複数のルールまたはビルディング・ブロックにおける MITRE マッピングの編集

複数のルールやビルディング・ブロックを同時に編集して、時間と労力を節約します。 マッピングを JSON ファイルにエクスポートして、他の同僚と共有します。

手順

  1. 「ユース・ケース・エクスプローラー」 ページで、 「テーブル・ビューの切り替え」 アイコンをクリックして、レポートのテーブル列のグループ化を解除します。
    ヒント: ルール名、戦術、または技法でフィルターに掛けて、編集するルールを見つけるか、正規表現を使用して検索します。 括弧内のテキストを検索する場合は、正規表現で円記号を使用します。 例えば、 Multiple Login Failures from the Same Source \(Windows)\などです。
    検索用の正規表現のバックスラッシュを示すイメージ

    「グループ」フィルターを使用して、検索するグループ (認証、コンプライアンスなど) を選択することもできます。

  2. レポート・テーブルの鉛筆のアイコンをクリックし、各テーブル行のチェック・ボックスを表示します。
  3. 編集する関連ルールまたはビルディング・ブロックを選択し、 「MITRE マッピングの編集」をクリックします。
  4. 「MITRE ATT&CK マッピング」ページで、新しい戦術を追加するか、既存のものを編集してルール・マッピング・オプションをカスタマイズします。
    ヒント: 「MITRE ATT&CK マッピング」ページには、ルールに直接関連付けられているマッピングのみが表示されます。 ルールがその従属関係から継承したマッピングについては、「ルールの調査」ページまたは「ユース・ケース・エクスプローラー (Use Case Explorer)」レポートのルールの詳細セクションで確認できます。 ルールとそのマッピングの関係を確認するには、レポートの 「マッピング・ソース」 列、またはルール詳細ページの MITRE ATT & CK セクションを使用します。 あるいは、 IBM® Security App Exchange 用のコンテンツ拡張を作成し、それらにルールをマップする場合は、マッピングをエクスポートし、コンテンツの送信時にアップロードします。
    1. ルールまたはビルディング・ブロックについて戦術を追加または削除するには、プラス記号のアイコンをクリックし、該当する戦術を選択して、「適用」をクリックします。
    2. 戦術の技法を追加または削除するには、目的の戦術のプラス記号のアイコンをクリックし、該当する技法を選択して、「適用」をクリックします。
    3. 技法のサブ技法を追加または削除するには、技法の正符号アイコンをクリックし、関連するサブ技法を選択してから、 「適用」をクリックします。
      サブ技法は、ID のドットで識別されます (例: T1003.002 Security Account Manager)。
    4. 戦術ごとに信頼度レベルを選択し、「保存」をクリックします。 信頼性レベルは設定する必要があります。設定しない場合、マッピングを保存できません。
    5. ヒート・マップ計算にルールを含めるには、戦術および技法に対して選択されている 「有効」 チェック・ボックスを保持します。
    6. IBM のデフォルト・マッピングでカスタマイズされた戦術または技法をリセットするには、 「戦術」 列の 「リセット」 をクリックします。
  5. 「MITRE ATT & CK Mapping」 ページのマッピングの JSON ファイルをエクスポートして他のユーザーと共有するには、 保存 > 「マッピングのエクスポート」をクリックします。
  6. マッピングが完了したら、 「保存して閉じる」をクリックします。
  7. 更新されたコンテンツを表示するためにレポートを最新表示するには、 「フィルター」 ペインで 「適用」 をクリックします。