PhishERルールの作成と管理

PhishERコンソールのルールとは、PhishER受信箱のメッセージを自動的に処理し、タグ付けするための論理式です。割り当てられたタグがトリガーになって、PhishERによってメッセージに対してアクションが実行されます。[ルール]（Rules）タブからルールを作成できます。アクションを作成する場合は、「PhishERアクションの作成と管理方法」の記事を参照してください。

[ルール]（Rules）タブには、カスタムルールとシステムルールの2つのタイプのルールがあります。カスタムルールは、Yaraルールエディタで作成できるルールです。システムルールは、KnowBe4が提供するデフォルトのルールです。[ルール]（Rules）タブには、グローバル変数も含まれます。グローバル変数を作成すると、同じ文字列がある複数のルールで使用できます。グローバル変数を更新すると、その文字列を含む全てのルールを更新できます。

ルールの作成

PhishERコンソールでカスタムルールを作成し、PhishER受信箱に転送されたメッセージを処理できます。ルールを作成する場合、ベーシックエディタまたはアドバンスドエディタのいずれかを使用できます。全てのカスタムルールは、YARA（Yet Another Recursive/Ridiculous Acronym）の論理に従っている必要があります。YARAは、マルウェアサンプルを識別および分類するために使用するツールです。

ルールを作成するには、以下のステップに従って操作します。

1. PhishERコンソールにログインします。
2. ページ左側のサイドバーから、[ルール]（Rules）タブを選択し、[ルールリスト]（Rules List）ページを開きます。

3. ページ右上隅の[新規ルール]（New Rule）ボタンをクリックすると、[ルールの詳細]（Rule Details）ページが表示されます。

   注：PhishERが、ニーズの説明に基づいて自動的にルールを生成するようにするには、「YARAルールジェネレーターを使用したルールの作成」セクションを参照してください。

   

4. [名前]（Name）フィールドに、ルールの一意の名前を入力します。ルールの機能が簡単に分かるような名前を入力すると便利です。数字で始まる名前、64文字を超える名前は使用できません。また、YARAのドキュメント「YARAルールの記述」に記載されているキーワードも名前に使用できません。
5. （オプション）[説明]（Description）フィールドに、ルールの説明を入力します。ベストプラクティスとして、このフィールドにはルールの機能についての説明を入力することをお勧めします。説明の長さは、64文字を超えることはできません。
6. [タグの編集]（Edit Tags）セクションに、メッセージがこのルールに一致する場合にメッセージに追加するカスタムタグを追加します。タグを追加するには、[新しいタグの追加]（Add new tag）をクリックし、タグの名前を入力します。次に、[新しいタグの追加]（Add new tag）フィールドの外側をクリックし、タグを作成します。
7. [対象の選択]（Choose target） ドロップダウンメニューから、ルールを適用または実行するメッセージの部分を選択します。選択できる対象は、[元のメール]（Raw）、[ヘッダー]（Headers）、[本文]（Body）、[添付ファイル]（Attachments）のいずれかです。デフォルトでは、[元のメール]（Raw）が選択されます。
8. [YARAルールエディタ]（Yara Rule Editor）セクションで、ベーシックエディタまたはアドバンスドエディタのいずれかを使用してルールを記述します。詳細については、以下のサブセクションを参照してください。

ベーシックエディタを使用したルールの作成

ベーシックエディタでは、YARAルールの論理を全て記述せずに、カスタムルールを作成できます。文字列の値を入力し、ルールの条件を選択すると、ベーシックエディタが入力した内容を処理して、ルールの論理を作成します。[ベーシックエディタ]（Basic Editor）タブを使用してルールを作成する方法については、以下のスクリーンショットとリストを参照してください。

1. [ベーシックエディタ]（Basic Editor）：このタブを選択すると、ルールの作成に使用できるオプションが表示されます。
2. [文字列の作成]（Create Strings）：条件を作成するときに使用する文字列を作成および定義します。詳細については、「ベーシックエディタで文字列や条件を作成する方法」の記事を参照してください。
3. [新しい文字列]（New String）：このボタンをクリックすると、ルールに文字列が追加されます。1つのルールに、最大5つの文字列を作成できます。
4. [条件の作成]（Create Conditions）：定義した文字列の関係性を選択し、条件を作成します。これらの条件では、ルールの影響を受けるメッセージを指定できます。詳細については、「ベーシックエディタで文字列や条件を作成する方法」の記事を参照してください。以下のオプションを選択できます。
   • [定義したいずれかの文字列に一致]（Match any of the defined strings）：このオプションを選択すると、定義したいずれかの文字列と一致するメッセージを検出します。
   • [定義した全ての文字列に一致]（Match all of the defined strings）：このオプションを選択すると、定義した全ての文字列と一致するメッセージを検出します。
   • [カスタム条件]（Custom conditions）：このオプションを選択すると、カスタム条件に一致するメッセージを検出します。
5. [新しい条件グループ]（New Condition Group）：[カスタム条件]（Custom conditions）が選択されている場合、このボタンをクリックすると、メッセージにルールを適用するために満たさなければならないカスタム条件を作成できます。

6. [ルールを保存]（Save Rule）：このボタンをクリックすると、ルールが保存されます。ルールは、[ルールリスト]（Rules List）ページの[カスタムルール]（Custom Rules）サブタブに表示されます。ルールを保存した後、ルールの[ステータス]（Status）列の下にあるトグルボタンをオンにすると、ルールを有効にできます。次に、ページ右上にある[変更を適用]（Apply Changes）ボタンをクリックします。

   

7. [受信箱にルールを適用]（Apply Rule to Inbox）：このボタンをクリックすると、受信箱にある全てのメッセージに対してルールが実行されます。このオプションを使用するには、少なくとも1つのメッセージがルールとプレビュールールの条件に一致する必要があります。

アドバンストエディタを使用したルールの作成

アドバンスドエディタでは、サポートなしでYARAルールの論理を記述できます。アドバンストエディタでルールを編集すると、そのルールはベーシックエディタでは編集できなくなります。YARAルールの論理を使用したルールの記述方法については、「YARAルールの記述方法」の記事を参照してください。[アドバンスドエディタ]（Advanced Editor）タブを使用してルールを作成する方法については、以下のスクリーンショットとリストを参照してください。

1. [アドバンスドエディタ]（Advanced Editor）：このタブを選択すると、コードブロックのセクションが表示され、YARAルールの論理でルールを記述できます。

2. [ルールを保存]（Save Rule）：このボタンをクリックすると、ルールが保存されます。ルールは、[ルールリスト]（Rules List）ページの[カスタムルール]（Custom Rules）サブタブに表示されます。ルールを保存した後、ルールの[ステータス]（Status）列の下にあるトグルボタンをオンにすると、ルールを有効にできます。次に、ページ右上にある[変更を適用]（Apply Changes）ボタンをクリックします。

   

3. [受信箱にルールを適用]（Apply Rule to Inbox）：このボタンをクリックすると、受信箱にある全てのメッセージに対してルールが実行されます。このオプションを使用するには、少なくとも1つのメッセージがルールとプレビュールールの条件に一致する必要があります。

YARAルールジェネレーターを使用したルールの作成

YARAルールジェネレーターを使用して、ルールが実行する操作を記述し、カスタムルールを作成できます。ルールの検出要件を入力すると、YARAルールジェネレーターは入力した内容を処理して、ルールの論理を作成します。[YARAルールジェネレーター]（YARA Rule Generator）タブを使用してルールを作成するには、以下のステップに従って操作します。

ルールを作成するには、以下のステップに従って操作します。

1. PhishERコンソールにログインします。
2. ページ左側のサイドバーから、[ルール]（Rules）タブを選択し、[ルールリスト]（Rules List）ページを開きます。

3. ページ右上の[新規AIルール]（New AI Rule）ボタンをクリックすると、[ルールの詳細]（Rule Details）ページが表示されます。

   

4. [検出要件を入力してください]（Describe your detection requirements）に作成するルールの説明を入力します。

   

5. [ルールの生成]（Generate Rule）をクリックします。YARAルールジェネレーターは、入力された検出要件を、名前、説明、タグ、完全なYARA構文を含むPhishERルールに変換します。

   

6. 必要に応じて生成されたルールを編集できます。次に、[ルールを保存]（Save Rule）をクリックしてルールを保存します。

ルールのプレビュー

新しいルールを保存する前に、ルールがPhishERのメッセージにどのように影響するかをプレビューすることをお勧めします。ルールをプレビューする場合は、以下のステップに従って操作します。

1. PhishERコンソールにログインします。
2. ページ左側のサイドバーから、[ルール]（Rules）タブを選択し、[ルールリスト]（Rules List）ページを開きます。
3. ページ右上隅にある[新規ルール]（New Rule）ボタンをクリックするか、[ルールリスト]（Rules List）ページでルールを選択します。[新規ルール]（New Rule）ボタンをクリックすると、[ルールの詳細]（Rule Details）ページが表示されます。
4. [YARAルールエディタ]（YARA Rule Editor）セクションを使用して、YARAルールを作成または修正します。

5. ルールを保存する前に、[プレビューを実行]（Run Preview）ボタンをクリックします。ルールに一致した受信箱にあるメッセージのリストが表示されます。

   注：PhishERは、ルールプレビューのために最大で直近の1000件のメッセージのみを確認します。ルールに一致するメッセージが直近の1000件のメッセージにない場合、そのメッセージはプレビューに表示されません。
6. 以下の条件オプションを変更して、プレビューリストを更新できます。
   • [保存されたクエリ]（Saved Query）（オプション）：カスタムの[保存されたクエリ]（Saved Query）を選択すると、そのクエリにあるメッセージにルールがどのように影響するのかを確認できます。
   • [最近7日間]（Last 7 days）：プレビューするメッセージの日付範囲を選択します。[最近24時間]（Last 24 hours）、[最近7日間]（Last 7 days）、および[最近30日間]（Last 30 days）を選択できます。デフォルトでは、[最近7日間]（Last 7 days）が選択されます。
   • [一致したメッセージ]（Matched Messages）：ルールをプレビューするときに、プレビューリストでメッセージをフィルタリングする追加のオプションが表示されます。
   • [一致したメッセージ]（Matched Messages）（デフォルト）：このオプションを選択すると、PhishERの[受信箱]（Inbox）にあるメッセージのうち、ルールの条件に一致したメッセージだけが表示されます。
   • [一致しなかったメッセージ]（Unmatched Messages）：このオプションを選択すると、PhishERの[受信箱]（Inbox）にあるメッセージのうち、ルールの条件に一致しないメッセージだけが表示されます。

   • [全てのメッセージ]（All Messages）：このオプションを選択すると、PhishERの[受信箱]（Inbox）にある全てのメッセージが表示されます。[一致]（Matched）列には、メッセージがルールに一致した（true）か、一致しなかった（false）かが表示されます。

     

     注：プレビューリストに表示されたメッセージを開く場合は、新しいルールを失わないように、新しいタブでメッセージを開くことをお勧めします。

   • (オプション）プレビューリストの全てのメッセージに対してこのルールを実行する場合は、[現在一致しているメッセージにルールを適用]（Apply Rule to Current Matches）ボタンをクリックします。

     

ルールの編集

カスタムルールを編集するには、[ルールリスト]（Rules List）ページでルールの[名前]（Name）または [説明]（Description）をクリックして、[ルールの詳細]（Rule Details）ページを開きます。システムルールを編集する場合は、カスタムルールを新規作成します。次に、システムルールの論理をYara Rule Editor（Yaraルールエディタ）のカスタムルールにコピーアンドペーストします。システムルールの詳細については、この記事の「システムルールの使用」のセクションを参照してください。

グローバル変数の使用

[ルールリスト]（Rules List）ページの[グローバル変数]（Global Variables）サブタブから、グローバル変数を作成し、作成したグローバル変数を表示できます。同じ文字列がある複数のルールを使用する場合、グローバル変数を使用してこれらの文字列を全て一度に更新できます。

ベーシックエディタまたはアドバンスドエディタを使用して、グローバル変数を含む文字列を作成して、ルールにグローバル変数を追加できます。グローバル変数を編集すると、グローバル変数を含む全てのルールが自動的に更新されます。

グローバル変数を作成するには、以下のステップに従って操作します。

1. PhishERコンソールにログインします。
2. ページ左側のサイドバーから、[ルール]（Rules）タブを選択し、[ルールリスト]（Rules List）ページを開きます。

3. [グローバル変数]（Global Variables）サブタブに移動します。

   

4. ページの右上隅にある[新しい変数]（New Variable）ボタンをクリックします。このボタンをクリックすると、[グローバル変数の作成]（Create Global Variable）ページが表示されます。

5. [名前]（Name）フィールドに、グローバル変数の名前を入力します。

   

6. [値]（Value）フィールドに、グローバル変数の値を入力します。

   注：グローバル変数は、他の変数や文字列に適用される同じ要件を満たす必要があります。数字で始まる値、255文字を超える値は使用できません。また、YARAのドキュメント「YARAルールの記述」に記載されているキーワードも値には使用できません。
7. [保存]（Save）をクリックして、グローバル変数を保存します。グローバル変数は、[ルールリスト]（Rules List）ページの[グローバル変数]（Global Variables）サブタブに表示されます。

[ルールリスト]（Rules List）ページでは、グローバル変数の作成日や最終更新日など、グローバル変数に関する情報を確認できます。また、グローバル変数の値を編集するには、変数名をクリックして[グローバル変数の編集]（Edit Global Variable）画面を表示します。既存のグローバル変数の名前は変更できません。グローバル変数を削除する場合は、ゴミ箱のアイコンをクリックします。

グローバル変数を使用したルールの作成方法については、「YARAルールのベーシックエディタで文字列や条件を作成する方法」の記事を参照してください。

システムルールの使用

PhishERコンソールでは、メッセージを処理してタグ付けするのに役立つシステムルールを利用できます。[ルールリスト]（Rules List）ページの[システムルール]（System Rules）サブタブで、PhishERコンソールでこれらのルールを有効にできます。デフォルトでは、システムルールは無効になっています。

システムルールの詳細については、以下のスクリーンショットとリストを参照してください。

QRコードデコーダータグ

QRコードデコーダーはPhishERの機能で、コンソールのバックグラウンドで動作し、報告されたメールにあるQRコードを自動的にスキャンします。QRコードデコーダーがメッセージの本文でQRコードを検出すると、QRコードに埋め込まれているURLを抽出して、メッセージにタグを割り当てます。PhishERの受信箱の[メッセージの詳細]（Message Details）ページの[ドメインとURL]（Domains and URLs）に抽出されたURLが表示されます。QRコードデコーダータグの詳細については、以下のリストを参照してください。

ルールリストの表示

[ルールリスト]（Rules List）には、全てのルールとグローバル変数が表示されます。[ルールリスト]（Rules List）ページの詳細については、以下のスクリーンショットとリストを参照してください。

1. [名前]（Name）：この列には、ルールに割り当てられた名前が表示されます。
2. [説明]（Description）：この列には、ルールの説明が表示されます。
3. [ルールの対象]（Rule Target）：この列には、ルールを実行する対象となるメッセージの部分が表示されます。例えば、メールのヘッダーをルールの対象にできます。

4. [ステータス]（Status）：この列には、ルールの現在のステータスが表示されます。ルールは、有効または無効にすることができます。ルールのステータスを変更するには、トグルボタンをクリックします。

   注：PhishERの[受信箱]（Inbox）のメッセージに対してルールを実行するためには、ルールが有効になっている必要があります。
5. [更新日時]（Updated At）：この列には、ルールが最後に更新された日時が表示されます。
6. [一致回数]（Matched Count）：この列には、PhishERの[受信箱]（Inbox）のメッセージがルールと一致した回数が表示されます。
7. [タグ]（Tags）：この列には、メッセージに追加された全てのタグが表示されます。タグは、メッセージがルールに一致した場合にのみ、メッセージに追加されます。
8. [ステータス別にフィルタ]（Filter by Status）：このドロップダウンメニューをクリックすると、有効または無効なルールを選択して、ルールをフィルタリングして表示できます。