追加の誤検出システム・アカウントを「and NOT when the event username matches the following ...」に追加する必要があります。 |
| ルール | Remote: IRC Connections | インターネットへの過剰な数の IRC 接続を実行しているローカル・ホストを検出します。 |
| ルール | コンプライアンス・イベントがオフェンスになる | コンプライアンス・ベースのイベント (平文パスワードなど) をレポートします。 |
| ルール | Excessive Failed Logins to Compliance IS | コンプライアンス・サーバーに対する認証に関して、10 分間のうちに起こった過剰な認証失敗をレポートします。 |
| ルール | コンプライアンス資産への複数の失敗したログイン | |
| ルール | 単一ユーザー名の複数のログイン失敗 (Multiple Login Failures for Single Username) | 同じユーザー名での認証失敗をレポートします。 |
| ルール | 同じソースからの複数のログイン失敗 | 同じ送信元 IP アドレスで異なるユーザー名を使用した認証の失敗回数が、5 分間で 10 回を超えた事例を報告します。 |
| ルール | 同じ宛先への複数のログイン失敗 | さまざまな送信元 IP アドレスおよびユーザー名から同じ宛先 IP アドレスに対する認証失敗イベントの回数が、5 分間で 10 回以上になった場合にそのことを報告します。 |
| ルール | コンプライアンス: 非トラステッド・ネットワークからトラステッド・ネットワークへのトラフィック | 「非トラステッド」ネットワーク・セグメントからのトラフィックが、「トラステッド」ネットワーク・セグメントに渡されます。 このルールを有効にする前に、トラステッド・ネットワーク用および非トラステッド・ネットワーク用のビルディング・ブロックを編集する必要があります。 |
| ルール | コンプライアンス: DMZ から内部ネットワークへのトラフィック | トラフィックが DMZ から内部ネットワークへと渡されます。 通常、これはコンプライアンス規制の下では許可されません。 ネットワーク階層内の DMZ オブジェクトを必ず定義し、その上でこのルールを有効にする必要があります。 |
| ルール | コンプライアンス・デバイスに対して行われた構成変更 | コンプライアンス・デバイスに対して構成変更が行われたときにそのことを検出します。 このルールを有効化する前に、「Compliance Servers」ログ・ソース・グループに、コンプライアンス・サーバーのログ・ソースを追加してください。 |
| ルール | コンプライアンス・ホストで変更された監査サービス | 監査サービスがコンプライアンス・ホストで変更されました。 このルールを有効にする前に、必ずコンプライアンス定義ビルディング・ブロックでホストを定義して、ご使用のホストに合わせて変更された監査サービスのイベントが「BB:CategoryDefinition: Auditing Changed」ビルディング・ブロックにあることを検証します。 |
| ルール | 許可されていないポートでのインターネットへの接続 | 通常、インターネット接続は Web トラフィックやメールなどの一般的なアプリケーションに限られます。 他の通信は疑わしいものである場合があり、調査する必要があります。 このルールを有効にする前に、受け入れ可能なポートのリストを使用して、「BB:PortDefinition: Authorized L2R Ports」ビルディング・ブロックを編集する必要があります。 |
| ルール | フローに基づくすべてのチャット・トラフィックのオフェンスの作成 | |
| ルール | すべてのインスタント・メッセンジャー・トラフィックのオフェンスの作成 | 送信元がローカルで宛先がリモートである、インスタント・メッセンジャーのトラフィックまたはインスタント・メッセンジャーのトラフィックに分類される任意のイベントをレポートします。 |
| ルール | すべての P2P 使用に対するオフェンスの作成 | P2P トラフィック、または P2P に分類される任意のイベントを検出します。 |
| ルール | すべてのポリシー・イベントのオフェンスの作成 | ポリシー・イベントをレポートします。 デフォルトでは、このルールは無効になっています。 ポリシーに分類されたすべてのイベントがオフェンスを作成するようにする場合は、このルールを有効にします。 |
| ルール | すべてのポルノ使用のオフェンスの作成 (Create Offenses for All Porn Usage) | 不正な要素、またはポルノに分類される何らかのイベントが含まれるトラフィックをレポートします。 デフォルトでは、このルールは無効になっています。 ポルノに分類されたすべてのイベントがオフェンスを作成するようにする場合は、このルールを有効にします。 |
| ルール | ローカル: 平文アプリケーションの使用法 | アプリケーション・タイプが平文パスワードを使用するインターネットに出入りするフローを検出します。 これには、Telnet や FTP などのアプリケーションが含まれる場合があります。 |
| ルール | ディスカバーされた新規 DHCP サーバー | このルールは、ネットワーク上で DHCP サーバーがディスカバーされると起動します。 |
| ルール | ディスカバーされた新規ホスト (New Host Discovered) | ネットワークで新規ホストがディスカバーされると、それを検出します。 |
| ルール | DMZ でディスカバーされた新規ホスト | ネットワークで新規ホストがディスカバーされると、それを検出します。 |
| ルール | ディスカバーされた新規サービス | 既存のホストで新規サービスがディスカバーされるとそれを検出します。 |
| ルール | DMZ でディスカバーされた新規サービス | 既存のホストで新規サービスがディスカバーされるとそれを検出します。 |
| ルール | 可能なローカル IRC サーバー | 標準的な IRC ポートまたは IRC として検出されたフローでサービスを実行しているローカル・ホストをレポートします。 これは企業にとって標準的ではなく、調査する必要があります。 |
| ルール | リモート: フローに基づくクリア・テキスト・アプリケーションの使用 | アプリケーション・タイプが平文パスワードを使用するインターネットに出入りするフローを検出します。 これには、Telnet や FTP などのアプリケーションが含まれる場合があります。 |
| ルール | Remote: Hidden FTP Server | 非標準ポートのリモート FTP サーバーを検出します。 FTP 用のデフォルトのポートは TCP ポート 21 です。 他のポートでの FTP の検出は、攻撃者がホストへのバックドア・アクセスを可能にするためにこのサーバーをインストールしたエクスプロイト・ホストを示している可能性があります。 |
| ルール | Remote: IM/Chat | ある 1 つの送信元からの過剰な量の IM またはチャットのトラフィックを検出します。 |
| ルール | Remote: Local P2P Client Connected to more than 100 Servers | ピアツーピア (P2P) サーバーとして稼動しているローカル・ホストを検出します。 これはローカル・ネットワークのポリシーの違反を示しており、著作権侵害などの違法なアクティビティーを示している場合があります。 |
| ルール | Remote: Local P2P Client Detected | ピアツーピア (P2P) サーバーとして稼動しているローカル・ホストを検出します。 これはローカル・ネットワークのポリシーの違反を示しており、著作権侵害などの違法なアクティビティーを示している場合があります。 |
| ルール | Remote: Local P2P Server connected to more than 100 Clients | ピアツーピア (P2P) サーバーとして稼動しているローカル・ホストを検出します。 これはローカル・ネットワークのポリシーの違反を示しており、著作権侵害などの違法なアクティビティーを示している場合があります。 |
| ルール | Remote: Local P2P Server Detected | ピアツーピア (P2P) サーバーとして稼動しているローカル・ホストを検出します。 これはローカル・ネットワークのポリシーの違反を示しており、著作権侵害などの違法なアクティビティーを示している場合があります。 |
| ルール | Remote: Remote Desktop Access from the Internet | インターネットからローカル・ホストへの Microsoft リモート・デスクトップ・プロトコルを検出します。 大半の企業はこれを企業ポリシーの違反と見なしています。 ご使用のネットワークではこれが通常のアクティビティーである場合、このルールを無効にする必要があります。 |
| ルール | Remote: SSH or Telnet Detected on Non-Standard Port | 非標準ポートの SSH サーバーまたは Telnet サーバーを検出します。 SSH サーバーと Telnet サーバーのデフォルトのポートは、TCP ポート 22 と 23 です。 他のポートで稼動する SSH または Telnet の検出は、攻撃者がホストへのバックドア・アクセスを可能にするためにこれらのサーバーをインストールしたエクスプロイト・ホストを示している可能性があります。 |
| ルール | Remote: Usenet Usage | Usenet サーバーへの、または Usenet サーバーからのフローを検出します。 正規の業務上の通信で Usenet サービスや NNTP サービスを使用するのは、一般的ではありません。 関係するホストが企業ポリシーに違反している可能性があります。 |
| ルール | Remote: VNC Access from the Internet to a Local Host | インターネットからローカル・ホストへの VNC (リモート・デスクトップ・アクセス・アプリケーション) を検出します。 多くの企業が、これを対処すべきポリシーの問題と考えています。 ご使用のネットワークではこれが通常のアクティビティーである場合、このルールを無効にしてください。 |
| ルール | 潜在的な P2P または VoIP トラフィックの検出 | ピアツーピアである可能性のあるトラフィックを検出します。 |
| ルール | 複数システム・エラー | ソースで 3 分以内に 10 個のシステム・エラーが発生した場合に、それをレポートします。 |
| ルール | ホスト・ベースの障害 | このルールは、サービスまたはハードウェアでの障害を示すイベントがシステムによって検出されると起動します。 |
| ルール | 重要なシステム・イベント | このルールは、重要なイベントがシステムによって確認されると起動します。 |
| ルール | サービスが停止し、再始動されない | システムでサービスが停止して再開していない場合にそれを検出します。 |