Linux System User Activity Sigma rules content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Linux System User Activity Sigma rules content pack (контент багц)
Linux System User Activity Sigma Rules контент багц нь SOC Prime-ийн Threat Detection Marketplace-ээс сонгосон Sigma дүрмүүдийн цуглуулга юм. Энэ контент багцын дүрмүүд Linux-ийн аюулгүй байдлын аюулд чиглэсэн бөгөөд одоо байгаа Linux Illuminate контенттой шууд ажиллахаар тохируулагдсан.
Энэ контент багцыг идэвхжүүлэхэд эдгээр дүрмүүд аюулгүй байдлын интерфэйсийн Sigma Rules хуудсанд харагдана. Анхдагчаар шинэ дүрмүүд идэвхгүй байдаг. Өөрийн орчинд аль дүрмийг идэвхжүүлэхээ сонгож болно.
Шаардлага
Linux Auditbeat болон/эсвэл Linux контент багц
Stream-ийн тохиргоо
Энэ технологийн багц дараах stream ангиллыг ашиглана:
"linux"
Юу багтсан бэ
Энэ контент багц 28 Sigma дүрэм агуулна.
- Critical (маш ноцтой) түвшний аюул: 2 дүрэм
- High (өндөр) түвшний аюул: 13 дүрэм
- Medium (дунд) түвшний аюул: 9 дүрэм
- Low (бага) түвшний аюул: 4 дүрэм
Дүрэм бүр нь залруулах алхмуудыг (remediation steps) агуулах бөгөөд Sigma дүрмийн дагуу сэрэмжлүүлэг (alert) үүссэн үед харагдана. Дэлгэрэнгүйг Remediation Steps хэсгээс үзнэ үү.
Sigma дүрмүүдийг тохируулах
Энэ контентыг идэвхжүүлэхэд шинэ Sigma дүрмүүд Security Data Lake дахь Sigma Rules хуудсанд нэмэгдэнэ. Дүрмүүдийг идэвхжүүлж, сэрэмжлүүлгийг тохируулахын тулд доорх алхмуудыг дага.
- Security > Sigma Rules хуудсан дээр сонгосон Sigma дүрмүүдээ идэвхжүүлнэ.
Тэмдэглэл
Энэ контент багцаар нэмэгдсэн Sigma дүрмүүдийг олохын тулд
Illuminate – Linuxгэж хайна, учир нь энэ багцын бүх дүрмийн гарчиг энэ текстээр эхэлдэг.Идэвхгүй Sigma дүрмийг идэвхжүүлэхийн тулд Enabled баган дахь toggle дээр дарна.
Тэмдэглэл
Идэвхжүүлэхээс өмнө дүрмүүдийг заавал хянаж үзнэ үү. Дүрэм бүр таны сүлжээний тохиргооноос шалтгаалан гүйцэтгэлд зардал үүсгэж болно. Бусад stream-үүдийг мөн нэмэх шаардлагатай байж болно.
- Шаардлагатай бол дүрмүүдийг шинэчилнэ. Зарим дүрэм олон хуурамч эерэг (false positive) үр дүн өгч болох тул тохируулах хэрэгтэй. Дүрмийн гарчиг дээр дарж засварлах цонхыг нээгээд дүрмийн тодорхойлолт болон бусад сонголтыг хянаж болно. Гэхдээ дүрмийн тодорхойлолт зэрэг бүх сонголтыг засах боломжгүйг анхаарна уу.
Хэрэв дүрмийн тодорхойлолтыг шинэчлэх шаардлагатай бол эхлээд More цэснээс Clone-ийг сонгож дүрмийг хувилна. Хувилсан дүрэмд дүрмийн тодорхойлолт зэрэг аливаа талбар, сонголтыг шинэчилж болно.
Sigma дүрмүүдийг үүсгэх, ажиллахтай холбоотой бүрэн мэдээллийг Sigma Rules хэсгээс үзнэ үү.
- Шаардлагатай бол event definition-ийг засварлаж, шинэчилнэ. Sigma дүрэм бүр Alerts хуудасны Event Definitions таб дээр байдаг тохирох event definition-тэй. Идэвхжүүлсэн Sigma дүрмүүдийн хувьд тохирох event definition-уудыг хянана. Хайлтын шүүлтүүр эсвэл сэрэмжлүүлэг, мөн өөрийн талбаруудыг нэмж болно.
Тэмдэглэл
Sigma дүрмийг идэвхжүүлэхэд event definition анхдагчаар идэвхжинэ. Sigma дүрмийг идэвхгүй болгохгүйгээр Event Definition хуудсан дээр тухайн үйл явдал болон тодорхойлсон аливаа сэрэмжлүүлгийг идэвхгүй болгож болно.
Дэлгэрэнгүйг Event Definitions хэсгээс үзнэ үү.