IBM®
QRadar®内でルールが提供する MITRE ATT&CK 戦術および技法の範囲を可視化します。 ルール・レポートを編成した後、ダイアグラムとヒート・マップを使用してデータを可視化し、データをエクスポートして他のユーザーと共有できます。 エンタープライズとインダストリー・コントロール・システム（ICS）のフレームワークがサポートされており、2つのフレームワークを切り替えることができます。 デフォルトではEnterpriseが使用され、User preferencesから、またはフィルターパネルのMITRE ATT&CKセクションからICSに変更することができます。
手順
- レポート視覚化の右上にある をクリックします。
- 「MITRE ATT&CK」セクションのフィルターから選択します。 以下のオプションがフィルター適用対象です。
- 戦術
- リストから戦術を選択します。 例えば、初期アクセス戦術は、ネットワークに侵入しようとする攻撃者によって使用されます。
- 技法
- 技法およびそのサブ技法を検索するか、それらをリストから選択します。 技法は、選択された戦術に一致するように事前にフィルタリングされます。 例えば、アカウント・ディスカバリー技法は、攻撃者がローカル・システムやドメインのアカウントのリストを入手しようとする場合に使用されます。
サブ技法は、ID のドット (「T1003.002 セキュリティー・アカウント・マネージャー」など) によって識別されます。 サブ技法は、攻撃者が目標を達成するために使用する動作について、より具体的な説明を提供します。 例えば、攻撃者が Local Security Authority (LSA) シークレットにアクセスすることで資格情報のダンプを取得するなどです。
- マッピングの信頼性
- ルール適用範囲に関して特定のレベルの信頼性を割り当てられたマッピングを示します。
- マッピング有効
- 各ルールに関して戦術または技法とルールの間のマッピングがオンになっているかどうかを示します。 有効になっていないマッピングは、技法の適用範囲のヒート・マップに追加されません。
- フィルターを適用してルール・レポートを更新するには、「フィルターの適用」をクリックします。
- ヒート・マップの視覚化をスクロールして、 QRadar Use Case
Managerでカバーされているさまざまな手法を確認します。
各技法セルの数値の上にカーソルを移動すると、その技法にマップされているルールの数が表示されます。セル内の数値をクリックすると、その技法のヒート・マップ計算が表示されます。 詳しくは、
「MITRE ヒート・マップ計算」を参照してください。
- 技法のサブ技法を表示するには、セル内の矢印をクリックして列を展開させます。 サブ技法セルの上にカーソルを移動すると、そのサブ技法にマップされているルールの数が表示されます。その数値をクリックすると、そのサブ技法のヒート・マップ計算が表示されます。 詳しくは、 MITRE ヒート・マップの計算を参照してください。
- グラフ内のラベル付けを変更するには、レポートのメニュー・バーで「表示 (Show)」オプションをクリックし、名前、技法 ID、または技法名と ID を選択します。 デフォルトでは、技法名が表示されます。
- 現在カバレッジ・マップおよびレポート内にあるルールのマッピングのみを表示するには、レポート・メニュー・バーの 「レポート内のルールに基づくカバレッジ」 オプションを選択します。 ヒート・マップの任意のセクションをクリックして「フィルターの適用」をクリックすると、テーブル・レポートのフィルタリングされたリストが更新されます。
- どの MITRE 技法が攻撃者グループやソフトウェアによって使用されているものなのかを確認するには、「グループの強調表示 (Highlight groups)」リストと「ソフトウェアの強調表示 (Highlight software)」 リストから適切なフィルターを選択します。 関連するグループは、ヒート・マップでピンクのサイドバーによって強調表示されます。関連するソフトウェアは、紫のサイドバーによって強調表示されます。
- エンタープライズと インダストリー・コントロール・システム（ICS）のフレームワークを切り替える。 エンタープライズ」から「プラットフォームで絞り込むか、ICSに切り替えるクリックする。 Industry Control Systems (ICS)フレームワークから、Switch to Enterprise をクリックします。
- フィルターで選択された技法のみを確認するには、キーボードの Ctrl キー (Windows の場合) かコマンド・キー (Macの場合) を長押しして、ヒート・マップ上で関連する技法を選択します。 次に、レポートのメニュー・バーで「フィルター内の技法を表示 (Show techniques in filter)」オプションを選択します。 他のフィルターが一切ヒート・マップに表示されなくなります。
ヒント: ヒート・マップ内に技法フィルターがない場合は、フィルター・パネルの「MITRE ATT&CK」セクションで技法を追加するか、マップ内で技法を選択します。
- サブ技法のみを戦術および技法ごとに確認するには、レポートのメニュー・バーにあるスタック・アイコン (
) をクリックします。
- ヒート・マップでフィルタリングされたプラットフォームを変更するには、 「プラットフォームでフィルタリング」 をクリックし、ユーザー設定で選択を変更します。
デフォルトでは、ヒートマップには以下のプラットフォームの戦術、テクニック、サブテクニックが表示されます：Linux® macOS,
PRE、Windows。
フィルター・バーの 選択したプラットフォーム フィルター・タグは選択可能ではありませんが、選択された MITRE ATT&CK プラットフォームを表し、レポートに ATT&CK 関連のフィルターまたは列が含まれている場合は常に追加されます。 選択したプラットフォームを変更するには、ユーザー設定を変更します。 詳細については、ユーザー設定のカスタマイズを参照してください。
- 他のプラットフォームから戦術、技法、およびサブ技法を操作するには、 「プラットフォームによるフィルター」 をクリックし、ユーザー設定で選択を変更します。 プラットフォームの変更は、 「ユース・ケース・エクスプローラー (Use Case Explorer)」 ページおよび 「MITRE ATT & CK マッピング」 編集ページの MITRE フィルターの内容にも影響します。
- チャートの現在の表示をPNG画像としてエクスポートするには、エクスポート・アイコン（
）をクリックします。その後、'QRadar Use Case
Manager にアクセスできない同僚や重役と画像を共有することができます。
重要: イメージとしてのエクスポート機能は、 Mozilla Firefoxではサポートされていません。 代わりに、 Google Chrome または Microsoft Edge ブラウザーを使用してください。
- レポート可視化を画面の幅いっぱいに拡張するには、レポートのメニュー・バーで最大化アイコン (
) をクリックします。 ズームインまたはズームアウトして、希望するサイズで可視化を表示します。 展開されたウィンドウに適用されるすべてのフィルター操作は、ユースケース・エクスプローラーに戻るときに保持されます。
重要: Mozilla Firefoxでは、ズーム機能はサポートされていません。 ズームインおよびズームアウトを行うには、ブラウザーのコントロールを使用してください。
- レポート可視化を閉じてダッシュボードに戻ります。