ビュー:

カスタム除外を作成して、指定したオブジェクトまたはイベントを今後の検出から除外します。

警告
警告
検出モデルの除外によって誤検出が発生し、セキュリティの脅威が検出されなくなる可能性があります。
注意
注意
新しい例外が有効になるまでに数分かかることがあります。
カスタム除外には次の設定が含まれます。
  • [対象]: 検出から除外するオブジェクトまたはイベントの場所
    たとえば、 [endpointGUID] フィールドとエンドポイントのGUID値を使用して、特定のエンドポイント上のオブジェクトを除外できます。
  • [イベントソース]: 検出から除外するイベントの種類
    たとえば、 [ENDPOINT_ACTIVITY] イベントタイプ、 [TELEMETRY_FILE] イベントID、および [TELEMETRY_FILE_CREATE] イベントサブIDを使用して、エンドポイントでのファイル作成イベントを除外できます。
  • [一致条件]: 検出から除外するオブジェクトとイベント
    たとえば、 [file_sha1] フィールドタイプ、 [添付ファイルハッシュ] フィールド、および添付ファイルのSHA-1値を使用して、特定の添付ファイルを除外できます。

手順

  1. [XDR Threat Investigation] → [Detection Model Management]に移動し、 [除外] タブをクリックします。
  2. [+ 追加] をクリックします。
  3. [除外] タブのテーブルに表示する [一般設定] を指定します。
    1. 除外の名前を指定します。
    2. チームが例外を特定するのに役立つ説明と、例外が追加された理由を入力します。
  4. 10件まで定義対象。
    1. [フィールド] ドロップダウンメニューから対象の種類を選択します。
    2. [値] フィールドで対象を指定します。
      注意
      注意
      • 最大50件の対象を指定できます。
      • 各値は128文字を超えることはできません。
      • 指定された値は、指定されたフィールドと一致する必要があります。たとえば、フィールドが [[endpointGUID]]の場合、指定する値はGUIDである必要があります。
    3. 別のターゲットを定義するには、 [+対象の追加] をクリックします。
  5. [イベントソース]を定義します。
    1. ドロップダウンメニューからイベントの種類を選択します。
      注意
      注意
      各イベントタイプは、特定のデータソースセットによって収集された1種類のアクティビティデータに関連付けられます。たとえば、 [ENDPOINT_ACTIVITY_DATA] イベントタイプは、エンドポイントセンサーによって収集されたエンドポイントアクティビティデータに関連付けられます。
      アクティビティデータとデータソースの詳細については、「検索方法のデータソース 。
    2. ドロップダウンメニューからイベントIDを選択します。
    3. ドロップダウンメニューから [イベントのサブID] を選択します。
  6. [一致条件]を10個まで定義できます。
    1. フィールドタイプを選択。
    2. [フィールド]を選択します。
    3. 最大20個の [値]を指定します。各値は2048文字を超えることはできません。
    4. (オプション) オブジェクトの特定の部分をワイルドカードに置き換える場合は、 [ワイルドカードを使用して編集] を選択します。
      オブジェクト値では、次の要素がサポートされます。
      • .*: 複数文字置換
      • \¥: エスケープ文字
      • オブジェクト値に次のいずれかの文字が含まれる場合は、エスケープ文字 \ を使用して、これらの文字が特別な意味を持たない通常の文字であることを示します。
        \ { } ( ) [ ] . + * ? ^ $ |
    5. 別の一致条件を追加するには、 [+条件の追加] をクリックします。
  7. [Add] をクリックします。