検出ルールは、取り込まれたすべてのログとクラウド構成に適用される条件ロジックを定義します。ルールに定義されたケースに一定期間中に少なくとも 1 つ一致すると、セキュリティシグナルが生成されます。これらのシグナルは、Signal Explorer で確認できます。
Datadog は、攻撃者のテクニックや潜在的な誤構成にフラグを立てるためのすぐに使える検出ルールを提供しています。新しい検出ルールがリリースされると、構成に応じてアカウント、Application Security Management ライブラリ、Agent に自動的にインポートされます。
すぐに使えるルールは以下のセキュリティ製品で利用できます。
Datadog のセキュリティリサーチチームは、継続的に新しいすぐに使えるセキュリティ検出ルールを追加しています。その目的は、インテグレーションやその他の新機能のリリースとともに高品質の検出を提供することですが、そのルールを一般的に利用可能にする前に、多くの場合、大規模での検出のパフォーマンスを観察する必要があります。これにより、Datadog のセキュリティリサーチは、当社の基準を満たさない検出の機会を改善したり、非推奨にしたりする時間を得ることができます。
ご自身の環境やワークロードに基づいてルールをカスタマイズする必要がある場合があります。例えば、ASM を使用している場合、ビジネスが行われていない地域から機密アクションを実行するユーザーを検出する検出ルールをカスタマイズしたいと思うかもしれません。
カスタムルールを作成するには、デフォルトのルールを複製してそのコピーを編集するか、一から独自のルールを作成します。
Datadog ですぐに使える検出ルールとカスタム検出ルールを表示するには、Security > Configuration ページに移動します。ルールは、各製品 (Application Security、Cloud Security Management、Cloud SIEM) の個別のページにリストされています。
ルールを検索してフィルタリングするには、検索ボックスとファセットを使用して値でクエリします。例えば、指定したルールタイプのルールだけを表示するには、ルールタイプにカーソルを合わせて only を選択します。また、受信した問題を調査したりトリアージする際に、source や severity などのファセットでフィルタリングすることもできます。
カスタム検出ルールを作成するには、Detection Rules ページの右上隅にある New Rule ボタンをクリックします。また、既存のデフォルトルールまたはカスタムルールを複製してテンプレートとして使用することもできます。
詳しい説明は以下の記事をご覧ください。
ルールを有効または無効にするには、ルール名の右側にあるスイッチを切り替えます。
また、ルールの一括有効化、無効化も可能です。
すぐに使える検出ルールでは、抑制クエリの追加や編集のみが可能です。クエリを更新したり、トリガーを調整したり、通知を管理したりするには、デフォルトルールを複製して、カスタムルールのテンプレートとして使用します。その後、デフォルトのルールを無効にすることができます。
ルールを複製するには、ルールの横にある縦の 3 点メニューをクリックして、Clone rule を選択します。
ルールの複製は、既存のルールを複製して軽く設定を変更し、他の検出領域をカバーしたい場合に便利です。例えば、ログ検出ルールを複製し、Threshold から Anomaly に変更することで、同じクエリとトリガーを使用して脅威検出に新しい次元を追加することができます。
カスタムルールを削除するには、ルールの横にある縦の 3 点メニューをクリックして、Delete rule を選択します。
注: 削除できるのはカスタムルールだけです。デフォルトのルールを削除するには、それを無効にする必要があります。
デフォルトでは、すべてのユーザーが検出ルールにフルアクセスできます。粒度の高いアクセス制御を使用して、1 つのルールを編集できるロールを制限するには
注: 規則の編集アクセス権を維持するために、保存する前に、少なくとも 1 つのロールのメンバーであることを含めることがシステムから要求されます。
ルールへのアクセスを復元するには
Signals Explorer でルールのセキュリティシグナルを表示するには、縦 3 点メニ ューをクリックし、View generated signals を選択します。これは、ルールごとに複数のソースのシグナルを相関付ける場合や、ルールの監査を完了する場合に便利です。
ルールのコピーを JSON としてエクスポートするには、ルールの横にある縦の 3 点メニューをクリックし、Export as JSON を選択します。
すべての検出ルールに対して定期的な監査が実施され、高いシグナル品質が維持されます。非推奨となったルールは、改善されたルールに置き換えられます。
ルール非推奨のプロセスは以下の通りです。
