MITRE マッピング・ファイルの共有

ルール・マッピング・ファイルを QRadar® インスタンス間で共有することで、戦術および技法に対するルールおよびビルディング・ブロックのマッピングの際の時間と労力を節約することができます。

このタスクについて

エクスポート機能は、ルールの依存関係ではなく、ルールへの直接の MITRE マッピングのみを提供します。 「ユース・ケース・エクスプローラー (Use Case Explorer)」ページでデフォルトの MITRE 関連のテンプレートを使用すると、ルールおよび依存関係への直接マッピングを確認できます。 必要に応じて、直接マッピングのみを表示するためにテンプレートをカスタマイズすることもできます。 詳しくは、 レポート・コンテンツ・テンプレートのカスタマイズを参照してください。

「エクスポート」オプションを使用して、ご使用の環境におけるマッピングのバックアップを作成します。 「エクスポート」および「インポート」のオプションを使用すると、手動でルールをコピーせずに、デプロイメント間でルールを移動できます。

手順

  1. MITRE マッピングをエクスポートするには、以下のステップを使用します。
    1. 「ユース・ケース・エクスプローラー」 ページで、 「ATT」&「CK アクション」 > 「エクスポート」をクリックします。
    2. エクスポートする MITRE マッピングを 「すべて」 または 「現在のビューのルールまたはビルディング・ブロックにマッピングをエクスポート」から選択します。
    3. 以下のいずれかのエクスポート形式を選択します。
      • QRadar Use Case Managerにインポートできる JSON ファイルにエクスポートします。 このオプションを使用して、マッピングのバックアップを作成するか、マッピングとそれに対応するルールを別の QRadar デプロイメントに移動します。
      • MITRE の適用範囲に関する情報を、MITRE ATT&CK Navigator にレイヤーとしてインポート可能な JSON ファイルにエクスポートします。 インポートされた JSON ファイルには、 QRadar Use Case Managerに表示されているヒート・マップと同じ色が表示されます。
    4. 「エクスポート」をクリックします。
  2. 「MITRE ATT & CK Mapping」 ページからマッピングをエクスポートするには、 複数のルールまたはビルディング・ブロックでの MITRE マッピングの編集のステップ 5 を参照してください。
  3. ルール・マッピング・ファイルをインポートするには、以下の手順を使用します。
    1. 「ユース・ケース・エクスプローラー」 ページで、 「ATT」&「CK アクション」 > インポートをクリックします。
    2. インポート・アイコンをクリックし、システム上のファイルの場所を参照してファイルを選択し、 「インポート」をクリックします。