dt-sec-semantic-mapping

dt-sec-semantic-mapping

新しいセキュリティ統合向けに、セマンティック辞書に準拠したマッピングを作成し、検証します。

目的

次のことをユーザーが希望する場合に、このスキルを使用します。

• ベンダー API の出力から Dynatrace の security.events フィールドへのマッピングを提案する（ワークフロー A）。
• 既存のマッピングについて、次のいずれかを基に完全性と品質を検証する。
  • ローカルのベースラインサンプルとセマンティック辞書（ワークフロー B1 — 静的なオフライン検証）、または
  • ライブテナントアクセスを介したライブテナントデータ（ワークフロー B2 — ランタイム検証）
• セマンティック辞書およびローカルの参照情報との相違点を明らかにする。
• 実行可能なマッピングの改善案を得る。

セマンティック辞書

セマンティック辞書（SD）は、security.events の正規フィールドセットを定義します。正規の参照情報（ローカルとライブのデータソース、クエリ可能な Grail テーブル、クエリ実行の判断マトリックス、権限ルール（不一致がある場合はライブ SD を優先））については、references/semantic-reference.md を参照してください。

必須入力

マッピングを生成または検証する前に、必ず references/intake-and-constraints.md の入力チェックリストを実行してください。入力が不完全な場合は、部分的なドラフトを作成して作業を続けますが、不足している根拠と確信度の制限を明示してください。

ベースラインのソース（自己完結型）

ベースライン資料はすべて、このスキル内にあります。

• samples/ — すべての検出結果タイプとプロバイダーを網羅した実際の統合ペイロードです。一次参照情報（SD、data-model-notes、known-discrepancies、validation-rules、object-type-expectations）で特定の疑問が解決しない場合のフォールバックとして参照します。すべてのワークフロー実行で定型的に参照するものではありません。
• references/semantic-reference.md — SD の参照情報、フィールド分類、イベントタイプ、プロバイダー分類、エンティティのスコープ
• references/validation-policy-and-reporting.md — 検証ルール、許容される相違点、レポートテンプレート
• references/intake-and-constraints.md — 入力チェックリスト、出力規約、object.type の要件、OpenPipeline の制約

イベントタイプの網羅要件

マッピングでは、検出結果の分類ごとに適切な event.type 値のセットを必ず指定してください。検出統合はプッシュ型で、スキャンサイクルを使用しません。検出にスキャンイベントを決して要求しないでください。

網羅的な表、重大度ルール、検出クラスのマッピングが誤って *_SCAN イベントを出力する場合の代替分類の方法については、validation-policy-and-reporting.md § Event-Type Coverage を参照してください。

ワークフロー

このスキルは 3 つのモードで動作します。コンテキストに基づいてモードを判定してください。

モード	入力	手順の参照先
ワークフロー A — 新しいマッピングの提案	ベンダー API の生ペイロードのみ	references/mapping-workflow.md § Workflow A（フェーズ 1：マッピングテーブル → ユーザーの承認 → フェーズ 2：サンプル JSON）
ワークフロー B1 — 静的検証	既存のマッピング + ベンダー API サンプル	references/mapping-workflow.md § Workflow B — 入力モード（最終取り込み済み／理論上）を分類し、ルールを適用して、差分を強調したテーブルを作成
ワークフロー B2 — ランタイム検証	既存のマッピング + ライブテナントアクセス	references/runtime-validation.md — まず security（AppSec）events supporting スキルを読み込み（必須のステップ 0）、次にクエリパックを実行して、検証サマリーテーブルを作成

すべてのワークフローは、references/intake-and-constraints.md の出力規約および references/validation-policy-and-reporting.md のレポートテンプレートに従います。検証ルール（イベントタイプの網羅、必須フィールド、スキャン参照、名前空間の要件、値と型のチェック、ベンダー名前空間の重複）は、references/validation-policy-and-reporting.md に記載されています。

許容される不一致のポリシー

許容される SD の逸脱とベンダー名前空間のパターンの正式な一覧については、references/validation-policy-and-reporting.md を参照してください。この一覧に記載されたフィールドについて、重大または主要な問題として報告しないでください。（ローカルの参照資料にもライブ SD にも存在しない）真に未知のフィールドについては、「references/semantic-reference.md を参照してください」、references/validation-policy-and-reporting.md に従って確認する必要があります。

対象範囲

このスキルの対象は次のとおりです。

• マッピング候補の提案と改良（ワークフロー A）。
• ローカルのベースライン例とセマンティック辞書に対する静的検証（ワークフロー B1）。
• ライブテナントデータに対するライブテナントアクセスを介したランタイム検証（ワークフロー B2）。
• セマンティック辞書への準拠チェック。
• ギャップ分析と改善案の提示。

このスキルの対象外は次のとおりです。

• ライブの取り込みパイプラインのデプロイ。
• ランタイム DQL のパフォーマンスベンチマーク。
• テナント側の取り込みに関するトラブルシューティング。

参照資料

• references/semantic-reference.md — SD の参照情報とデータモデルに関する注記：ローカルソース、ライブ（クエリ可能）ソース、DQL パターン、クエリ実行の判断基準、権威ある情報源のルール、フィールドの分類
• SD へのフルアクセスパターンと Grail テーブルのドキュメントを扱うスキル — security.events と Grail テーブルに対する DQL クエリパターン
• セマンティック辞書（公開ドキュメント）
• references/intake-and-constraints.md — 受付チェックリスト、出力要件、OpenPipeline の制約、object.type の名前空間に関する想定事項
• references/mapping-workflow.md — マッピング候補の作成と改良方法
• references/validation-policy-and-reporting.md — 検証ルール一式、既知の不一致、不一致レポートのテンプレート
• references/runtime-validation.md — 任意の実環境クエリ検証パック