重大度変更ルールを設定して、組織のビジネスコンテキストを反映するように検出結果の重大度を調整します。たとえば、ノイズを減らすために分離された環境での検出結果の重大度を下げたり、PII (個人を特定できる情報) が含まれるデータベースでの検出結果の重大度を上げて、そのような結果にすぐに注意を向けられるようにします。

重大度変更ルールを作成する

1. Datadog で、[Security(セキュリティ)] > [Settings(設定)] > [Findings Automation(検出の自動化)] に移動します。Add a New Rule をクリックし、Modify Severity Level を選択します。Create a New Rule ページが開きます。
2. Rule name に、ルールの内容を表すわかりやすい名前を入力します。たとえば、「PII データベースにアクセスするサービスの重大度を高める」とします。
3. 以下のフィールドにルールの条件を追加します。
   • [Any of these types](次のいずれかのタイプ): ルールでチェックする検出結果のタイプ。利用可能なタイプは次のとおりです。
     • ランタイムコードの脆弱性
     • 静的コードの脆弱性
     • ライブラリの脆弱性
     • シークレット
     • Infrastructure as Code
     • コンテナイメージの脆弱性
     • ホストの脆弱性
     • 設定ミス
     • 攻撃経路
     • アイデンティティリスク
     • API のセキュリティ
     • ワークロードアクティビティ
   • [Any of these tags or attributes](次のいずれかのタグまたは属性): ルールを適用するために一致する必要があるソースのタグまたは属性。
4. 必要に応じて、Add Severity をクリックして重大度レベルで検出結果をフィルターします。このルールは、ユーザー定義の調整が行われる前の、Datadog で調整された各検出結果の重大度と照合されます。
5. 重大度変更アクションを定義します。 - Set to a specific level: 照合結果を固定の重大度に設定します。Info / None、Low、Medium、High、または Critical の中から選択します。
   Info / None は、特定のタイプの検出結果でのみ使用可能です。「各検出結果タイプの最小重大度」を参照してください。
   • Shift up or down one level: Increases or decreases the severity of matching findings by one level. See Severity floors by finding type for the lowest severity a finding type can shift down to, and Evaluation order for what happens when a finding is already at that bound.
6. 必要に応じて、Description にルールが適用される理由に関する説明を入力します。このテキストは、ユーザーが変更された検出結果を表示する際に、重大度の内訳パネルに表示されます。
7. Save をクリックします。このルールは新しい検出結果には直ちに適用され、既存の検出結果については 1 時間以内にチェックが開始されます。

注: ルールクエリで @severity および @severity_details.user_adjusted を使用することはできません。重大度変更ルールは、検出結果に保存されている @severity の値ではなく、Datadog が調整した重大度 (@severity_details.adjusted.value) に対して評価されます。

評価順序

重大度変更ルールは自動化パイプラインの最初のステップであり、ミュートルール、期日ルール、受信トレイルール、チケット作成ルールよりも先に実行されます。重大度変更ルールにおいて、Datadog は first-match ポリシーを使用しています。これは、検出結果が各ルールに対して順番に評価され、最初に一致したルールが適用されるというものです。検出結果でルールの一致が見つかると、それ以降の重大度変更ルールは評価されなくなります。

ルールが一致と見なされるのは、そのアクションの適用によって検出結果の重大度が変更される場合のみです。アクションを適用しても重大度が変更されない場合 (たとえば、すでに重大度の上限に達している場合の重大度変更アクションや、検出結果の現在の重大度を設定するアクション)、そのルールは一致とはならず、Datadog はその検出結果に対して後続の重大度変更ルールの評価を続行します。

重大度変更ルールは最初に実行されるため、ミュートルールを含む、後続のすべての自動化ルールでは、評価時に変更された重大度を参照します。

変更された検出結果を特定する

重大度変更ルールが適用された検出結果には、エクスプローラーのリストビューと検出結果のサイドパネルのヘッダーで、視覚的なインジケーターが示されます。インジケーターにカーソルを合わせると、変更の原因となった自動化ルールが表示されます。

CVSS スコア (コンテナイメージの脆弱性、ホストの脆弱性、ライブラリの脆弱性、およびランタイムコードの脆弱性) を持つ検出結果については、サイドパネルの重大度セクションに以下の内訳も表示されます。

• 変更前の元の重大度レベル、CVSS スコア、および CVSS ベクトル。
• 変更をトリガーした自動化ルールの名前と、そのルールへの直接リンク。
• 最終的な重大度レベルと調整後の CVSS スコア。

各検出結果タイプの最小重大度

すべての検出結果タイプで同じ重大度スケールが使用されるわけではありません。次の表に、各検出結果タイプで利用可能な中で最小の重大度を示します。

Info / None は、最小重大度が Low である検出結果タイプでは使用できません。ルールにそのタイプの検出結果を含め、Info / None を選択すると、検証エラーとなります。

重大度が Unknown の検出結果

重大度変更ルールでは、重大度が Unknown の検出結果を以下のように処理します。

• 重大度変更アクション: ルールは、重大度が Unknown である検出結果とは一致しません。ルールが一致しないため、その検出結果に対して後続の重大度変更ルールを引き続き評価することができます。
• 重大度の設定アクション: ルールで選択される重大度に Unknown が含まれている場合、ルールは一致し、Unknown を指定された対象の重大度で置き換えます。重大度変更ルールを使用して、検出結果の重大度を Unknown に設定することはできません。

脆弱性の検出結果と CVSS スコア

Datadog で調整された CVSS スコアを持つ脆弱性の検出結果では、重大度変更ルールによって、@severity_details.user_adjusted に保存されている調整済みスコアも更新されます。更新されたスコアは、対象の重大度の CVSS v3 範囲のほぼ中間に設定されます。

元の CVSS ベクトルが変更されることはありません。調整後のスコアに合わせて合成ベクトルが生成されることはありません。ルールが一致するのは、検出結果の重大度を変更する場合のみであるため、スコアは重大度自体が変更された場合にのみ調整されます。「評価順序」を参照してください。

自動クローズおよび合格した検出結果

重大度変更ルールは、自動クローズに移行した検出結果や、評価結果が合格である検出結果に対しては、クリアまたは更新されません。検出結果を最初に変更したルールが後から編集または削除された場合、それらの検出結果の重大度はクローズ時に設定されたもののままになります。

参考資料

役立つドキュメント、リンク、記事:

自動化パイプラインドキュメント 重大度の調整ドキュメント