セキュリティインシデントレスポンスプレイブックアクション
このセクションでは、フローデザイナーアクションライブラリで提供されるアクションについて説明します。
| アクション名 | 説明 | シナリオの例 | |
|---|---|---|---|
| セキュリティインシデントにセキュリティタグを追加 | このアクションを使用して、フローデザイナーロジックを使用してセキュリティタグを自動的に追加します。 | フローが IOC を検出した場合、このアクションを使用して「IOC 検出済み」タグを自動的に追加できます。 Flow : |
|
| セキュリティインシデントに観測事象を追加 (Add observables to the security incident) | このアクションを使用して、選択したセキュリティインシデントに観測事象を追加します。
|
|
|
| 複数のセキュリティインシデント V1 から影響を受けるユーザー (関連リスト) を取得 | 指定されたセキュリティインシデントについて、[影響を受けるユーザー] 関連リストに記載されているすべての影響を受けるユーザーを取得します。 | 複数の子セキュリティインシデントを持つ親セキュリティインシデントがある場合があります。このアクションを使用して、影響を受けるユーザーを、すべての子セキュリティインシデントから対応する親セキュリティインシデントにロールアップします。影響を受ける一意のユーザーのみがロールアップされ、すべての重複が排除されます。 |
|
| 複数のセキュリティインシデントから影響を受けるユーザーを取得 | 指定されたセキュリティインシデントの影響を受けるプライマリユーザーを取得します。[影響を受けるユーザー] 関連リストの影響を受けるユーザーは含まれません。 |
|
|
| セキュリティインシデントから影響を受けるユーザー (関連リスト) を取得 | 指定されたセキュリティインシデントについて、[影響を受けるユーザー] 関連リストに記載されているすべての影響を受けるユーザーを取得します。 |
|
|
| 影響を受けるユーザーをセキュリティインシデントに追加 | 影響を受けるすべてのユーザーをセキュリティインシデントに追加します。 | 複数の子セキュリティインシデントを持つ親セキュリティインシデントがある場合、このアクションを使用して、影響を受けるユーザーを、すべての子セキュリティインシデントから対応する親セキュリティインシデントにロールアップできます。影響を受ける一意のユーザーのみがロールアップされ、すべての重複が排除されます。 |
|
| 影響を受けるユーザーの構成アイテムを取得 | 影響を受けるすべてのユーザーの構成アイテムを取得します。 | フィッシングまたはマルウェアのシナリオでは、このアクションを使用して、[影響を受ける構成アイテム (CI)] 関連リストを更新し、CI を調査できます。特定された CI の数に基づいて、セキュリティインシデントの重大度またはリスクスコアを更新できます。 |
|
| セキュリティインシデントのすべての子セキュリティインシデントを取得 | 特定の親セキュリティインシデントに関連するすべての子セキュリティインシデントを取得します。 | シナリオ例：このアクションを使用して、次のことを行います。
|
|
| 観測事象の構成アイテムを取得 (IP アドレスタイプ) (Get configuration items for the observables (type IP address)) | IP アドレスタイプの観測事象のすべての構成アイテム (CI) を取得します。 | IP アドレス観測事象は、構成アイテムに関連付けることができます。たとえば、サーバーの IP アドレスです。このアクションを使用すると、サーバーの情報を取得できます。 |
|
| 悪意がある観測事象 (Is observable malicious) | 観測事象のセット内に 1 つ以上の悪意がある観測事象が存在するかを示します。 | 脅威のルックアップが完了し、悪意のある観測事象の存在を特定したら、セキュリティインシデントの重大度またはリスクスコアを上げることができます。 |
|
| メールを送信してユーザーのインタラクションを確認 (Send email to confirm user interaction) | ユーザーの応答に応答してメールを送信します。 | ユーザーがアプリケーションへのログインを複数回試行して失敗すると、ログイン失敗シナリオが発生します。この場合、ユーザーがログインを試行したかどうかを確認するメールがユーザーに送信されます。ユーザーの応答 (「はい」または「いいえ」) に応じて、さまざまなアクションを実行できます。 フロー：ログイン失敗手動プレイブック |
|
| 許可リスト観測事象をフィルター | このアクションを使用して、指定された観測事象のセットから許可リスト観測事象を除外します。 | 観測事象のセットから無視できる特定の観測事象を特定できます。これらの観測事象は、セキュリティインシデントの解決時に考慮されません。 |
|
| 影響を受けるユーザーのパスワードをリセット | このアクションを使用して、影響を受けるユーザーのパスワードをリセットします。 | ユーザーアカウントがハッキングされた場合、またはユーザーがパスワードのリセットを要求した場合、パスワードをリセットするためのメールがユーザーに送信されます。 フロー：ログイン失敗手動プレイブック |
|
| 影響を受けるユーザーのユーザーグループを取得 | 影響を受けるユーザーのユーザーグループの詳細を取得します。 | 組織内で 2 人以上のユーザーがフィッシングメールを報告した場合、そのユーザーが属するグループを特定し、影響を受けているユーザーがほかにいるかどうかを特定できます。 |
|