環境内のイベントを検出するためのフィルタを作成、インポート、および管理します。
カスタムフィルターは、特定の脅威や疑わしい行動の検出を環境の独自のニーズに合わせて調整できるユーザ定義のフィルターです。Trend Vision Oneはカスタムフィルターを使用してObserved Attack Techniquesに表示されるセキュリティイベントを検出します。その後、これらのフィルターをカスタム検出モデルに組み込んでWorkbenchでアラートやインサイトを生成し、イベント検出を完全な脅威監視ワークフローに変換できます。
[カスタムフィルタ]画面 () では、カスタムフィルターの作成と管理ができます。カスタムフィルターには以下が含まれます:
- 基本情報
- イベントの種類
- イベントIDまたはベンダー
- 環境内のイベントを検出するためのクエリ
イベントタイプとイベントID/ベンダーは、フィルターによってクエリされるデータのタイプを定義します。例えば、ENDPOINT_ACTIVITYはEndpoint Sensorのようなエンドポイントベースのデータソースからエンドポイントデータをクエリします。TELEMETRY_FILEを選択すると、エンドポイントアクティビティデータ内のファイルイベントのみにクエリが絞り込まれます。イベントタイプとデータソースの詳細については、検索方法のデータソースを参照してください。
 |
重要50個までカスタムフィルターを追加できます。さらにフィルターを追加する必要がある場合は、サポートプロバイダに連絡してください。
|
次の表は[カスタムフィルタ]で利用可能なアクションを示しています:
|
処理
|
説明
|
||
|
カスタムフィルターを追加
|
カスタムフィルターを追加する方法はさまざまです。
|
||
|
カスタムフィルタのエクスポート
|
Trend Vision Oneは、すべてのカスタムフィルター (フィルターごとに1つのYAMLファイルを含む) を含むパスワード保護されたZIPファイルを生成します。エクスポートが完了したら、[カスタムフィルタをエクスポート]の下にある
 をクリックして、ZIPファイルのパスワードをコピーしてください。 |
||
|
フィルターリストを検索およびフィルター
|
次のオプションを使用して特定のカスタムフィルターを見つけてください:
|
||
|
フィルタの詳細を表示する
|
フィルター名をクリックして、カスタムフィルターの詳細情報を表示します。
|
||
|
カスタムフィルタを編集する
|
クリック
 をクリックしてカスタムフィルタを編集します。
|
||
|
カスタムフィルタを削除する
|
カスタムフィルターを削除するには
 をクリックしてください。どのモデルにも含まれていないカスタムフィルタのみ削除できます。
|
をクリックしてください。