Universal Schema Builderを使用すると、Cloud Exchangeが個別のモジュールで収集したデータを1つの統合されたレコードセットに結合し、そのレコードに基づいてアクションを実行できます。Threat Exchangeはインジケーターを格納し、Risk Exchangeはユーザー、アプリケーション、ホストなどのエンティティを格納します。それぞれ単独でも十分に機能しますが、悪意のあるファイルハッシュで確認されたユーザーやフラグが立てられたドメインに関連付けられたアプリケーションなど、それらの間の関係は、データをまとめないと表示されません。
Universal Schema Builderを使用すると、よくあるフィールドでこれらのエンティティを結合し、結合された結果を確認し、結合されたレコードをフィルタリングして共有または実行するビジネスルールを作成できます。
ユニバーサルスキーマビルダーには次の2つのページがあります。
| Page | デスクリプション |
|---|---|
| 統合マッピング | Select ベーステーブルを選択し、追加のThreat ExchangeエンティティとRisk Exchangeエンティティをそれに結合し、フィルターを適用して、結果を名前付きマッピングとして保存します。 |
| ビジネスルール | 保存されたマッピングの結合レコードをフィルタリングし、一致するレコードに対して実行するアクション（Threat Exchangeの宛先への共有、Risk Exchangeアクションの実行、またはその両方）を設定します。 |
仕組み
マッピングとは定義のことであり、データのコピーではないからです。マッピングを保存すると、Cloud Exchangeは基本テーブル、結合、およびエンティティを組み合わせる方法を記述したフィルタを保存します。結合されたレコード自体は保存されません。マッピングをプレビュー、実行、またはビジネスルールを評価するたびに、ソースエンティティの現在の内容からレコードが再構築されます。そのため、統合されたデータは常に最新の状態になり、モジュールを有効にしてもストレージが重複することはありません。
結合は、作成した順序で一度に2つのテーブルに対して実行されます。最初の結合は、ベーステーブルと2番目のテーブルを結合します。次の結合は、その結果を3番目のテーブルと結合します。以下同様です。すべての結合は左外部結合です。つまり、右側に一致するレコードが見つかるかどうかにかかわらず、左側のレコードが結果に表示されます。一致しないテーブルのフィールドは、そのレコードについては単に空になります。
結合は等価性のみで一致します。両側からフィールドを選択し、フィールド値が一致するレコードを組み合わせます。
保存されたマッピング自体は、データを移動したり、アクションを実行したりすることはありません。ビューを定義します。生成されるものに対してアクションを実行するには、Business Rules ページでビジネスルールを作成します。
前提条件
この設定を完了するには:
- Settings > General で Risk Exchange モジュールを有効にする必要があります。Universal Schema Builder は Risk Exchange の一部であり、モジュールがオフになっている間、ページは使用できず、既存のビジネスルールは無効になり、変更または実行することはできません。
- ユニバーサルスキーマビルダーは、Risk Exchangeの読み取り権限（
cre_read）を持つユーザーが利用できます。マッピングとルールの作成、編集、削除には、Risk Exchangeの書き込み権限（cre_write）が必要です。 - マッピングにThreat Exchange indicatorsエンティティを含めるには、Settings > GeneralでThreat Exchangeモジュールを有効にする必要があります。また、ユーザーにはThreat Exchangeの読み取り権限（
cte_read）も必要です。これがないと、マッピングを作成する際にインジケーターエンティティが表示されず、それを使う保存されたマッピングは非表示になります。 - インジケーターエンティティを結合するマッピングを保存、編集、または削除するには、Threat Exchangeの書き込み権限（
cte_write）が必要です。 - 2つのRisk Exchangeエンティティを結合するために、Threat Exchangeの権限は必要ありません。
- マッピングを作成する前に、インジケーターとエンティティを生成するプラグインを構成します。そうすることで、結合およびプレビューするデータを生成できます。
お問い合わせ
- Universal Schema Builder > Unified Mappingに移動し、結合したいエンティティを結合するマッピングを作成します。統一マッピングを参照してください。
- Universal Schema Builder > Unified Mapping Business Rules に移動し、そのマッピングをフィルタリングし、一致するレコードの処理方法を定義するルールを作成します。統一マッピングビジネスルールを参照してください。