検出ルールガイド

リアルタイムコーチングでは、接続しているセキュリティベンダー向けの[検出ルール]を作成および管理できます。検出ルールは、統合されたベンダーから提供されるデータを使用して、どのようなユーザーのふるまいを追跡するかを定めたものです。例えば、ユーザーが禁止されているWebサイトにアクセスしたとき、悪意のある添付ファイルをダウンロードしたとき、また、フィッシングリンクをクリックしたときなどを検出しなければならない場合があります。ユーザーが検出ルールをトリガーした場合、そのイベントはユーザーのタイムラインに表示されます。

KnowBe4は、統合されたベンダーのデフォルトポリシーに基づくシステム検出ルールを提供します。これらのルールはデフォルトで有効になり、特に設定する必要はありません。また、カスタムベンダーポリシー用の カスタム検出ルールを作成することもできます。

リアルタイムコーチングの一般情報については、「リアルタイムコーチングの概要」の記事を参照してください。

カスタム検出ルールの作成

リアルタイムコーチングでカスタム検出ルールを使用するには、統合したセキュリティベンダーのプラットフォームでそのルールに対応するカスタムポリシーを最初に設定する必要があります。セキュリティベンダー向けのカスタムポリシーの設定方法については、各ベンダーの製品ドキュメントを参照するか、サポートチームにお問い合わせください。

セキュリティベンダー向けのカスタムポリシーを設定したら、以下のステップに従って、それに対応するカスタム検知ルールを作成できます。

1. KnowBe4コンソールのセキュリティ意識トレーニング（SAT）にログインします。
2. [コーチング] > [検出ルール]に移動します。
3. ページの右上にある[+ 検出ルールの作成]を選択します。[新しい検出ルールの作成]ページが開きます。

4. [検出ルールの詳細]セクションのフィールドに情報を入力します。詳細については、以下のスクリーンショットとリストを参照してください。

   

   1. [名前]：検出ルールの名前を入力します。

   2. [ベンダー]：検出ルールのベンダーを選択します。

      注：KnowBe4 SATベンダーは、全てのお客様にデフォルトで統合されています。SAT Advancedサブスクリプションをご利用のお客様は、別のサードパーティーベンダーを検出ルールに統合することもできます。
   3. [カテゴリ]：検出ルールのカテゴリを選択します。
   4. [リスクレベル]：検出ルールのリスクレベルを選択します。
   5. [説明]：検出ルールの説明を入力します。例えば、ルールの目的を説明したり、他の管理者が把握しておくべき情報を説明に含めることができます。

5. 検出ルールに[検出ルールの条件]を追加します。詳細については、以下のスクリーンショットとリストを参照してください。

   

   1. [メタデータタイプ]：この検出ルールで確認する、セキュリティベンダーのメタデータタイプを選択します。
   2. [演算子]：[メタデータコンテンツ]に対して[メタデータタイプ]を照合する際に使用する演算子を選択します。これらの演算子の詳細については、以下の「検出ルールの演算子」のセクションを参照してください。
   3. [メタデータコンテンツ]：この検出ルールで確認する値を選択します。[メタデータコンテンツ]の値は、[メタデータタイプ]によって決定します。
   4. [条件を保存]：検出ルールに条件を追加します。最初の条件を作成した後で、[別の条件を追加]ボタンを選択して別の条件を追加できます。
6. [検出ルールのしきい値]を選択します。
7. [SecurityTipのテキスト]を選択します。

8. [SecurityTipのメディア]を選択します。

   注：SecurityTipがユーザーのデフォルトのトレーニング言語でGIFとして利用できない場合、SecurityTipは画像として送信されます。ローカライズされたSecurityTipが利用できない場合には、英語で表示されます。

9. [ユーザーフィードバック]の有効化はオプションですが、有効にすることをおすすめします。

   ヒント：ユーザーがSecurityTipsを受信し、読んだことを確認するために、[受信の確認]を有効にすることをおすすめします。

10. [SecurityTipのプレビュー]：SecurityTipのテキスト、メディア、ユーザーフィードバックの選択をプレビューします。

    

    ここから、[テストを自分に送信]機能を使って、実際に配信されるSecurityTipをテストすることもできます。

    注：選択した[配信方法]または[別の配信方法]がメールの場合、[テストを自分に送信]で指定するメールアドレスは、KnowBe4コンソールで有効なユーザーのアドレスである必要があります。
11. [保存]を選択して、変更を保存してルールを作成します。

検出ルールの演算子

検出ルールの条件を作成するときには、以下の演算子を使用できます。

検出ルールの管理と編集

検出ルールを管理および編集するには、[コーチング] > [検出ルール]に移動します。

[検出ルール]サブタブのオプションの詳細については、以下のスクリーンショットとリストを参照してください。

1. フィルタ：[ステータス]、[タイプ]、統合した[ベンダー]、および[カテゴリ]で検出ルールをフィルタリングします。特定の検出ルールを検索することもできます。
2. トグル：検出ルールを有効または無効にします。
3. 目のアイコン：このアイコンを選択すると、[検出ルールの表示]ページが開き、システム検出ルールの詳細が表示されます。
4. 点が３つ並んでいるアイコン：ドロップダウンメニューが開き、以下のオプションが表示されます。

   1. [編集]：[検出ルールの編集]ページが開き、必要に応じてカスタム検出ルールを編集できます。グレーアウトされているオプションは変更できません。ページの左下にある[保存]ボタンを選択して、変更内容を保存します。

      注：システムルールから検出ルールが複製されている場合、[デフォルト設定の復元]ボタンを選択して、ルールをデフォルト設定に戻すこともできます。
   2. [クローン]：[検出ルールのクローン作成]ページが開き、ルールを変更して、カスタム検出ルールとして保存できます。
   3. [削除]：カスタム検出ルールを削除します。システム検出ルールは無効にすることができますが、削除することはできません。
5. [+ 検出ルールの作成]：このボタンを選択して、新しい検出ルールを作成します。

検出ルールの例

検出ルールの例は、以下のスクリーンショットを参照してください。

この検出ルールは、保存されたどちらかの条件を満たしたときにトリガーされます。この設定でこのルールをトリガーするには、ユーザーが不信なメール転送操作またはメールの一括転送を行っている必要があります。

[SecurityTipのプレビュー]セクションでは、選択したSecurityTipと、有効にした[ユーザーフィードバック]オプションを確認できます。