概要

動的重大度では、その影響を受けるアセットに基づいて、セキュリティシグナルの重大度を調整できます。これによりアナリストは、影響を受けるアセットのビジネス上の重要度に応じて、デフォルトの重大度を上げる、下げる、あるいは維持することで、シグナルに優先順位を付けることができます。アセットごとに、重大度レベルの調整やカスタムタグを適用したり、特定のルールにのみ変更が適用されるようにすることができます。

仕組み

• セキュリティシグナルの重大度レベルを調整するために複数の動的重大度ルールが設定されている場合、そのシグナルは自動的に高い方の重大度レベルを採用します。たとえば、ある動的重大度ルールでは重大度が MEDIUM に設定されており、別のルールでは HIGH に設定されていた場合、重大度は HIGH になります。
• 複数の動的重大度ルールがセキュリティシグナルの重大度レベルに対して同じアクションを実行するように設定されている場合、そのアクションは 1 回のみ適用されます。たとえば、MEDIUM に設定されているシグナルの重大度レベルを上げるように設定された動的重大度ルールが 2 つある場合、重大度は一度のみ HIGH に上げられ、さらに CRITICAL に上げられることはありません。

動的重大度ルールを作成する

1. Datadog で、[Security] (セキュリティ) > [Settings] (設定) > [Dynamic Severity] (動的重大度) に移動し、[Create Dynamic Severity Rule] (動的重大度ルールの作成) をクリックします。[Create Dynamic Severity Rule] ウィンドウが開きます。
2. [Define Asset] (アセットの定義) で、アセットを定義するクエリを入力します。
3. [Choose Severity Adjustment] (重大度調整の選択) で、アセットに関連付けられたセキュリティシグナルの重大度をどのように調整するかを選択します。
   • [Increase] (上げる) または [Decrease] (下げる) を選択して、デフォルトの重大度レベルから重大度を 1 レベル上げるか、下げます。
   • デフォルトの重大度レベルを維持する場合は、[Maintain] (維持) を選択します。
   • シグナルに関連付けられた初期の重大度に関係なく、常に特定の重大度レベルを適用するには、その重大度レベルを選択します。
4. (オプション) [Details] (詳細) で、動的重大度ルールに適用する説明、タグ、チームを追加します。
5. [Select Detection Rules] (検出ルールの選択) で、重大度の変更を絞り込むための特定の検出ルールを入力します。すべての検出ルールに変更を適用する場合は、クエリを * に設定します。
6. [Save] をクリックします。[Create Dynamic Severity Rule] ウィンドウが閉じ、作成した動的重大度ルールがテーブルに表示されます。ここで、ルールを有効化または無効化することや、Terraform または JSON ファイルとして設定をエクスポートすることができます。

動的重大度ルールの影響を受けたシグナルを表示する

1. Datadog で、[Security] > [Settings] > [Dynamic Severity] に移動します。
2. 動的重大度ルールの横にある [More Options] (その他のオプション) アイコンをクリックし、 [Signals affected] (影響を受けたシグナル) をクリックします。シグナルエクスプローラーが新しいタブで開き、影響を受けたシグナルを表示するクエリが事前入力されています。

セキュリティシグナルで動的重大度データを表示する

動的重大度ルールによって変更されたすべてのセキュリティシグナルにおいて、[Adjusted Severity] (調整された重大度) ピルに元の重大度レベルと調整後の重大度レベルの両方が表示されます。そのピルにカーソルを合わせると、動的重大度ルールによって適用された調整を確認できます。

セキュリティシグナルの [JSON] タブで、critical_assets_data オブジェクトを確認することもできます。ここには、関連付けられている動的重大度ルールに関する情報と、それらがシグナルの重大度にどのように影響したかが示されています。

編集権限を制限する

By default, all users have view and edit access to dynamic severity rules. To use granular access controls to limit the roles that may edit a dynamic severity rule:

1. Click the vertical three-dot menu for the dynamic severity rule and select Permissions.
2. Click Restrict Access. The dialog box updates to show that members of your organization have Viewer access by default. Use that dropdown menu to select one or more roles, teams, or users that may edit the dynamic severity rule.
3. Click Add.
4. Click Save.

Note: To maintain your edit access to the dynamic severity rule, Datadog requires you to include at least one role that you are a member of before saving.

To restore access to a dynamic severity rule:

1. Click the vertical three-dot menu for the dynamic severity rule and select Permissions.
2. Click Restore Full Access.
3. Click Save.

参考資料

役立つドキュメント、リンク、記事:

抑制ドキュメント