security-detection-rule-management は何をしますか？
Elastic Security 検知ルール（SIEM およびエンドポイント）の作成、チューニング、管理を行います。誤検知、例外、新たなカバレッジ、ノイズの多いルール、Kibana API 経由でのルール管理に使用します。
概要
このスキルにより、ユーザーは Elastic Security の検知ルールをプログラムで操作できます。主な機能は以下の通りです：
- ルールの作成：Kibana API を使用して新しい検知ルールを作成
- ルールの有効化/無効化：ルールの状態を変更
- 例外の追加：誤検知を減らすための例外をルールに追加
- ルールのエクスポート/インポート：ルール定義のバックアップと移行
- ルールのテスト：特定のデータに対してルールが正しく動作するかを確認
前提条件
- Elastic Stack（Elasticsearch と Kibana）へのアクセス
- Kibana API キーまたは認証情報
- 必要な権限：
manage_securityまたはmanage_detection_rules
使用方法
ルールの作成
{
"name": "新しい検知ルール",
"description": "このルールは特定のパターンを検出します",
"type": "query",
"query": "event.type: malicious",
"interval": "5m",
"severity": "high"
}
ルールの有効化
curl -X POST "${KIBANA_URL}/api/detection_engine/rules" \
-H "kbn-xsrf: true" \
-H "Authorization: ApiKey ${API_KEY}" \
-H "Content-Type: application/json" \
-d '{"rule_id": "rule-123", "enabled": true}'
例外の追加
{
"rule_id": "rule-456",
"exceptions": [
{
"field": "source.ip",
"operator": "included",
"value": "10.0.0.0/8"
}
]
}