AISecOpsの構成セクションには、ケースの作成、調査、管理方法を制御するテナントレベルの設定がすべて含まれています。このセクションでは、AIの動作を細かく調整したり、AISecOpsをSlackやServiceNowなどの外部サービスに接続したりできます。
これらの設定は、左側のナビゲーションバーにあるSettingsアイコンの下からアクセスできます。
Preferences
設定によって、AIによる自動化動作の3つの側面が制御されます。それぞれ個別にオン/オフを切り替えたり、組織のニーズに合わせて調整したりできます。
Auto-Assignment
過去の類似性に基づいて、新しいケースをアナリストに自動的に割り当てます。
- Similarity Threshold: 値が大きいほど、割り当て前に一致度をより厳密にする必要があります。
- Min Similar Cases: システムが割り当てを実行するために必要な最低限の一致数。
- Lookback Days: 過去の任務データを検索する場合、どのくらい遡って検索すればよいでしょうか。
Auto-Investigation
非常に類似した最近のケースが「低リスク」と判定された場合、AIによる調査をスキップすることで、重複作業を防ぎます。
- Low Risk Skip Threshold: スキップロジックが作動するために、類似のケースのうち低リスクである必要がある割合。
自動調査は、デフォルトでは週ごとの割り当て量の70%に制限されています。この値は0～100%の間で変更できます。
レート制限情報
プラットフォームで設定された 1 日あたりのケース作成制限を表示する読む専用ビュー。
ケースルール
これは、DLPケースの作成を促進する検出ルールを管理するための中心的なハブです。
- Rule Lifecycle: 新しいルールは、レビューを可能にするためにデフォルトでDisabledとして開始されます。 更新のたびにVersion Numberが増加します。
- Optimistic Locking: 他のユーザーが先にルールを更新した場合、
409 Conflictエラーが表示されます。 - Format: ルールは V3 Pipe Query フォーマットを使います。
- 例：
filter incident.dlp_incident_severity = 'High' | create_case group_by incident.user when group.evidence_count >= 1
- 例：
DLPインシデント事前フィルタリング
このセクションでは、「ノイズ」として認識されている特定のDLPインシデントパターンを抑制することができます。
- Views: DLP ProfileまたはDLP Policyによって整理されています。
- The Matrix: 任意の行を展開すると、 Severity × Actionの行列が表示されます。特定の組み合わせを除外することができます（例：「アラート」につながったすべての「低」重大度インシデントを除外する）。
- Auto-Tuning: AISecOpsを有効にすると、観測されたパターンに基づいて、低信号の組み合わせを自動的に抑制します。
- Sample Incidents: チューニングUI内で実際のイベントを確認し、重要なシグナルを誤って抑制していないことを確認してください。
エージェントメモリ
エージェントメモリは、AIワーカーが調査を行う前に必ず確認する、永続的なコンテキストと指示を提供する。
| タイプ | 目的 | サンプルコンテンツ |
|---|---|---|
| Instruction | AIがどのように推論すべきかに関する指示。 | 「請負業者による財務フォルダへのアクセスはすべて高リスクとして扱うこと。」 |
| Configuration | 構造化されたキーと値のペア／リスト。 | 信頼できるドメインまたは機密性の高いプロジェクトのコードネームのリスト。 |
- Validation: メモリは、安全でないコンテンツを防止するために、Bedrock Guardrails に照らして検証されます。
- Immediate Effect: 変更は次回の調査から有効となり、サービスの再起動は不要です。
Usage
Usageページでは、現在の使用状況に関する情報が得られます。ここでは、平均的な事件調査の内訳を週単位または日単位で確認できます。
自動調査は、デフォルトでは週ごとの割り当て量の10%に制限されています。これは変更可能です。
失敗した調査はノルマにはカウントされない。
手動調査と自動調査は、いずれも割り当て量を消費します。
割り当て量は毎週月曜日の00:00 UTCにリセットされ、繰り越しはありません。
統合
Slack
マネージャーの承認ワークフローのために、AISecOpsをSlackに接続します。Slackが設定されている場合は、メッセージはSlackのマネージャーに送信されます。設定されていない場合は、メッセージは送信されます。
ServiceNow
高リスクケースのチケットを作成して同期することで、AISecOps と ITSM ワークフローを橋渡しします。
- One-Way Sync: AISecOps はデータを ServiceNow に書き込みます。 ITSM 同期ワーカーは、チケット ID とステータスを AISecOps ケースで追跡します。
- Requirements: インスタンスURLは
https://*.service-now.comでなければなりません。 - Tracking: リンクされたケースには、人間が読み取れるServiceNowチケット番号(例:
INC0012345)とチケットへの直接リンクが表示されます。
Setup
-
ServiceNowのオンボーディングページのステップ1に従ってください。
-
ServiceNowオンボードページのステップ2に従いますが、テーブル名を
sn_si_incidentに更新してください。 -
Configuration > Integrations > ServiceNowへ移動
-
Instance URL 、 Client ID 、 Client Secretを入力してConnect to ServiceNowを押してください。
EntraID
- RBAC v3トークンを作成するには、こちらの手順に従ってください。
- EntraのNetskopeアプリをNetskopeに接続するには、こちらの手順に従ってください。
- 今後は、DLPエージェントが必要とするカスタム属性をプロビジョニングする必要があります。
- ここでは大まかな手順が述べられているが、いくつかの変更が必要である。
- AISecOpsに必要なカスタム属性を有効にするには、以下のコマンドを実行してください。
curl --location --request PUT 'https://<tenant_url>/api/v2/scim/Schemas/urn:ietf:params:scim:schemas:extension:tenant:2.0:User' \
--header 'accept: application/scim+json;charset=utf-8' \
--header 'Content-Type: application/scim+json;charset=utf-8' \
--header 'Authorization: Bearer <token>' \
--data '{
"name": "AISecOps Custom Attributes",
"attributes": [
{
"name": "hireDate",
"type": "dateTime",
"description": "Employee hire date",
"mutability": "readWrite",
"returned": "default",
"required": false,
"multiValued": false,
"caseExact": false,
"uniqueness": "none"
}
],
"description": "Netskope AISecOps Additional Attributes",
"id": "urn:ietf:params:scim:schemas:extension:tenant:2.0:User",
"meta": {
"location": "https://<tenant_url>/Schemas/urn:ietf:params:scim:schemas:extension:tenant:2.0:User",
"resourceType": "Schema"
}
}'
- 以下のいずれかの手順に従ってください。
- https://portal.azure.comにログインしている場合、リンクhttps://portal.azure.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=trueを開く
- https://entra.microsoft.com にログインしている場合、リンクを開くhttps://entra.microsoft.com/?Microsoft_AAD_Connect_Provisioning_forceSchemaEditorEnabled=true
- 同じページから、先ほど作成したNetskopeアプリを開き、属性マッピングページに移動します。
- Netskope属性を以下に追加して保存してください。
- urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.manager : string
- urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.department : string
- urn:ietf:params:scim:schemas:extension:enterprise:2.0:User. 組織 ： 弦
- urn:ietf:params:scim:schemas:extension:tenant:2.0:User.hireDate : DateTime
- 最終的なマッピングが次のようになるようにマッピングを追加します。
電子メールマネージャー承認ワークフロー
Entra ID を使用してNetskopeを構成し、マネージャーの電子メール統合をセットアップすると、AISecOps によって電子メールマネージャーの承認ワークフローが有効になります。
エージェントが、リスク評価のためにマネージャーの意見が必要だと判断した場合、アナリストが介入できるよう調査は一時停止される。 アナリストには主に2つの選択肢がある。
- Bypass/Continue: アナリストは、マネージャーが期限内に応答しない場合、リクエストをスキップするか、調査を「強制的に継続」することを選択できます。
- Request Manager Input: アナリストはマネージャーに自動で電子メールを送信します。 マネージャーは電子メールを通じて直接活動を承認またはフラグを立てることができます。 調査は最大6 hoursの間、またはマネージャーからの回答があるまで中断されます。
電子メールの例:
エスカレーションオプション：
