Webserver Sigma Rules content pack (контент багц)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Webserver Sigma Rules content pack
Webserver Alerting Pack нь SOC Prime-ийн Threat Detection Marketplace-ээс сонгосон Sigma дүрмүүдийн цуглуулга юм. Энэ контент багц дахь дүрмүүд нь эцсийн хэрэглэгчийн үйлдлээс үүдэлтэй вэб серверийн аюулд чиглэсэн. Тэдгээр нь одоо байгаа Windows Illuminate контенттой шууд ажиллахаар тохируулагдсан.
Энэ контент багцыг идэвхжүүлэхэд эдгээр дүрмүүд Security Interface-ийн Sigma Rules хуудсанд гарч ирнэ. Анхдагчаар шинэ дүрмүүд идэвхгүй байна. Өөрийн орчинд аль дүрмийг идэвхжүүлэхээ сонгож болно.
Тэмдэглэл
Идэвхжүүлэхээс өмнө alert-уудыг заавал хянана уу. Дүрэм бүр таны сүлжээний тохиргооноос хамаарч гүйцэтгэлд нөлөөлж болно. Бусад stream-үүдийг (жишээ нь "Cisco Device Messages") нэмэх шаардлагатай ч байж магадгүй.
Шаардлага
Apache HTTPD ба/эсвэл NGINX Content Pack
Stream-ийн тохиргоо
Энэ technology pack нь дараах stream ангиллыг ашиглана:
"webserver"
Юу багтсан бэ
Энэ контент багц 21 Sigma дүрэм агуулна.
- Critical аюулын түвшин: 2 дүрэм
- High аюулын түвшин: 13 дүрэм
- Medium аюулын түвшин: 6 дүрэм
Дүрэм бүр нь remediation алхмуудыг агуулах бөгөөд эдгээр нь Sigma дүрмийн дагуу alert идэвхжсэн үед харагдана. Дэлгэрэнгүйг Remediation Steps хэсгээс харна уу.
Sigma дүрмүүдийг тохируулах
Энэ контент багцыг идэвхжүүлэхэд шинэ Sigma дүрмүүд Security Data Lake дахь Sigma Rules хуудсанд нэмэгдэнэ. Дүрмүүдийг идэвхжүүлж, alert-уудыг тохируулахын тулд доорх алхмуудыг дагана уу.
- Security > Sigma Rules хуудсан дээрээс сонгосон Sigma дүрмүүдээ идэвхжүүлнэ.
Тэмдэглэл
Энэ контент багцаас нэмэгдсэн Sigma дүрмүүдийг олохын тулд Illuminate гэж хайна. Энэ багцын бүх дүрмийн гарчиг Illuminate – Webserver гэж эхэлнэ.
- Идэвхгүй Sigma дүрмийг идэвхжүүлэхийн тулд Enabled баганын toggle дээр дарна.
- Шаардлагатай бол дүрмүүдийг шинэчилнэ. Зарим дүрэм олон false positive үүсгэж болох тул тохируулах хэрэгтэй. Дүрмийн гарчиг дээр дарж засварлах цонхыг нээгээд, дүрмийн тодорхойлолт болон бусад сонголтыг хянаж болно. Гэхдээ дүрмийн тодорхойлолт зэрэг зарим сонголтыг засах боломжгүйг анхаарна уу.
- Дүрмийн тодорхойлолтыг шинэчлэх шаардлагатай бол эхлээд More цэснээс Clone сонгож дүрмийг хуулбарлана. Хуулбарласан дүрэм дээр тодорхойлолт зэрэг бүх талбар, сонголтыг шинэчилж болно.
Sigma дүрэм үүсгэх, ашиглахтай холбоотой бүрэн мэдээллийг Sigma Rules хэсгээс харна уу.
- Шаардлагатай бол event definition-ийг засварлаж шинэчилнэ. Sigma дүрэм бүр Alerts хуудасны Event Definitions tab дээр байх тохирох event definition-тэй. Идэвхжүүлсэн Sigma дүрмүүдийн тохирох event definition-уудыг хянана. Мөн хайлтын шүүлтүүр, alert, custom талбар нэмж болно.
Тэмдэглэл
Sigma дүрмийг идэвхжүүлэхэд event definition анхдагчаар идэвхжинэ. Sigma дүрмийг идэвхгүй болгохгүйгээр Event Definition хуудсан дээр тухайн үйл явдал болон тодорхойлсон alert-ийг идэвхгүй болгож болно.