統合マッピング ビジネス ルール

統一マッピング・ビジネスルールは、保存された統一マッピングの結合レコードをフィルタリングし、一致するレコードに何を行うかを決定します。マッピング自体は、組み合わせたデータのビューを定義するだけであり、データを機能させるのはルールです。

ルールは、単独で、または組み合わせて、2通りの方法で使うことができます：

• Share to Threat Exchange destinations. 一致したレコードはインジケーターに変換され、宛先設定に共有されます。
• Perform Risk Exchange actions. 一致するレコードはRisk Exchange設定に渡され、ユーザーのリスクスコアの更新やタグの適用などのアクションが実行されます。

このページを開くには、Universal Schema Builder > Business Rules に移動してください。

前提条件

この設定を完了するには:

• ルールでフィルタリングする統合マッピングを作成します。Unified Mappingをご覧ください。
• マッチングレコードをThreat Exchange宛先に共有するには、まずThreat Exchangeで宛先プラグインを構成します。
• Risk Exchangeアクションを実行するには、最初にそのアクションを提供するRisk Exchangeプラグインを設定してください。
• ルールを表示するには、Risk Exchangeの読み取り権限（cre_read）が必要です。ルールを作成および編集するには、Risk Exchangeの書き込み権限（cre_write）が必要です。
• ルールでThreat Exchange共有を構成するには、Threat Exchangeの書き込み権限（cte_write）が必要です。Risk Exchangeアクションにのみ使用されるルールには必要ありません。
• ルールのマッピングがThreat Exchangeインジケータエンティティを結合する場合、ルールの評価によってマッピングの結合されたレコードが読むため、Threat Exchangeの読む権限（cte_read）も必要になります。

ビジネスルールを作成する

統合されたマッピングビジネスルールを作成するには：

1. Universal Schema Builder > Business Rulesへ移動してください。
2. Create New Rule をクリックします。Create Unified Mapping Business Rule ウィンドウが開きます。
3. ルール名を入力してください。
4. マッピングリストで、このルールが結合レコードをフィルタリングする統合マッピングを選択します。
5. クエリを選択または入力して、マッピングのレコードをフィルタリングします。マッピングで結合されたテーブルのフィールドでフィルタリングできます。
6. （任意）結合レコードがインジケーターになる方法を定義するには、Field Mappingに入力します。レコードをインジケーターにマッピングするを参照してください。
7. ルールを追加するフォルダー名を入力するか、既存のフォルダーを選択してください。最大3階層まで作成できます。
8. Saveをクリックしてください。

ルールが保存されると、レコードはフィルタリングされますが、共有またはアクションを構成するまでは何も行われません。

レコードをインジケータにマップする

Field Mapping マッピングのレコードのフィールドにインジケーターのフィールドをマップすることにより、結合されたレコードをインジケーターに変換する方法を Cloud Exchange に伝えます。これは、ルールが Threat Exchange の宛先にレコードを共有する場合にのみ適用されます。

ルールがRisk Exchangeのアクションにのみ使用される場合は、Field Mappingを空のままにします。Risk Exchangeアクションは、レコードから独自にパラメータを解決するため、インジケータを構築する必要はありません。

共有ルールを設定すると、Value、Type、およびExpires Atが必須になり、後で変更することはできません。マッピングは空のままにするか、作成時に部分的に完了して後で終了することができますが、ValueとTypeの両方が設定されると、それらは固定されます。

マッピングにインジケーター値に適したテキストフィールドがない場合は、フィールドをStaticに切り替え、代わりに固定値を入力してください。

共有とアクションの設定

ルールは、このページではなく、実行するモジュール内で宛先およびアクションに関連付けられます。

両方のページで、ビジネスルールリストには、そのモジュールのルールと統合マッピングビジネスルールが併記されています。統合マッピングビジネスルールには[Unified Mapping]のプレフィックスが表示されるため、見分けることができます。Risky external hostsという名前のルールは、リストに[Unified Mapping] Risky external hostsとして表示されます。

これを行うには	行く
一致するレコードをThreat Exchangeの宛先に共有します	Threat Exchange > Sharing、このルールを使う共有設定を追加します。
一致するレコードに対してRisk Exchangeアクションを実行します	Risk Exchange > Actions、このルールを使うアクション設定を追加します。

共有またはアクションが設定されると、ルールはスケジュールに基づいて実行され、前回の実行後に変更されたレコードを処理します。各レコードは宛先またはアクションごとに1回処理されるため、引き続き一致するレコードが繰り返し共有されたり、処理されたりすることはありません。

次回のスケジュール実行を待たずに、ルールをすぐに実行することもできます。手動実行をトリガーすると、過去何日分を対象にするかを指定できます。その期間中に更新されたすべてのレコードは、以前に処理されたかどうかにかかわらず、再度処理されます。

再生ボタンをクリックして動画をご覧ください。

ビジネスルールの管理

Business Rulesページには、作成したルールと、各ルールがフィルタリングするマッピング、および所属するフォルダーが一覧表示されます。Refreshボタンの横にあるボタンを使って、グリッド表示とリスト表示を切り替えます。各フォルダーを展開すると、その中のビジネスルールを確認できます。また、ビジネスルールのフォルダー全体を削除することもできます。

アクション	手順
編集	鉛筆アイコンをクリックし、ルールを変更してSaveをクリックします。マッピングは変更できません。
Clone	ビジネスルールのコピーを作成するには、ドキュメントアイコンをクリックします。フィルタは引き継がれますが、共有設定は引き継がれないため、コピーには送信先が設定されていません。
Test	テストアイコンをクリックし、期間を入力して Fetch をクリックします。ビジネスルールのテストを参照してください。
Mute	ミュートアイコンをクリックし、Intervalを設定して確定します。ビジネスルールをミュートするを参照してください。
Unmute	Unmute をクリックして確定します。Rule unmuted successfully. メッセージが表示されます。
消去	ゴミ箱アイコンをクリックして確定します。Rule deleted successfully. メッセージが表示されます。

ビジネスルールをミュートする

ミュートは、ルールの照合レコードが宛先に共有されるのを一時的に停止します。ノイズの多いフィルタを調整している間など、ルールを削除したり、共有設定を解除したりせずにルールを一時停止する必要がある場合に使用します。

ルールをミュートするには：

1. ルールのミュートアイコンをクリックします。Mute Business Ruleウィンドウが開きます。
2. ルールをミュートのままにするIntervalを設定するか、ルールを再開する日時を入力します。
3. Click Save. A Rule muted successfully. message displays.

間隔は5分から365日の間で設定する必要があります。経過すると、ルールは自動的に再開されます。早期に再開するには、Unmuteをクリックします。

ビジネスルールをテストする

ルールをテストすると、ルールに一致するレコードの数が表示されます。何も共有されたり、アクションが実行されたりすることはありません。これを使用して、ルールを宛先またはアクションに結び付ける前にフィルターをチェックしたり、ルールが予想よりも少ないレコードを生成している理由を確認したりできます。

ルールをテストするには：

1. ルールのテストアイコンをクリックします。

   

2. 期間を日数で入力します。その期間内に更新されたレコードのみがカウントされます。期間は1日から365日の間でなければなりません。

   

3. Fetchをクリックします。一致するレコードの合計数が、URLタイプのインジケーターになる数とファイルハッシュのインジケーターになる数の内訳とともに表示されます。

インジケーターの内訳は、ルールのField Mappingから取得されます。使用可能なTypeマッピングがないルールは何も共有しないため、一致するレコードは表示されますが、インジケーターは表示されません。そのように表示されたら、フィールドマッピングを完了してください。

ビジネスルールのトラブルシューティング

メッセージ	Resolution
統一マッピングが必要です。	ルールを保存する前にマッピングを選択してください。
選択したビューのフィールドの取得中にエラーが発生しました。	マッピングのフィールドを読み込めませんでした。マッピングがUnified Mappingページにまだ存在すること、およびマッピングが結合するエンティティに対する権限があることを確認します。
CREモジュールがオフになっているため、この統合マッピングビジネスルールは無効になっています。	Settings > GeneralでRisk Exchangeモジュールを有効にします。モジュールがオフの間、ルールは無効になり、変更または実行することはできません。
CREモジュールが無効になっている間はCTE共有を構成できません。	ルールでThreat Exchange共有を構成する前に、Risk Exchangeモジュールを有効にしてください。共有は、Risk Exchange エンティティデータをライブで読む。

ルールが正しく保存されているのに、何も共有されないか実行されない場合は、以下を確認してください。

• ルールは Threat Exchange > Sharing ページまたは Risk Exchange > Actions ページで設定されます。どちらも設定されていないルールは何も実行しません。
• ルールはミュートされていません。
• マッピングによってレコードが生成されます。Unified Mappingページで開き、Generated Mappingをチェックします。マッピングが空の場合、ルールにはフィルタリング対象がありません。
• 共有用にはField Mappingが完成しています。ValueとTypeがないと、レコードをインジケータに変換できません。