Edytor
Detections › New rule otwiera edytor. Składa się z sześciu sekcji:
| Sekcja | Co ustawiasz |
|---|---|
| Rule type | Custom query (Sigma), search query (XQL), threshold, event query (EQL), correlation, sequence, behavioral albo indicator match. |
| Definition | Źródło danych, pole, według którego grupowane są dopasowania, oraz zapytanie, etapy albo wybór wskaźników. |
| Exceptions | Telemetria, do której reguła nigdy nie powinna pasować. Zobacz Wyjątki i wyciszenia. |
| About | Nazwa, opis, ważność, ocena ryzyka i techniki ATT&CK. |
| Schedule | Jak często reguła jest uruchamiana i jak daleko wstecz sięga. |
| Response automation | Playbook uruchamiany dla każdego alertu i to, czy reguła startuje jako włączona. |
Edytor sprawdza zapytanie na bieżąco i pokazuje, czy się kompiluje. Reguła, która się nie kompiluje, nigdy nie zadziała.
Źródło danych
Wybierz źródło, dla którego napisano regułę, na przykład tworzenie procesów w Windows albo Okta. Gdy opcja Narrow the query to this source jest włączona, reguła czyta tylko tę telemetrię. Działa wtedy szybciej i nie zadziała na źródle, dla którego nie została napisana.
Reguły zapytań
Reguła typu search query korzysta z języka strony Logs, ale bez potoków:
event.module:sysmon event.code:1
process.command_line:*-enc* process.executable:*\powershell.exe
z grupowaniem według host.name. Do reguł typu „co najmniej N” użyj typu threshold.
Reguły sequence
Etapy mają ustaloną kolejność. Każdy etap ma własne zapytanie, a wszystkie muszą pasować do tej samej wartości pola Correlate on w oknie czasowym i w podanej kolejności:
event.type:logon_failedevent.type:logon_successevent.type:service_installed
z korelacją po user.name w ciągu 30 minut.
Reguły correlation
Kilka warunków spełnionych w dowolnej kolejności, każdy z minimalną liczbą zdarzeń. Przydatne, gdy źródła dostarczają dane z różnym opóźnieniem.
Podgląd
Preview matches uruchamia regułę na ostatnim oknie czasowym i pokazuje, ile zdarzeń pasuje, ilu encji i hostów dotyczą oraz ile alertów wywołałaby reguła, wraz z najczęstszymi encjami. Skorzystaj z tego przed włączeniem reguły.
Włączanie
Zdecyduj, czy nowa reguła ma startować jako włączona. Reguły zaimportowane z Sigma zawsze startują jako wyłączone. Włączenie i wyłączenie trafiają do dziennika audytu.
Styl
- Jedno zachowanie na regułę. Reguły, które wykrywają trzy rzeczy naraz, dają alerty, których nikt nie umie nazwać.
- Grupuj według encji, która rzeczywiście odpowiada za zdarzenie, a nie tej, która jest wygodna.
- Ustaw ważność według znaczenia dopasowania, a nie według jego rzadkości.
- Pisz opis dla osoby, która będzie czytać alert, i podaj, co sprawdzić najpierw.