Security Center:標準化ルールとデータセット

ルールのソース

標準化ルールは SPL 構文を使用して、受信した生ログを標準化されたログ構造にマッピングし、重要なフィールドマッピングを定義します。これにより、正規化されたログからアラートを生成するためのデータ基盤が提供されます。

カスタム標準化ルールの作成

1. [Security Center コンソール - Agentic SOC - 管理 - アクセス設定] にアクセスします。ページ左上隅で、保護対象のアセットが配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

2. 基本設定の以下のパラメーターを構成します。

   パラメーター	説明
   ルール名	ルールのカスタム名を指定します。
   Service Provider	事前定義済みプロバイダー：Alibaba Cloud、Fortinet、Chaitin、Microsoft、Sangfor、Tencent Cloud、Huawei Cloud、Hillstone Networks、DbappSecurity、Microsoft Cloud など。 カスタムプロバイダー：プロバイダーの作成方法については、「プロダクト統合」をご参照ください。
   Service	選択したプロバイダー配下のすべてのプロダクト（例：Alibaba Cloud の Security Center や Fortinet Firewall）が自動的に一覧表示されます。サポートされているプロダクトの一覧については、「統合設定」をご参照ください。
   Remarks	標準化ルールの検索性および可読性を向上させるために、説明を追加します。

3. ログ標準化テスト タブで、標準化ルールのフィールドマッピングを構成します。

   1. ログサンプルのソースを選択します。

      • データソースに基づく

        • データソース：既存のデータソースインスタンスを自動同期します。

        • ログサンプル：過去 7 日間のログサンプルを自動的にクエリします。カスタム時間範囲を指定することも可能です。

      • 手動入力に基づく：生ログデータを JSON エディターに貼り付けます。エディターはフォーマットおよび検証をサポートしています。

   2. AI 推奨構成または手動構成のいずれかを使用して、解析プランを作成します。

      AI 推奨構成

      コンソールから Security AI Assistant を呼び出します。Agentic SOC は自動的にログ標準化エージェントを割り当て、ログサンプルを分析し、標準化分類・構造・フィールドマッピングを推奨し、SPL 構文を生成します。

      1. [解析テスト] セクションで、Security AI Assistant をクリックします。AI アシスタントのダイアログパネルが右側に表示されます。

      2. 推奨構成の取得：ログサンプルを分析した後、Security AI Assistant が推奨構成を返します。

         • 標準化分類および構造：AI はログ内容に基づいてログタイプを識別し、分類を推奨します。

           • 標準化分類：ネットワークログ、ホストログ、セキュリティログ、監査ログ、スナップショットログ、ログインログ、その他ログ。

           • 標準化構造：

             • 各標準化分類には複数の標準化構造が含まれます。

             • 各標準化構造は、一連の標準フィールドおよびデータセット (StoreView) に対応します。1 つのデータセットは複数の標準化構造にマッピングできます。

             • 分類または構造ごとのデータセットおよび標準フィールドの確認方法については、「標準フィールドおよびデータセットの表示」をご参照ください。

         • マッピング結果テーブル：各ログフィールドとその標準フィールドとのマッピングを表示し、フィールドが必須かオプションかを示します。AI が自動的にマッチングしなかったフィールドについては、ドロップダウンリストから標準フィールドを選択します。

      3. SPL 構文の生成：推奨構成の下部にある Generate SPL をクリックします。AI はマッピング結果に基づいて SPL 構文を生成し、マッピング判断テーブルおよびコンプライアンス自己チェックを提供します。

      4. 構成フォームへの反映：生成された SPL 構文の下部にある Apply をクリックします。AI 推奨の標準化分類、構造、および SPL 構文がルール編集フォームに自動的に入力されます。

      手動構成

      • 標準化分類および構造：Agentic SOC がサポートするデフォルトの標準化分類および構造、およびそのフィールドの説明については、「標準フィールドおよびデータセットの表示」をご参照ください。

      • SPL 構文：

        • 事前定義ルールおよび既存のカスタムルールをテンプレートとして使用します。各ルールの詳細ページで SPL 構文を確認できます。

        • または、「SPL 構文ドキュメント」を参照してカスタム構文を作成します。

   3. 拡張フィールドおよび構文タイプの構成

      • 拡張フィールドの取り込み：

        • パススルー：標準フィールドにマッピングされなかった生ログフィールドは、キーと値のペアとしてデータセットに直接保存されます。これにより元データがすべて保持されますが、ログボリュームおよびトラフィックコストが増加します。

        • 取り込みなし（デフォルト）：標準化ルールによってマッピングされなかった生ログフィールドは破棄されます。

      • 構文タイプ：

        • 汎用構文：ログ取り込みポリシーを構成する際、Real-time Consumption または Scan Query のいずれかを選択できます。詳細については、「プロダクトログ」の標準化方式比較をご参照ください。

        • リアルタイム消費：ログ取り込みポリシーを構成する際、標準化方式は Real-time Consumption のみをサポートします。

   4. 解析テスト

      1. 標準化分類および解析構文を構成した後、Parse をクリックします。

      2. [解析結果] セクションで解析結果を確認します。

      3. 拡張フィールドの管理（任意）

         SPL 解析結果に標準フィールドにマッピングされていないフィールドが含まれており、かつ拡張フィールド取り込みが「パススルー」に設定されている場合は、取り込み後のクイック検索を容易にするために、これらのフィールドに対してインデックスを作成することを推奨します。詳細については、「標準化ルールの管理」をご参照ください。

4. テストが正常に完了したら、左下隅の Complete をクリックします。

標準化ルールの管理

標準フィールドおよびデータセットの表示

1. [Security Center コンソール - Agentic SOC - 管理 - アクセス設定] にアクセスします。ページ左上隅で、保護対象のアセットが配置されているリージョンを選択します：Chinese Mainland または Outside Chinese Mainland。

2. 左側の Standard Fields リストにおいて、ログアクティビティカテゴリ 項目は Agentic SOC がサポートする Standardization Category です。ルートノードは Standardization Structure を表します。

3. Standardization Category（例：ネットワークログ）の横にある展開アイコンをクリックして、その配下の Standardization Structure（例：5 次元ルールログ、DNS ログ、HTTP ログ）を表示します。

4. Standardization Structure（例：API リスクログ）をクリックすると、右側に以下の情報が表示されます：

   • Standardized Field：選択した構造の標準フィールド（フィールド名、タイプ、説明、必須ステータス、サンプル値を含む）を表示します。

   • 拡張フィールド：ユーザー定義の拡張フィールド（フィールド名、タイプ、説明、形態素解析ステータス、更新時刻を含む）を表示します。

   • データセット：選択した構造の データセット を表示します。

拡張フィールドの管理

データセット