Security Center:プレイブックの設定

プレイブックのタイプ

Security Center は、2 種類のプレイブックを提供しています。

• [事前定義プレイブック]：Security Center には、一般的なセキュリティの脅威シナリオとソリューションに基づく組み込みのプレイブックが含まれています。これらのプレイブックは、設定なしで直接使用できます。また、事前定義済みプレイブックをコピーしてカスタムプレイブックを作成し、ニーズに合わせて変更することもできます。これにより、カスタムプレイブックの作成が簡素化されます。

• [カスタムプレイブック]：複雑で高度にパーソナライズされたセキュリティの脅威シナリオ向けに、Security Center は柔軟なカスタムプレイブックを提供しています。フローエディターを使用して、さまざまなコンポーネントを自由に設定し、自動化されたセキュリティレスポンスソリューションを容易に実装できます。

プレイブックパラメーター (入力パラメーターと出力パラメーター)

• 入力パラメーターは、プレイブックをトリガーする条件を定義します。異なる条件を選択すると、対応するデバッグパラメーターの例が更新されます。

• 出力パラメーター：プレイブックの実行時に生成されるフィールドです。後続のノードでこれらのフィールドを使用できます。また、setOutput アクション を使用して、他のプレイブックがそれらを参照できるようにすることもできます。構文は ${event.parameter_path} です。

  説明

  カスタム出力パラメーターに加えて、デフォルトのシステムパラメーターも提供されています。詳細については、「プレイブックのシステムパラメーター」をご参照ください。

手順1：プレイブックの基本情報の作成

1. Security Center コンソールにログインします。

2. 左側メニューで、脅威の分析と応答 > 管理 > 応答オーケストレーション を選択します。コンソールの左上隅で、アセットが配置されているリージョン ([中国本土] または [中国本土以外]) を選択します。

3. [カスタムプレイブック] タブで、スクリプトの新規追加 をクリックします。

4. [スクリプトの新規追加] パネルで、[プレイブック名] と [プレイブックの説明] を入力し、OK をクリックします。

手順2：プレイブックフローの設定

1. プレイブックを作成すると、自動的にその設定ページに移動します。カスタムプレイブックのリストで、[Actions] 列の 編集 をクリックして設定ページに移動することもできます。

2. プレイブックの入力および出力パラメーターの設定

   1. Playbook Editing ページで、右上隅の [Settings] をクリックします。設定パネルで、入出力構成 をクリックします。

      説明

      各フローには 1 つの開始ノードが必要で、1 つ以上の終了ノードを持つことができます。

   2. [入出力構成] パネルで、プレイブックの入力および出力パラメーターを設定します。詳細については、「プレイブックパラメーター (入力および出力パラメーター)」をご参照ください。

3. 応答フローのオーケストレーション

   フローをオーケストレーションするには、コンポーネントをキャンバスにドラッグして接続します。このトピックでは、DataFormat コンポーネントを例に説明します。他のコンポーネントのパラメーターの設定方法については、「フローコンポーネントの説明」をご参照ください。

   重要

   • 開始ノードの名前は 'event' です。したがって、他のコンポーネントに 'event' という名前を付けないでください。

   • 必要に応じて、複数のコンポーネントを追加して接続できます。

   1. コンポーネントアクションの選択

      左側の [Basic components] セクションから DataFormat コンポーネントを選択し、joindata や convertToJSON などのアクションを選択して、キャンバスにドラッグします。

   2. コンポーネントパラメーターの設定

      コンポーネントのパラメーターを設定するには、キャンバス上のコンポーネントを クリックします。または、[基本情報] 設定ページの Action Configuration セクションで をクリックして、パラメーター設定ページに移動します。パラメーター設定の詳細については、「DataFormat コンポーネント」をご参照ください。

      • 定数、変数パラメーター、システムパラメーター、および式を入力できます。詳細については、「コンポーネントパラメーターとノード実行フロー」をご参照ください。

      • パラメーターを手動で設定することもできます。ノードの入力ボックスで、ドロップダウンリストからパラメーターを選択して、対応する構文を生成します。

        たとえば、出力パラメーター hackerIP の変数式は ${InputCheck.datalist.*.records.*hackerIP} です。ここで、InputCheck はアップストリームノード名です。ノードのドロップダウンリストから、InputCheck、dataSetFilter、SiemEventFormat などのアップストリームノードを選択できます。

4. コンポーネントを設定したら、左上のメニューバーの 保存 をクリックします。

   警告

   保存せずに終了した場合、編集したフロー情報は 失われます。

手順3：フローのデバッグ

プレイブックを構築した後、デバッグして期待どおりに実行されることを確認します。

1. ブレークポイントの設定 (オプション)：

   • 説明：複雑なフローの特定のステップを検証するには、コンポーネントにブレークポイントを設定します。デバッグ中、フローは、ブレークポイントが設定されたノードの直前まで実行され、一時停止します。これにより、中間結果を確認できます。

     重要

     • フローに複数のブランチがある場合、システムはブレークポイントが設定されているブランチのみをデバッグします。

     • 同じブランチに複数のブレークポイントを設定した場合、最後のブレークポイントのみが有効になります。

   • 手順：ノードの アイコンをクリックして、ブレークポイントを設定します。

2. デバッグの開始

   1. 左上隅の デバッグアイコンをクリックします。[Debug Parameters] パネルで、デバッグ をクリックします。

      説明

      デバッグパラメーターは、プレイブックに設定する入力パラメーターのタイプによって異なります。

   2. サンプルパラメーターの読み込み：

      1. 入力例 をクリックします。

      2. [入力例の表示] ページで、[Load Sample] をクリックします。

   3. パラメーターの変更：必要に応じてパラメーターを変更し、OK をクリックします。

      説明

      編集を容易にするために、システムは直感的な [可視化モード] を提供します。

3. デバッグ結果の表示

   ノードの アイコンをクリックするか、デバッグエリアの 実行ログ をクリックして、ノードの実行詳細 (入力、出力、ステータスなど) を表示します。次の表に、いくつかの出力パラメーターを示します。

   パラメーター	説明
   datalist	結果データのプレビュー。 重要 プレビューでは最大 3 件のエントリが表示されます。すべてのデータを表示するには、[Complete Output Result] タブに移動してください。
   total_data_successful	正常に処理されたデータ項目の数。
   total_data	処理されたデータ項目の総数。
   total_exe_successful	現在のアクションが正常に実行された回数。
   total_exe	現在のアクションが実行された総回数。
   total_data_with_dup	正常に処理されたデータ項目の数 (重複を含む)。

手順4：保存と発行

プレイブックがデバッグに合格したら、左上のメニューバーの 公開 をクリックしてプレイブックを発行します。

プレイブックのロールバック

公開されたプレイブックを以前のバージョンに戻すには、ロールバックを実行します。次の手順に従ってください。

1. カスタムプレイブック タブで、ロールバックするプレイブックを見つけます。 [アクション] 列で、詳細 をクリックします。 [基本情報] タブの [公開履歴] セクションで、プレイブックのバージョン履歴を表示します。

2. (オプション) バージョンのテスト: ロールバックするバージョンを選択し、[アクション] 列の 表示 をクリックしてプレイブックタブを開きます。[入力パラメーター (実行)] エリアで、選択したバージョンをテストします。

3. ロールバックするバージョンを選択し、[操作] 列の ロールバックして編集する または ロールバックしてリリースする をクリックします。

   • [ロールバックしてリリースする]：エディターの現在のドラフトを選択したバージョンで置き換え、公開します。

   • [ロールバックして編集する]: エディター内の現在のドラフトを選択したバージョンで置き換えます。

プレイブックのインポート

1. フローエディターのメニューバーから、詳細を見る をクリックし、[JSON のインポート] を選択します。

2. 「インポート」ページで JSON ファイルをアップロードし、OK をクリックします。

プレイブックの実行記録

プレイブックリストで、プレイブックの ID または 操作 列の 詳細 をクリックして、その詳細ページを開きます。基本的な実行記録は、履歴実行レコード タブで確認できます。

プレイブックの名前変更

プレイブックリストで、プレイブックの ID または詳細 列の [詳細] をクリックして、その詳細ページを開きます。基本情報 タブで、プレイブック名の横にある 編集 をクリックします。

プレイブックのオーケストレーションエラー

コンポーネント実行エラー