getCustomRulesList — тусгай дүрмүүдийн жагсаалтыг авах

Энэ арга нь таны компанийн тусгай (custom) дүрмүүдийн жагсаалтыг буцаана.

Параметрүүд

Параметр бүрийн мөр: параметр — тайлбар; хүсэлтэд орох байдал; төрөл; утгын шаардлага.

• `type` — Авах тусгай дүрмийн төрлийг заана: илрүүлэх (detection) эсвэл үл хамаарах (exclusion); Заавал биш; Integer; Боломжит утгууд:

- 1 - Илрүүлэх (Detection)
- 2 - Үл хамаарах (Exclusion)
- Анхдагч утга: 2.
- Жишээ: "type": 1

• `subtypes` — Авах дүрмүүд YARA-д суурилсан, Basic, эсвэл хоёулаа байхыг заана; Заавал биш; Array of integers; Зөвхөн type нь 1 үед ашиглаж болно. Боломжит утгууд:

- [0] - Зөвхөн Basic дүрмүүдийг авна.
- [1] - Зөвхөн YARA дүрмүүдийг авна.
- [0, 1] - Basic болон YARA дүрмүүдийг хоёуланг нь авна.
- Анхдагч утга: [0, 1].
- Жишээ: "subtypes": [1]

Ерөнхий параметрүүд

Эдгээр нь нийтийн API-ийн бүх аргад нийтлэг, ерөнхий параметрүүд юм.

• `id` — Хүсэлтэд танигч нэмж, түүнийг харгалзах хариутай холбоно. Хүлээн авагч хариуд ижил утгыг буцаадаг тул дуудлагыг хялбар хянах боломжтой; Заавал; String; Нэмэлт шаардлагагүй.

- Жишээ: "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"

• `method` — Хүсэлт илгээхэд ашиглаж буй аргын нэр; Заавал; String; Хүчинтэй аргын нэр байх ёстой.

- Жишээ: "method": "methodName"

• `jsonrpc` — Хүсэлт болон хариуд ашиглах JSON-RPC-ийн хувилбар; Заавал; String; Цорын ганц боломжит утга нь 2.0.

- Жишээ: "jsonrpc": "2.0"

• `params` — Хүсэлтийн тохиргоог агуулсан объект; Заавал; Object; Нэмэлт шаардлагагүй.

- Жишээ: "params": {...}

params объектын доор:

• `page` — Үр дүнгийн хуудасны дугаар; Заавал биш; Integer; Анхдагч утга: 1.

- Жишээ: "page": 2

• `perPage` — Нэг хуудсанд харуулах үр дүнгийн тоо; Заавал биш; Integer; Дээд хязгаар нь нэг хуудсанд 100 зүйл. Анхдагч утга: 30.

- Жишээ: "perPage": 1

Буцаах утга

Мөр бүрийн хэлбэр: шинж чанар — төрөл; тайлбар.

• `result` — Object; Тусгай дүрмүүдийн нийт тоо, одоогийн хуудас, нийт хуудасны тоо, нэг хуудсанд харуулах зүйлийн тоо болон тусгай дүрмүүдийн дэлгэрэнгүй жагсаалтыг агуулна. result хэсгийг доор үзнэ үү.

Объектууд

result

• `total` — Integer; Олдсон тусгай дүрмийн нийт тоо.
• `page` — Integer; Одоо харагдаж буй хуудас.
• `perPage` — Integer; Нэг хуудсанд харуулах зүйлийн тоо.
• `pagesCount` — Integer; Боломжит хуудасны нийт тоо.
• `items` — Array of Objects; Тусгай дүрмүүдийн дэлгэрэнгүй жагсаалт. Объект бүр дараах тохиргоог агуулна:

- id (String) - Тусгай дүрмийн ID.
- name (String) - Тусгай дүрмийн нэр.
- owner (String) - Дүрмийг анх үүсгэсэн хэрэглэгчийн нэвтрэх нэр.
- description (String) - Тусгай дүрмийн тайлбар.
- companyId (String) - Тусгай дүрэм харьяалагдах компанийн ID.
- tags (Array of Strings) - Дүрэмтэй холбогдсон шошгоны жагсаалт.
- type (Integer) - Тусгай дүрмийн төрөл. Боломжит утгууд:
- 1 - Илрүүлэх (Detection)
- 2 - Үл хамаарах (Exclusion)
- subtype (Integer) - Дүрэм YARA-д суурилсан эсвэл Basic эсэхийг заана. Боломжит утгууд:
- 0 - Basic
- 1 - YARA
- settings (Object) - Тусгай дүрэмтэй холбоотой тохиргоог агуулна. settings хэсгийг доор үзнэ үү.
- targets (Object) - Дараах шинж чанаруудаас яг нэгийг агуулна:
- companies - тусгай дүрэм хамаарах компаниудыг жагсаана
- companyId - тусгай дүрэм хамаарах компанийн ID
- endpointTags - тусгай дүрмийн чиглэсэн төгсгөлийн цэг бүрт хамгийн багадаа нэг нь оноогдсон байх ёстой төгсгөлийн цэгийн шошгоны жагсаалт
- targets хэсгийг доор үзнэ үү.

settings

Мөр бүрийн хэлбэр: шинж чанар — төрөл; тайлбар; утгын шаардлага.

• `status` — Integer; Дүрэм идэвхтэй эсэхийг заана; Basic дүрмийн боломжит утгууд:

- 0 - Дүрэм идэвхгүй.
- 1 - Дүрэм идэвхтэй.
- YARA дүрмийн боломжит утгууд:
- 0 - Дүрмийн хувьд access дээрх шалгалт (on-access scanning) идэвхгүй.
- 1 - Дүрмийн хувьд access дээрх шалгалт (on-access scanning) идэвхтэй.

• `severity` — Integer; Дүрмээр тодорхойлогдох анхааруулгын ноцтой байдлыг заана. Чухал: Үл хамаарах дүрэмд хамаарахгүй; Боломжит утгууд:

- 1 - Бага
- 2 - Дунд
- 3 - Өндөр

• `target` — String; Чиглэсэн обьектийн төрлийг заана. Чухал: YARA дүрэмд хамаарахгүй; Тусгай үл хамаарах болон илрүүлэх дүрмийн боломжит утгууд:

- process
- file
- connection
- registry
- user connection
- email
- application
- key vault
- role
- policy
- sharing link
- url
- ssh key
- launch template
- service principal
- user group
- automation account
- automation account hook
- certificate authority
- api
- bucket
- jira project
- confluence page
- Зөвхөн тусгай үл хамаарах дүрэмд боломжтой утгууд:
- flow
- bitbucket repository

• `criteriaList` — Array of Objects; Чиглэсэн target таарах ёстой үл хамаарах эсвэл илрүүлэх дэд дүрмүүдийг жагсаан дүрмийг тодорхойлно. Чухал: Энэ параметр detection талбартай холбоотой тодорхойлолтыг агуулдаггүй; тэдгээрийг filters параметрт тохируулна. Мөн энэ параметр YARA дүрэмд хамаарахгүй; Объект бүр дараах тохиргоог агуулна:

- field (String) - Нөхцөл хамаарах обьектийн шинж чанар (шалгуур).
- relation (String) - Нөхцөл биелэхийн тулд field ба value-ийн хооронд байх ёстой харьцаа.
- value - field параметрийн утгыг харьцуулах тусгай утга.
- > Тэмдэглэл: criteriaList объектын боломжит утгуудын талаар Basic дүрмийн илрүүлэх ба үл хамаарах шалгуурууд хуудсыг үзнэ үү.

• `enableAutomaticActions` — Boolean; Тусгай дүрэмд автомат үйлдэл идэвхжсэн эсэхийг заана. Чухал: Үл хамаарах дүрэм болон XDR илрүүлэх дүрэмд хамаарахгүй; YARA дүрэмд хамаарна; Тусгай дүрэмд автомат үйлдэл идэвхжсэн бол true, үгүй бол false.
• `filters` — Array of Objects. Чухал: Нэг дүрэмд зөвхөн нэг detection шүүлтүүр ашиглаж болох тул энэ нь ганц объект агуулсан массив байна; detection талбартай холбоотой үл хамаарах эсвэл илрүүлэх дэд дүрмүүдийг агуулна. Чухал: YARA дүрэмд хамаарахгүй; Массив доторх объект дараах тохиргоог агуулна:

- field (String) - Нөхцөл хамаарах обьектийн шинж чанар (шалгуур). filters параметр зөвхөн detection талбарын утгыг хүлээн авна.
- value - detection талбар (Alert name) таарах ёстой утга.
- > Тэмдэглэл: detection талбарын талаар Basic дүрмийн илрүүлэх ба үл хамаарах шалгуурууд хуудсыг үзнэ үү.

• `automaticActions` — Array of Objects; Энэ дүрмээс үүссэн EDR хэргүүдэд (incident) хийх автомат хариу үйлдлүүд болон тэдгээрийн идэвхжсэн эсэхийг заана. Чухал: Үл хамаарах дүрэм болон XDR илрүүлэх дүрэмд хамаарахгүй; YARA дүрэмд хамаарна; Объект бүр дараах тохиргоог агуулна:

- type (Integer) - Дүрэмд оноосон автомат үйлдлийн төрөл. Боломжит утгууд:
- 1 - Isolate
- 2 - Collect investigation package
- 3 - Add to Sandbox
- 4 - Kill process
- 5 - Antimalware scan
- 6 - Quarantine
- 7 - Risk scan
- enabled (Boolean) - true үед type-ээр заасан үйлдэл энэ дүрмээс үүссэн хэргүүдэд идэвхжинэ.
- settings (Object) - Тодорхой үйлдлийн төрөлд автомат үйлдлийг нарийвчлан тохируулах боломж олгоно. Үйлдлийн төрөл бүрийн талбар ба боломжит утгууд:
- type нь 4 эсвэл 6 бол:
- includeParent (Boolean) - true бол үйлдэл чиглэсэн процессын эцэг процесст (parent) мөн хамаарна.
- includeChildren (Boolean) - true бол үйлдэл чиглэсэн процессын хүүхэд процессуудад (children) мөн хамаарна.
- Чухал: type нь 4 үед includeParent болон includeChildren талбар YARA дүрэмд хамаарахгүй.
- type нь 5 бол автомат үйлдэл settings дотор мөн type (Integer) талбартай бөгөөд дараах утгын аль нэгийг авна:
- 1 - Quick scan
- 2 - Full scan

• `yaraQuery` — String; YARA дүрмийн query-г тодорхойлно. Чухал: Зөвхөн YARA дүрэмд хамаарна; Энэ утга YARA-ийн синтаксийн дүрмийг дагана.

targets

Мөр бүрийн хэлбэр: шинж чанар — төрөл; тайлбар.

• `companies` — Array of objects; Тусгай дүрэм хамаарах компаниуд. Объект бүр дараах тохиргоог агуулна:

- name (String) - Компанийн нэр.
- _id (String) - Компанийн ID.

• `companyId` — String; Тусгай дүрэм хамаарах компанийн ID.
• `endpointTags` — Array of objects; Тусгай дүрмийн чиглэсэн төгсгөлийн цэг бүрт хамгийн багадаа нэг нь оноогдсон байх ёстой төгсгөлийн цэгийн шошгонууд. Массивын объект бүр дараахыг агуулна:

- tagId (String): Төгсгөлийн цэгийн шошгоны ID.
- companyId (String): Төгсгөлийн цэгийн шошгыг эзэмшдэг компанийн ID.

Жишээ

Basic болон YARA илрүүлэх дүрмүүдийг хоёуланг нь авах:

Хүсэлт (Request):

{
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810",
    "jsonrpc": "2.0",
    "method": "getCustomRulesList",
    "params": {
        "type": 1,
        "subtypes": [
            0,
            1
        ]
    }
}

Хариу (Response):

{
  "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810",
  "jsonrpc": "2.0",
  "result": {
    "total": 2,
    "page": 1,
    "perPage": 30,
    "pagesCount": 1,
    "items": [
      {
        "id": "697350d9a38792d6380b67a2",
        "name": "customer rule customer",
        "owner": "dada@dada.com",
        "description": "description",
        "companyId": "697336d571ead2fb3b0af682",
        "tags": [
          "dddd"
        ],
        "type": 1,
        "subtype": 0,
        "settings": {
          "status": 1,
          "target": "process",
          "criteriaList": [
            {
              "field": "Process.CommandLine",
              "relation": "is",
              "value": "ddd"
            }
          ],
          "severity": 3,
          "enableAutomaticActions": true,
          "automaticActions": [
            {
              "type": 1,
              "enabled": false
            },
            {
              "type": 2,
              "enabled": false
            },
            {
              "type": 3,
              "enabled": true
            },
            {
              "type": 4,
              "enabled": true,
              "settings": {
                "includeParent": false,
                "includeChildren": false
              }
            },
            {
              "type": 5,
              "enabled": true,
              "settings": {
                "type": 1
              }
            },
            {
              "type": 6,
              "enabled": false,
              "settings": {
                "includeParentProcess": false,
                "includeChildrenProcesses": false
              }
            },
            {
              "type": 7,
              "enabled": false
            }
          ]
        },
        "targets": {
          "endpointTags": [
            {
              "tagId": "697336d571ead2fb3b0af682",
              "companyId": "697336d571ead2fb3b0af682"
            }
          ]
        }
      },
      {
        "id": "6188dfc42a1a0155e84afa57",
        "name": "API custom Rule",
        "owner": "companyAdmin",
        "description": "description test api",
        "companyId": "697336d571ead2fb3b0af682",
        "tags": [
          "test",
          "api",
          "demo"
        ],
        "settings": {
          "status": 0,
          "target": null,
          "criteriaList": null,
          "yaraQuery": "rule demo { condition: true }",
          "severity": 1,
          "enableAutomaticActions": false,
          "automaticActions": [
            {
              "type": 1,
              "enabled": false
            },
            {
              "type": 2,
              "enabled": false
            },
            {
              "type": 3,
              "enabled": false
            },
            {
              "type": 4,
              "enabled": false
            },
            {
              "type": 5,
              "enabled": false,
              "settings": {
                "type": 1
              }
            },
            {
              "type": 6,
              "enabled": false,
              "settings": {
                "includeParentProcess": false
              }
            },
            {
              "type": 7,
              "enabled": false
            }
          ]
        },
        "targets": {
          "companies": [
            {
              "_id": "697336d571ead2fb3b0af682",
              "name": "comp1"
            }
          ]
        },
        "type": 1,
        "subtype": 1
      }
    ]
  }
}