T1003 - 認証情報ダンピング検出ツールプレイブックの設定

T1003 - 認証情報ダンピング検出ツールプレイブックを設定するには、次の手順に従います。

始める前に

必要なロール：

• sn_si.admin
• flow_designer

Security Operations スポーク (sn_sec_spoke) がインストールされていることを確認します。

手順

1. sn_si.user および flow_designer ロールを持つユーザーとしてログインします。
2. 次のように移動する。 All (すべて) > Flow Designer をクリックし、 T1003 - 認証情報ダンピング検出ツール プレイブックを選択します。
3. オプション: T1003 - 認証情報ダンピング検出ツールプレイブックのフローのコピーを作成し、必要な変更を加えることができます。
   プレイブックのフローのコピーを作成するには、 アイコンをクリックし、[コピーフロー] を選択します。フローをカスタマイズまたは変更する場合にのみ、このステップを実行します。

   図 : 1. T1003 - 認証情報ダンピング検出ツールプレイブック

   

4. プレイブックをアクティブ化します。
   • ベースシステムで利用可能なプレイブックを使用するには、メインフローをアクティブ化します。
   • 必要な変更を行った後、コピーしたフローをアクティブ化します。
5. プレイブックの [トリガー条件] を設定します。

   このプレイブックは、[カテゴリ] が [悪意のあるコードアクティビティ (Malicious code activity)] である場合にトリガーされ、セキュリティインシデントに関連付けられます。