環境内のイベントを検出するためのフィルタを作成、インポート、および管理します。
カスタムフィルターは、特定の脅威や疑わしい行動の検出を環境の独自のニーズに合わせて調整できるユーザ定義のフィルターです。Trend Vision Oneはカスタムフィルターを使用してObserved Attack Techniquesに表示されるセキュリティイベントを検出します。その後、これらのフィルターをカスタム検出モデルに組み込んでWorkbenchでアラートやインサイトを生成し、イベント検出を完全な脅威監視ワークフローに変換できます。
[カスタムフィルタ]画面 () では、カスタムフィルターの作成と管理ができます。カスタムフィルターには以下が含まれます:
- 基本情報
- イベントの種類
- イベントIDまたはベンダー
- 環境内のイベントを検出するためのクエリ
イベントタイプとイベントID/ベンダーは、フィルターによってクエリされるデータのタイプを定義します。例えば、ENDPOINT_ACTIVITYはEndpoint Sensorのようなエンドポイントベースのデータソースからエンドポイントデータをクエリします。TELEMETRY_FILEを選択すると、エンドポイントアクティビティデータ内のファイルイベントのみにクエリが絞り込まれます。イベントタイプとデータソースの詳細については、検索方法のデータソースを参照してください。
 |
重要カスタムフィルターは最大50個まで追加できます。さらにフィルターを追加する必要がある場合は、サポートプロバイダに連絡してください。
|
次の表は[カスタムフィルタ]で利用可能なアクションを示しています:
|
処理
|
説明
|
||
|
カスタムフィルターを追加
|
|
||
|
カスタムフィルタのエクスポート
|
Trend Vision Oneは、すべてのカスタムフィルターを含むパスワード保護されたZIPファイルを生成します (フィルターごとに1つのYAMLファイル)。エクスポートが完了したら、ZIPファイルのパスワードをコピーするには[カスタムフィルタをエクスポート]の下の
 をクリックしてください。 |
||
|
カスタムフィルターをインポート
|
[フィルタを追加]をクリックし、ドロップダウンメニューから[コンピュータからインポート]を選択して、1つのZIPファイルまたは複数のYAMLファイルをインポートします。
|
||
|
リストを検索およびフィルター
|
次のオプションを使用して特定のフィルターを見つけます。
|
||
|
フィルターの詳細を表示
|
フィルター名をクリックして、カスタムフィルターの詳細情報を表示します。
|
||
|
カスタムフィルターを編集
|
 をクリックしてカスタムフィルターを編集します。
|
||
|
カスタムフィルターを削除
|
カスタムフィルターを削除するには
 をクリックしてください。どのモデルにも含まれていないカスタムフィルタのみ削除できます。
|
をクリックしてください。