SIEM ルールチューニング.

誤検知を減らし、盲点を埋め、組織の脅威モデルに合わせるために、SIEM の検知ルールを継続的に調整する運用プロセス。 サイバーセキュリティの 防御と運用 カテゴリに属します。

誤検知を減らし、盲点を埋め、組織の脅威モデルに合わせるために、SIEM の検知ルールを継続的に調整する運用プロセス。

SIEM ルールチューニングは、Splunk、Microsoft Sentinel、Google Chronicle、Elastic Security などのプラットフォームに搭載された相関検索、しきい値、除外条件、エンリッチメントを継続的に磨き込む運用上の取り組みです。デフォルトのルールはアセットの重要度、業務時間、正規の運用ツールといったローカルな文脈を考慮していないため、実環境では大量のノイズを発生させます。チューニングでは、アナリストのフィードバック、MITRE ATT&CK によるカバレッジマッピング、Detection Engineering のプラクティス(バージョン管理、ユニットテスト、パープルチーム検証)、信号対雑音比、MTTD、誤検知率といった指標を組み合わせます。うまく実施すれば SOC の効率と分析者の負担に大きな改善をもたらし、逆に手抜きをすると攻撃者に突かれる盲点を残します。

SIEM ルールチューニング に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: 検知チューニング, ユースケースチューニング。