ルールに基づくポリシー

ルールベースのポリシーページにアクセスするには、 Policies > Insider Threats & Advanced Compromise > Rule-Based tabへ。

ポリシービューのフィルタリング

左側のパネルを使用して、ポリシー ビューをフィルタリングします。 デフォルトビューには、すべてのポリシーと重要度タイプが表示されます。

侵害されたアカウントの検出を活用する IP 脅威 Intel

侵害されたクレデンシャルのケースを検出するための高度な UEBA ( CASB API、API Connector) を使用します。 システムは、 app events内で悪意のあるIPアドレスまたはTor IPアドレスに一致するsource IPアドレスを検出しました。これは、クレデンシャルのリセットが必要な侵害されたユーザーを見つけるのに役立ちます。

高度な UEBA を使用して、侵害されたデバイスのケース (トランザクション ログ) を検出します。 システムは、 transactions内で悪意のあるIPアドレスまたはTor IPアドレスに一致するdestination IPアドレスを検出しました。これにより、侵害されている可能性のあるデバイスを特定し、修復措置を講じるのに役立ちます。

ポリシーの編集

ポリシーを編集するには、タイルを選択し、鉛筆アイコンをクリックして「ポリシーの構成」ウィンドウを開きます。 すべてのルールが編集、削除、複製できるわけではありません。

変更を加えると、重要なアイコンが表示されます（上の画像1）。変更を適用するまで、これは表示されたままになります（上の画像3）。

必要に応じて、変更内容を元に戻すこともできます（上の画像2）。次のダイアログボックスが表示されます。

ルールベースの 上記のルールベースでは、特定のユーザー、ユーザーグループ、または組織単位を から含めたり除外したりできます。

カスタムルールベースポリシー

ドロップダウンをクリックして、ルールベースのポリシーを作成します。新しいポリシーを作成することも、テンプレートライブラリからポリシーを作成することもできます。

テンプレートから新規 カスタム ルール ポリシー

テンプレートライブラリには、疑わしいアクティビティの可能性を検出するための、新しい行動分析カスタムルールベースポリシー用の以下のテンプレートが含まれています。テンプレートを選択した後でも、どのオプションでも変更できます。右側のパネル編集ウィンドウが開き、編集が可能になります。

ポリシーは一連の変数を使って定義されます。 これらの変数は、ポリシー違反を検出するための基準を定義するものです。アラートを受け取りたいアクティビティシーケンスの一致条件を指定してください。各シーケンスは、単一のユーザー、グループ、組織単位、およびアプリに基づいて定義されます。すべてのマッチング条件は「AND」で結合されます。

新しいカスタムルールポリシーを作成するには：

トラブルシューティング

同一クラウドストレージアプリケーション間のデータ移動に対して疑わしいデータ移動アラートが発動しない

Symptom

ユーザーがクラウドストレージアプリケーション(Box、Google Drive、OneDriveなど)からデータをダウンロードし、同じアプリケーションの別のインスタンスにアップロードしても、 Suspicious Data Movement アラートは発生しません。たとえソースインスタンスが Sanctionedとしてタグ付けされていてもです。

Cause

デフォルトでは、 Suspicious Data Movement ポリシーは認可アプリケーションから非公認目的地へのデータ移動を評価します。 同じアプリケーションの2つのインスタンス間でデータが移動する場合、ソースインスタンスがポリシーの評価範囲に明示的に含まれていないため、ポリシーが発動しないことがあります。ポリシーの Additional Criteriaでソースアプリインスタンスを指定しないため、システムはクロスインスタンス転送を疑わしいデータ移動イベントとして認識しません。

Resolution

同じクラウドストレージアプリケーションの異なるインスタンス間でデータ移動のアラートを Suspicious Data Movement トリガーするようにするために、認証ソースアプリインスタンスをポリシー設定に追加してください。

ポリシーの設定:

1. Policies > Insider Threats & Advanced Compromise > Rule-Basedタブに移動します。

2. Suspicious Data Movementポリシーを見つけて鉛筆アイコンをクリックして編集してください。

3. Configure Policyパネルで、 Additional Criteria > Appに進みます。

4. App Instancesの下に、データがダウンロードされている認可ソースアプリインスタンスを追加します。

5. ルールベースのポリシーページで Saveをクリックし、 Apply Changes をクリックしてください。

ポリシー 今は指定されたインスタンスからのダウンロード活動を評価し、データが同じアプリケーションの別のインスタンスにアップロードされた際に Suspicious Data Movement アラートを発動します。

App Instanceが例外として追加された際の疑わしいデータ移動ポリシー

このセクションでは、特定のアプリインスタンスIDが例外として追加された場合に、疑わしいデータ移動ポリシーがどのように動作するかについて説明します。

Background / Observed Behavior

顧客シナリオ：

• 不審なデータ移動に関するアラートは、当初は想定どおりに生成されていました。
• お客様はID 3XXXXXXX38のアプリインスタンスを作成しました。
• その後、彼らはこのアプリインスタンスを「不審なデータ移動」ポリシーの例外として追加した。
• この 変更は特定の日付（夕方）に行われ、記録されました。
• この変更後、不審なデータ移動に関するアラートは一切発生しなくなりました。
• インシデント履歴には、特定の事象までのアラートが記録されているが、夕方のポリシー変更以降はアラートは記録されていない。
• 翌日、顧客は設定を元に戻しました（アプリインスタンスの例外を削除しました）。
• 翌日のロールバック後、不審なデータ移動インシデントが再び発生し始めます。

Technical Explanation

顧客が疑わしいデータ移動ポリシーでApp Instance ID 3XXXXXXX38例外としてマークした場合、有効なロジックは次のようになります。

• このポリシーの目的上、 only App Instance ID 3XXXXXXX38 (およびこの例外リストに追加されたその他のインスタンス) をunsanctioned applicationsとして扱います。
• ポリシーが発動するには：
  • downloadはsanctionedアプリケーション / インスタンス ( Includeリスト内) からである必要があります。 and
  • uploadは、 App Instance ID 3XXXXXXX38 (またはこの例外リストに追加された別のアプリインスタンス) に特化して指定する必要があります。

ユーザーのアクティビティがnotこのパターンに完全に一致しない場合、ポリシーはnot一致し、 no Suspicious Data Movement incidentsが生成されます。これは、ポリシー構成が構文的に有効であっても同様です。