Elasticセキュリティは、検知ルール用のレポジトリをグローバルに公開しました。コミュニティと協働でルールをオープンに開発し、コミュニティ主導の検知を推進していく場となります。またこのレポジトリは、セキュリティについて知識を集団的に共有する機会を創出します。

Elasticは<a href="/jp/about/why-open-source">オープンソースの力</a>を信じており、コミュニティの重要性を理解しています。コミュニティを最優先することで、可能な限りすぐれたプロダクトを生み出し、ユーザーに届けることができます。Elasticセキュリティが掲げる<a href="/jp/security">2つのコア目標</a>は、脅威を大規模に停止させること、そしてすべてのアナリストに武器を供給することです。本日Elasticは、新しいGitHubレポジトリ、<a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>を開設しました。セキュリティコミュニティと共に作業し、より大規模な脅威を停止するためのレポジトリです。
Elasticセキュリティによる<a href="/jp/blog/elastic-siem-detections">検知エンジン</a>のリリースで、Elastic Stackに自動の脅威検知機能が搭載されるようになりました。初回のリリース以降、Elasticセキュリティインテリジェンス＆分析チームは50以上のルールを検知エンジンに追加し、Linux、macOS、Windows OSに対する攻撃テクニックへの可視性を向上させてきました。検知の対象領域は継続的に拡大されており、クラウドサービスやユーザービヘイビアといった新たなドメインも続々と加わっています。
直近数回のリリースで、Elasticのチームは検知エンジンのルール管理に社内用レポジトリを使っていました。Kibana Query Language（KQL）構文や使用スキーマ、その他のメタデータを検証するあらたなコントリビューション用に自動化テストを追加して、テスト手順の反復的な改善を行ってきました。こうしてルール開発のプロセスも成熟し、物事を破壊しなくてもスピーディーに開発を進めることができるようになっています。
今回<a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> GitHubレポジトリを開設することで、Elasticセキュリティチームはコミュニティとともに、オープンにルール開発を進めることが可能になります。私たちは、コミュニティ主導の検知を積極的に取り入れたいと考えています。またこのレポジトリは、私たち全員が集団的な知識を共有し、互いに学びあい、協働を通じて影響力を行使するすぐれた機会となります。
 <h2>新しいレポジトリのコンテンツ</h2><a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> GitHubレポジトリでは、<a href="https://attack.mitre.org/">MITRE ATT&CK</a>®テクニックに準拠する多数のElasticセキュリティ向けルールが公開されています。現行のルールロジックは主に<a href="/guide/en/kibana/master/kuery-query.html">KQL</a>で、また<a href="/guide/en/ecs/current/index.html">Elastic Common Schema（ECS）</a>を活用して書かれており、ルールを1度記述するだけで済みます。各種ルールはECSの指定フィールドとカテゴリを使用し、BeatsログおよびECSに適切にマップされた他のデータソースに対して自動的に動作します。
<a href="https://github.com/elastic/detection-rules/tree/main/rules">rules/</a>フォルダー内で、ルールはTOMLファイルに格納され、プラットフォーム別にグループ化されています。新しいルールを簡単に探したり、追加したりできるよう、フラットな階層でシンプルな構成を目指しました。Windowsのみに対応するルールを探す場合、<a href="https://github.com/elastic/detection-rules/tree/main/rules/windows">rules/windows</a>を開きます。ルールをうまく見つけられないときや、複数のルールを横断的に検索したい場合、<code>python -m detection_rules rule-search</code>コマンドを実行してCLIを使用し、メタデータにマッチするファイルを表示させることもできます。
どのルールにもそれ自体のクエリに加えて複数のメタデータフィールドがあり、タイトルや説明、ノイズレベル、ATT&CKマッピング、タグ、スケジュールの時間間隔といった情報を捉えます。また、アナリストのトリアージに使える複数の付加的フィールドもあり、誤検知や、調査に役立つ手順の説明を記述できます。各種ルールに含まれるメタデータについて詳しくは、<a href="/guide/en/siem/guide/current/rules-ui-create.html#create-rule-ui">Kibanaルールの作成ガイド</a>または、コントリビューションガイドの<a href="https://github.com/elastic/detection-rules/blob/main/CONTRIBUTING.md#rule-metadata">ルールのメタデータサマリー</a>をご覧ください。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt683eae32569f7543/5efb61e38304ac0dbc4a5a0e/detection-rules-repo-blog-msbuild.png" data-sys-asset-uid="blt683eae32569f7543" alt="detection-rules-repo-blog-msbuild.png">
<figcaption>ルール“MsBuild Making Network Connections”を構成するファイルのプレビュー
</figcaption> 
<h2>検知エンジンで、レポジトリのルールを入手する</h2>現在<a href="/jp/cloud/">Elastic Cloudのマネージドサービス</a>、または<a href="/jp/subscriptions">無料機能をすべて搭載</a>するElastic Stackのデフォルト配布パッケージをご利用の方は、検知エンジンをはじめて開く際に最新のルールが表示されます。Elastic Stackをアップグレードすると、検知エンジンが追加、または変更されたルールを認識し、該当のルールをアップグレードするかどうかの判断を<a href="/guide/en/siem/guide/current/rules-ui-create.html#load-prebuilt-rules">促す</a>メッセージが表示されます。アップグレード後は、画面に表示される手順に従って最新のルールのコピーを入手することができます。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1ca938b9d35957ee/5efb6250f715ab0f6bc3dea1/detection-rules-repo-blog-msbuild-network-connections.png" data-sys-asset-uid="blt1ca938b9d35957ee" alt="detection-rules-repo-blog-msbuild-network-connections.png">
<figcaption>検知エンジンに取り込まれた“MsBuild Making Network Connections”ルール
</figcaption> 
<h2>レポジトリのユーザーとは？</h2>Elasticセキュリティインテリジェンス＆分析チームは、このレポジトリをルールの開発、作成、プルリクエストの管理、リリース目標の設定に使用しています。Elasticはこのレポジトリを公開することで、外部のすべてのコントリビューターをこのワークフローに招待しています。コントリビューターにとっては、公開によって検知エンジンでリリースされるルールの開発プロセスと、ルールへの明確なパスが可視化されます。
コントリビューションの実施にあたっては、Elasticが定める<a href="/jp/contributor-agreement">コントリビューターライセンス同意書（CLA）</a>に署名してくださるようお願いいたします。CLAはすべてのElastic GitHubレポジトリで求められる規範であり、Elasticがコントリビューターのコードをユーザーに自由に配布できることの根拠となります。
 <h2>脅威検知のアプローチ</h2>概して、Elasticは敵のビヘイビア（挙動）に注目する検知手法を好む傾向にあります。つまり通例としてElasticはATT&CKテクニックを重視しており、そのため、ルールの作成に先んじて、あるテクニックがどのような仕組みで動作するか把握するための研究や努力が求められることがあります。このアプローチの採用は、昨日までの攻撃だけでなく、今日、明日の攻撃も検知して停止するルール開発に役立ちます。
また、ビヘイビア中心のアプローチを採用する場合、多様な種類のルールが必要となります。たとえば一部のルールが小さなイベントを検知する一方で、他のルールは複数のイベントのアグリゲーションの実行を要求する、あるいは閾値を上回る異常を確認するといったことです。<a href="https://eql.readthedocs.io">Event Query Language（EQL）</a>を使うと、複数のイベントにわたるビヘイビアのシーケンスを検出するルールを記述することが可能になります。
もちろん、1つのテクニックがすべてのユーザー環境でビヘイビアに基づく検知を実行できるというケースばかりではありません。その場合は、本質的にもっとシグネチャーを重視したルールや、特定のビヘイビア、あるいはツールを想定して記述したルールを追加していただいて構いません。
熟慮された検知ルールを生み出すために何が必要か、という詳しい議論については<a href="https://github.com/elastic/detection-rules/tree/main/PHILOSOPHY.md">検知ルールレポジトリのフィロソフィー</a>セクションをご覧ください。
 <h2>新しいレポジトリが必要とされる理由</h2>公開ルールをシェアした経験がある方は、MITREの<a href="https://github.com/mitre-attack/car">Cyber Analytics Repository（CAR）</a>や、<a href="https://github.com/Neo23x0/sigma">Sigma</a>、Elastic EQLに基づく<a href="https://eqllib.readthedocs.io">EQL Analytics Library</a>といった有名なGitHubレポジトリについてもご存じかもしれません。中には、「なぜ新しいレポジトリが必要なのだろう？すでにあるレポジトリを使わないのはなぜ？」と思っている方もいることでしょう。
よくあるパターンですが、この場合、最もわかりやすい答えは別の質問の答えです。「なぜ他のレポジトリが存在しているか？」を考えてみましょう。CARとSigmaは共に意図的に、言語やプラットフォーム、場合によってはデータソースを定めていません。対照的に、EQL Analytics Libraryは特定の言語を想定しています。
Elasticチームは新しい検知ルールのレポジトリを、これらと少し異なった目的で運用するつもりです。私たちの最終目的は、Elasticセキュリティのユーザーに多様なデータソースで横断的に動作する最良の検知機能を提供することです。そこでECSをすぐれたスキーマイコライザーとして使用し、ルールを1度記述するだけで複数のデータソースに適用することを可能にしました。
Elastic Stackは複数の言語をサポートしており、検知ルールにもそれを反映させる必要があります。一般的に、クエリ言語は多様な種類の問題解決の目的で開発されるものであり、他の言語で首尾よく解決できるなら、ルール開発者に特定の言語を強制すべきではありません。現在、このレポジトリでは<a href="/guide/en/kibana/master/kuery-query.html">KQL</a>および<a href="/guide/en/kibana/current/lucene-query.html">Lucene</a>で記述されたルールのほか、<a href="/guide/en/machine-learning/6.8/ml-jobs.html">機械学習異常検知</a>を使用するジョブが公開されています。さらにElastic Stackとこのレポジトリの双方に<a href="https://eql.readthedocs.io">EQL</a>を導入することを目指し、<a href="https://github.com/elastic/elasticsearch/issues/49581">鋭意作業を行って</a>います。
また私たちはElasticsearchの最適なパフォーマンスという観点から、ベストプラクティスを提供していることを保証します。たとえば<code>process.path:*\\cmd.exe</code>を検索するにはワイルドカードチェックを行う必要がありますが、これはシンプルなキーワードチェックに比べてコストがかかります。私たちが推奨するのは、リーディングワイルドカードを含めて検索するのではなく、<code>process.name:cmd.exe</code>を使う方法です。この方がパフォーマンスにすぐれ、かつ最も正確な結果を返します。もう1つ挙げておきましょう。ECSは<code>process.args</code>フィールドも含みます。これは、<code>process.command_line</code>のパースされたバージョンですが、私たちはこのパース済みフィールドの方を使用することを推奨しています。<a href="https://github.com/elastic/detection-rules/blob/main/PHILOSOPHY.md#does-a-rule-have-trivial-evasions">ホワイトスペースや引用符ベースの回避</a>が生じにくく、パフォーマンスにすぐれるためです。つまり、Win-Winです。
 <h2>別のレポジトリにあるルールを追加できる？</h2>あなたのKibanaロールに適切な権限がある限り、お使いの環境の検知エンジンに自由にルールを追加できます。あなたが<a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>レポジトリにルールを追加したいと考える場合、答えは…「<a href="/jp/blog/it-depends">状況によります</a>」です。Elasticライセンスに基づいてサブライセンスできるルールであれば、問題ありません。大抵の場合、この要件は非常にストレートです。つまり、<code>rule.author</code>の配列にオリジナルのオーサーを保持したまま<code>NOTICE.txt</code>ファイルをアップデートすることで、オリジナルオーサーを明記すればOKです。私たちは誰かの功績を奪いたくありません。この点を徹底させるには、皆さんのご協力が必要となりますので、よろしくお願いいたします。
レポジトリでのライセンシングアプローチについて詳しくは、READMEの<a href="https://github.com/elastic/detection-rules#licensing">Licensing</a>セクションをご確認ください。
 <h2>コントリビューションを行うには？</h2>公開したいルールロジックがある場合、どのようにすればよいでしょうか。まずGitHubの<a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>へ行きましょう。ここに、レポジトリのナビゲーション、ルールの分岐やクローン、作成に関する詳細な指示が記載されています。バルク編集用のコマンドラインツールや、新規のルール作成を手軽にするコマンドラインツールも提供されています。レポジトリに新規のルールを追加する準備ができたら、<code>python -m detection_rules create-rule</code>を実行します。すると、必要なメタデータを提供するよう求められます。可能な場合は、CLIを使用することが推奨されています。これは、別のルールやテンプレートのTOMLファイルのコンテンツを再利用する場合に、コピー＆ペーストによるエラーを軽減できるためです。
ルールの状態に問題がなければ、コマンド<code>python -m detection_rules test</code>を実行してローカルでのユニットテストを実施し、構文や使用スキーマなどを検証します。次にプルリクエストを作成し、インテリジェンス＆分析チームがコントリビューションのレビューを実施します。チームから何らかの変更リクエストがある場合、チームが共同で作業し、推奨される変更内容を作成します。&nbsp;
ルールのアイデアを思いついたが、独力で作成するよりもElasticチームと協働したり、フィードバックが欲しいという場合は、ぜひ<a href="https://github.com/elastic/detection-rules/issues/new/choose">New&nbsp;Rule</a>にissueを作成してみてください。私たちElasticチームは、ルール作成の手助けや、ブレインストーミングも積極的に行っています。
詳しくは、<a href="https://github.com/elastic/detection-rules/tree/main/CONTRIBUTING.md">contribution</a>ガイドをご参照ください。
 <h2>今後の見通し</h2>Elasticセキュリティの新しいルールレポジトリとワークフローへようこそ。チーム一同、皆さんからのコントリビューションを大歓迎しています。あなたの名前を<code>rule.author</code>フィールドで拝見できる日が楽しみです。この検知ルールレポジトリはElasticセキュリティの他の領域と共に進化を続けており、私たちも今後のエキサイティングな展開に期待しています。
EQLの開発の進捗状況に関心がおありの方は、こちらの<a href="https://github.com/elastic/elasticsearch/issues/49581">GitHub issue</a>のsubscribeがおすすめです。また、Elasticsearchチームの最新情報が更新されている<a href="/guide/en/elasticsearch/reference/master/eql.html">ドキュメント</a>をご覧いただくこともできます。
ルールの作成や、GitHubの新しい<a href="https://github.com/elastic/detection-rules">検知ルール</a>レポジトリの使い方に関してフィードバックやご質問がおありの場合は、GitHubで<a href="https://github.com/elastic/detection-rules/issues/new/choose">issueを作成</a>していただくか、<a href="https://discuss.elastic.co/c/security">ディスカッションフォーラム</a>にdetection-rulesタグをつけてご投稿ください。併せて、<a href="http://ela.st/slack">Elastic Slack Community</a>の#detection-rulesチャンネルでご連絡いただくことも可能です。

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic Security opens public detection rules repo

Elasticセキュリティ、検知ルールの公開レポジトリをオープン

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Senior Security Research Engineer

Ross Wolf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、上記で提供された連絡先に<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">特定の通知</a>が送信されることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシーポリシー</a>をご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.

GDPR Text + Google Cloud

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。このフォームを送信することにより、Elasticが私の連絡先情報をGoogle Cloudに共有することに同意します。また、Elasticが私に食材パッケージを発送する目的で私の情報をベンダーに提供することにも同意します。

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

送信することにより、Elasticの<a href="/jp/legal/serverless-preview-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

送信することにより、<a href="/jp/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud利用規約</a>に同意したものとみなされます。個人情報は<a href="/jp/legal/privacy-statement">Elasticのプライバシーポリシー</a>に基づいて取り扱われます。

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

送信することにより、Elasticの<a href="/jp/legal/terms-of-use" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

このページのコンテンツは、選択された言語ではご利用いただけません。Elasticでは現在、コンテンツをさまざまな言語でご利用いただけるよう取り組んでいます。お使いの言語が準備されるまでお待ちくださるようお願いいたします。

Author

Articles by

Watch now (no PT)

Watch now

See all top stories

すべてのトップストーリーを見る

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Search Integrations

All Solutions

Video for

See when this webinar starts in my time zone

現在のタイムゾーンでこのウェビナー開始時間を見る

Register to Watch

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

他の予定と重なってしまった…という場合も、問題ありません。参加登録されると、録画配信をご利用いただけます。関連コンテンツのご案内もメールでお届けします。

Author

Articles by Ross Wolf

Senior Security Research Engineer, Elastic

Elasticセキュリティ、検知ルールの公開レポジトリをオープン