ケース作成

ケースを作成する主な方法は、 Case Rules タブを使用することです。

caseは調査の主要単位です。これは、ユーザーに関連するセキュリティ警告や行動シグナルを、割り当て、AIによる調査、解決が可能な単一の作業可能な項目にグループ化します。

セキュリティアラートが設定済みのルールに一致し、かつ発生件数または重要度のしきい値を超えた場合、ケースが自動的に作成されます。これらは、関連する 一定時間内にユーザーが行った違反行為の集まりを表します（例： クラウドアプリから30分以内に30回以上ダウンロード）。

各ルールカードには、ルール名、作成日、有効／無効の状態が表示されます。障害者用ルールカードには「障害者」バッジが表示され、名前には取り消し線が引かれています。

Toolbar controls:

• Search — 名前によるフィルタリングルール（接頭辞一致）
• Status filter — すべて表示、有効なもののみ表示、または無効なもののみ表示
• Sort — 作成日時（デフォルト）またはルール名で昇順または降順に並べ替えます。

ケースルール

新しいルールを作成するには：

1. ケースルールページの右上にある+ Createボタンをクリックしてください。
2. サイドパネルが空のフォームを含む作成モードで開きます
3. Rule Nameを入力してください（必須、最大255文字、一意である必要があります）
4. ルールクエリを記述します PQL editor
5. ルールを保存するにはCreateをクリックしてください（ルールは無効状態で作成されます）。
6. ルールを確認し、準備ができたらEnabledを切り替えてください。

詳細については、PQLリファレンスを参照してください。

既存のルールを編集する

1. ルールカードをクリックすると詳細パネルが開きます
2. Click the Edit (pencil) icon
3. ルール名やクエリを変更する
4. Click Save

ルール例

高速一括ダウンロード

ユーザーが許可されたアプリから 30 分以内に 30 個以上のファイルをダウンロードした場合にケースを作成します。

filter incident.dlp_user_activity = 'download' case_insensitive
AND incident.app_instance_is_sanctioned = true
| time_window 30m tumbling
| create_case group_by incident.user when group.evidence_count >= 30

高重症DLP

重大なインシデントが1件発生した時点で、直ちにケースを作成します。

filter incident.dlp_incident_severity = 'High'
| create_case group_by incident.user when group.evidence_count >= 1

UDMフィールドリファレンス(よく使う)

ビューからの作成

ケースは、 Data LossビューまたはInsider Threatsビューからも作成できます。

データ損失

Data Lossビューからケースを作成するには、いずれかのインシデントをクリックし、 InsightビューからCreate Caseを押します。

インサイダーの脅威

Insider Threatsビューからケースを作成するには、 User Watchlistのいずれかのユーザーをクリックし、 InsightビューからCreate Caseをクリックします。