検出結果ルールは、Agent イベントを分析することで、ランタイムセキュリティ体制を評価するために使用されるバックエンドロジックを記述します。検出結果ルールが一致すると、Workload Protection は影響を受けるリソースに対して検出結果を生成します。
実際のランタイムセキュリティの脅威を表面化させる検出ルールとは異なり、検出結果ルールは進行中の不適切な慣行や設定ミスを追跡します。検出結果は、単一の不審なアクティビティではなく、セキュリティポリシーに違反しているリソース (ホストまたはコンテナ) を表します。
検出結果ルールは、既存の Agent イベントを使用して、コンテナ内でのパッケージマネージャーの使用、IMDS アクセスパターン、不要な権限設定など、実用的なセキュリティ推奨事項を提示します。これは、直接的な脅威ではないものの、本番環境におけるリスクの高い慣行を表す現実世界のリスクに対処する上で役立ちます。
OOTB 検出結果ルール
Workload Protection には、Datadog が管理する out-of-the-box (OOTB) 検出結果ルールが含まれています。これらのルールは、本番ワークロードにおける不適切な慣行やリスクの高い設定を継続的に提示します。Datadog は新しいデフォルトルールを継続的に開発しており、新しいルールは自動的にアカウントにインポートされます。全リストについては、OOTB ルールリストを参照してください。
Datadog の Workload Protection 検出結果ルールリストで、組織にデプロイされた検出結果ルールを参照および確認します。各ルールには、セキュリティリスクの説明、適用されるリソースタイプ、および修復ガイダンスが含まれています。
予期される設定に対するノイズを減らすには、検出結果の自動化を使用して、ルールを無効にせずにミュートします。Findings automation を参照してください。
カスタム検出結果ルールを作成する
カスタム検出結果ルールは、検出ルールと同じ作成プロセスに従いますが、1 つの重要な違いがあります。それは、特定の時点のイベントを検出するのではなく、ホストやコンテナといった特定のリソースタイプを対象とする点です。
カスタム検出結果ルールを作成するには、Workload Protection の検出結果ルールページに移動し、[New Rule] をクリックします。
ルールエディターでは、5 つのステップで設定を行います。
ステップ 1: リソースタイプを選択し、検索クエリを定義する
検出結果ルールが評価するリソースのタイプを選択します。
- Host: ルールはホストに適用されます。Workload Protection は、コンテナイベントを除外するように、クエリの先頭に
-@container.id:* を自動的に付加します。 - Container: ルールはコンテナに適用されます。Workload Protection は、コンテナイベントのみを含めるように、クエリの先頭に
@container.id:* を自動的に付加します。
ルールが評価する Agent イベントを選択するクエリを定義します。検索クエリは、リソースがルールに違反しているかどうかを判断する際に、どのイベントを考慮するかを決定します。
次のことができます。
- Agent イベントの特定のフィールドでフィルタリングしてクエリを絞り込み、検索結果をより正確にします。たとえば、
@process.executable.path、@file.path、または @agent.rule_id でフィルタリングします。検出ルールと同様に、検出結果ルールはバックエンドイベントスキーマの任意のフィールドをクエリできます。これには、すべての Agent イベントフィールドに加え、インフラストラクチャーコンテキスト、プロセス系統、脅威インテリジェンスなどの追加のエンリッチメントが含まれます。利用可能なフィールドの全セットについては、Linux backend syntax および Windows backend syntax を参照してください。 - 複数の条件を組み合わせて、ルールをインフラストラクチャーまたはワークロードのサブセットに絞り込みます。
ルールを公開する前に、Agent Events Explorer を使用してクエリをテストし、どのイベントが一致するかを確認します。
ステップ 2: 検出結果の重大度を定義する
ルールがトリガーされたときに検出結果が持つ重大度を定義します。
ステップ 3: 検出結果を説明する
検出結果が生成されたときに表示される名前、説明、および修復ガイダンスを構成します。
- Rule name を入力します。名前は検出結果ルール一覧表示に表示され、生成された検出結果のタイトルになります。
- Rule message セクションでは、Markdown を使用して、検出結果の意味と対処方法を説明します。メッセージ本文に
## Remediation ヘッダーを含めます。Workload Protection は、このセクションを使用して、検出結果のサイドパネルに修復手順を直接表示します。 - Tag resulting findings ドロップダウンを使用して、生成された検出結果にタグを追加します。例:
security:posture または compliance:pci。
注: 検出結果のサイドパネルに修復手順を正しく表示するには、## Remediation ヘッダーが必要です。
