ルールまたはビルディング・ブロックにおける MITRE マッピングの編集

カスタムのルールまたはビルディング・ブロックを特定の戦術や技法にマッピングするには、独自のルールまたはビルディング・ブロックのマッピングを作成するか、IBM® QRadar® のデフォルト・マッピングを変更します。

1. 「ユース・ケース・エクスプローラー」 ページのレポート・セクションで、該当するルールを選択します。
   ヒント: ルール名、戦術、または技法でフィルターに掛けて、編集するルールを見つけるか、正規表現を使用して検索します。 括弧内のテキストを検索する場合は、正規表現で円記号を使用します。 例えば、 Multiple Login Failures from the Same Source \(Windows)\などです。

   

   「グループ」フィルターを使用して、検索するグループ (認証、コンプライアンスなど) を選択することもできます。

2. 「ルールの調査」 ページで、 「MITRE ATT & CK」 セクションの鉛筆アイコンをクリックします。
3. MITRE ATT&CK Mappingsページで、新しい戦術を追加したり、既存の戦術を編集したりして、ルールマッピングのオプションをカスタマイズします。
   ヒント： MITRE ATT&CK Mappingsページには、ルールに直接関連するマッピングのみが表示されます。 ルールがその依存関係から継承したマッピングは、「ルールの調査 (Investigate rules)」ページの「ルールの詳細」セクション、または「ユースケース・エクスプローラー (Use Case Explorer) 」ページのレポートで確認できます。
   1. ルールまたはビルディング・ブロックについて戦術を追加または削除するには、プラス記号のアイコンをクリックし、該当する戦術を選択して、「適用」をクリックします。
   2. 戦術の技法を追加または削除するには、目的の戦術のプラス記号のアイコンをクリックし、該当する技法を選択して、「適用」をクリックします。
   3. 技法のサブ技法を追加または削除するには、技法の正符号アイコンをクリックし、関連するサブ技法を選択してから、 「適用」をクリックします。
      サブ技法は、ID のドットで識別されます (例: T1003.002 Security Account Manager)。
   4. 戦術と技法をヒート・マップ計算に含めるには、「有効化」 チェック・ボックスを選択したままにします。
   5. 戦術ごとに信頼度レベルを選択し、「保存」をクリックします。 信頼性レベルは設定する必要があります。設定しない場合、マッピングを保存できません。
   6. IBM のデフォルト・マッピングにリセットするには、「戦術 (Tactics)」 列または「技法 (Techniques)」列にあるリセット・アイコンをクリックします。
4. マッピングのカスタマイズが終了したら、「保存」または「保存して閉じる」をクリックして「ユースケース・エクスプローラー (Use Case Explorer)」 ページに戻ります。
5. ルールとルール・レポート内でのそれぞれのマッピングの関係を確認するには、以下のステップを実行します。
   1. ルール・レポートのメニュー・バーにある歯車アイコンをクリックして、「マッピング・ソース (Mapping source)」 列をレポートに追加します。
      ヒント: 列を見つけるには、検索するかウィンドウをスクロールダウンします。
   2. 「戦術 (Tactic)」列または「戦術 (ルール・レベルのみ) (Tactic (at rule level only)) 」 列を追加します。
      「戦術 (Tactic)」列には、ルールに対し直接マッピングされた戦術がルールの依存関係リスト内の BB やルールへのマッピングも含めすべて表示されます。

      「戦術 (ルール・レベルのみ) (Tactic (at rule level only))」列には、ルールに対し直接マッピングされた戦術で、ルールの依存関係リスト内の BB やルールへのマッピングを除外したもののみが表示されます。

   3. 「技法 (Technique)」列または「技法 (ルール・レベルのみ) (Technique (at rule level only))」列を追加します。
      「技法 (Technique)」列には、ルールに対し直接マッピングされた技法がルールの依存関係リスト内の BB やルールへのマッピングも含めすべて表示されます。

      「技法 (ルール・レベルのみ) (Technique (at rule level only))」列には、ルールに対し直接マッピングされた技法で、ルールの依存関係リスト内の BB やルールへのマッピングを除外したもののみが表示されます。

   4. 「サブ技法 (Sub-Technique)」列または「サブ技法 (ルール・レベルのみ) (Sub-technique (at rule level only))」列を追加します。
      「サブ技法 (Sub-Technique)」列には、ルールに対し直接マッピングされたサブ技法がルールの依存関係リスト内の BB やルールへのマッピングも含めすべて表示されます。

      「サブ技法 (ルール・レベルのみ) (Sub-Technique (at rule level only))」列には、ルールに対し直接マッピングされたサブ技法で、ルールの依存関係リスト内の BB やルールへのマッピングを除外したもののみが表示されます。

   5. ウィンドウの「選択済み列 (Selected Columns)」セクションで、レポートに表示させる順序で列をドラッグして、「適用」をクリックします。