Bits Security Analyst

このドキュメントは最新ではありません。最新版はこちらをクリックして英語版をご覧ください。
This product is not supported for your selected Datadog site. ().

概要

Bits Security Analyst は、Cloud SIEM のシグナルをエンドツーエンドで調査する自律型 AI エージェントです。セキュリティシグナルとログをクエリし、データに基づく推論を使用して、セキュリティエンジニアが脅威アラートを調査し、各アラート信号の判定に関する推奨を行うのを支援します。手動の労力とアナリストの疲労を軽減することで、Bits Security Analyst はセキュリティオペレーションをよりスムーズで効率的にします。

主な機能

Bits Security Analyst の調査は自律的です。検出ルールが有効になっている場合、Bits AI はそれに関連するシグナルを自律的に調査します。

Cloud SIEM シグナルエクスプローラーでは、Bits Security Analyst タブをクリックして、Bits AI が調査したシグナルのみを表示できます。Severity 列で Bits AI のステータスが Investigating と表示され、シグナルが Benign または Suspicious とマークされるまで続きます。

Bits Security Analyst タブの Cloud SIEM シグナルエクスプローラー

Bits AI の調査がある行をクリックすると、Bits AI Investigation のサイドパネルが開きます。

「Okta phishing detection with FastPass origin check」というタイトルの Bits Security Analyst の例の検出。

サイドパネルで、Bits AI の調査結果を確認できます。以下が含まれます。

  • 全体的な結論
  • その結論に至るために使用された主要な証拠
  • Bits AI のデータクエリを示す調査ステップ。埋め込まれた結果と完全なクエリへのリンクを含む
  • 各調査ステップに関する分析

サイドパネルから直接追加のステップを行うこともできます。

  • 事前に入力された Bits AI 調査結果でケースを作成する
  • SOAR ブループリントを使用してワークフローを実行する
  • インシデントを宣言する
  • ルール抑制を追加する
  • シグナルをアーカイブするか、通常の Cloud SIEM インターフェースでシグナルを表示する
  • Bits AIの分析にフィードバックを提供する

さらに、Cloud SIEM の通知を使用して新しいシグナルアラートを Slack や Jira に送信する場合、Bits AI は自動的にそれらの通知を更新します。Bits AI の調査結果を示す返信が含まれており、完全な調査へのリンクも付いています。

サポート対象のソース

Bits AI は、以下のセキュリティログソースに対して調査を実行できます。

  • Amazon GuardDuty
    • 調査結果カテゴリーには、異常な IAM の動作、EC2 の資格情報の流出と悪用、S3 データの露出、CloudTrail または S3 の防御回避、IAM 資格情報と S3 データの侵害に関連する攻撃シーケンスが含まれます。
  • AWS CloudTrail
  • Azure
  • GCP
  • Kubernetes
  • Microsoft Entra ID
  • Okta
  • Google Workspace
  • Microsoft 365
  • GitHub
  • Snowflake
  • SentinelOne
  • メールフィッシング

Bits Security Analyst のセットアップ

前提条件

Bits Security Analystを使用するには

  • 組織がレガシーバージョンではない Cloud SIEM を使用していることを確認します。サポートが必要な場合は、Datadog サポートまでお問い合わせください。
  • Bits Security Analyst をセットアップするには、Bits Security Analyst Config Write 権限が必要です。
  • 調査を表示するには、14 日以上のログ履歴が必要です。ログ履歴が短い場合、Bits Security Analyst をセットアップすることはできますが、十分の履歴が揃うまで調査は表示されません。

セットアップ

Bits Security Analyst を有効にすると、Datadog はカスタムルールを含むルールを分析し、それに関連するシグナルを確実に調査できるかどうかを判断します。中程度の重大度以上のすべての対象ルールについて、シグナルの自律的な調査を開始します。

ルールの対象は、Datadog がログソースの調査機能を構築しているかどうか、Agent が特定のルールを調査できるかどうかに依存します。評価する新しいカスタムルールがある場合や、対象でないルールについてご質問がある場合は、Datadog サポートにお問い合わせください。

  1. Datadog で、Security > Settings > Bits Security Analyst に移動します。

  2. トグルを Enable Bits Security Analyst に切り替えます。追加の設定が表示されます。

  3. (オプション) Bits Security Analyst が自動的にシグナルを調査するルールと重大度を構成します。これを行う方法は 2 つあります。

    • 個別のルールの調査を構成するには、Rule Settings をクリックします。調査されるシグナルの最小重大度を変更し、調査のための個別のルールを有効または無効にできます。
    • Query Filterをクリックしてシグナルクエリフィルターを記述すれば、Bits Security Analyst がフィルターに一致する信号のみを調査します。

  4. 一部のログソースは、Datadog にないログ、テレメトリ、またはその他のデータにアクセスして調査を実行または強化するための資格情報を必要とします。資格情報を追加するには、Edit credentials をクリックします。開いた Select or Add Connection ウィンドウで、プロンプトに従って Action Catalog から既存のコネクションを選択するか、コネクションを追加します。Datadog は、Action Catalog を使用してすべての資格情報を安全に保存し、制限します。

    一部のログソースでは追加のセットアップが必要なため、HTTP コネクションを作成できます。以下に例を示します。

    1. SentinelOne で、API トークンを作成する権限があることを確認します。S1 API サービスユーザーを作成し、そのユーザーに Viewer ロールを割り当てます。
    2. Datadog の Select or Add Connection ウィンドウで、ドロップダウンから New Connection を選択し、HTTP タイルをクリックします。
    3. 以下の情報を追加します。
      • Datadog では、Description フィールドにトークンの有効期限を追加して簡単にアクセスできるようにしておくことを推奨しています。
      • Base URL フィールドで、SentinelOne 管理コンソールの URL を入力します。
      • Token Auth:
        1. Token Name フィールドにトークンの名前を入力し、Token Value フィールドに API トークンを入力します。
        2. Headers タブで、Request Headers の下にある Add a Header をクリックします。以下の 2 つのヘッダーを追加します。
          名前値
          AuthorizationBearer スペースの後に、定義した Token Name を挿入
          Content-Typeapplication/json
    4. Next, Confirm Access をクリックしてコネクションを確認します。

Bits Security Analyst を無効にする

  1. Datadog で、Security > Settings > Bits Security Analyst に移動します。
  2. ページ下部までスクロールします。Disable Bits Security Analyst で、Enabled のトグルをオフにします。
    Bits Security Analyst を無効にすると、すべての構成が完全にリセットされます。

参考資料

お役に立つドキュメント、リンクや記事:

Bits AI Security Analyst で Cloud SIEM 調査を自動化ブログ more more Cloud SIEM の新機能: AI を活用した調査、強化された脅威インテリジェンス、スケーラブルなセキュリティオペレーションブログ more more