updateCustomRule — тусгай дүрмийг шинэчлэх

Энэ аргыг ашиглан одоо байгаа дурын тусгай (custom) үл хамаарах эсвэл илрүүлэх дүрмийг Rule ID-гаар нь заан засварлаж болно.

Параметрүүд

Параметр бүрийн мөр: параметр — тайлбар; хүсэлтэд орох байдал; төрөл; утгын шаардлага.

• `ruleId` — Шинэчлэх дүрмийн ID; Заавал; String; Энэ параметр яг 24 арван зургаатын (hexadecimal) тэмдэгтээс бүрдэнэ.

- Жишээ: "ruleId": "6182a7e26f59d3072a1e8fc5"

• `type` — Шинэчлэх дүрмийн төрөл; Илрүүлэх дүрмийн хувьд заавал, үл хамаарах дүрмийн хувьд заавал биш; Integer; Боломжит утгууд:

- 1 - Илрүүлэх (Detection)
- 2 - Үл хамаарах (Exclusion)
- Анхдагч утга: 2.
- Жишээ: "type": 1

• `name` — Дүрмийн шинэ нэр; Заавал; String; Энэ параметр хоосон зайгаар эхэлж болохгүй, <, >, ', " тэмдэгт агуулж болохгүй бөгөөд 128 тэмдэгтээс хэтрэхгүй байх ёстой. Мөн нэг компани дотор давхцаж болохгүй.

- Жишээ: "name": "Detection Rule via API"

• `description` — Дүрмийн шинэ тайлбар; Заавал биш; String; Энэ параметр хоосон зайгаар эхэлж болохгүй, <, >, ', " тэмдэгт агуулж болохгүй бөгөөд 1024 тэмдэгтээс хэтрэхгүй байх ёстой.

- Жишээ: "description": "Detection Rule via API - Description"

• `tags` — Дүрэмтэй холбогдох шинэ шошгоны (tag) жагсаалт; Заавал биш; Array of Strings; Мөр бүр дараах шаардлагыг хангана:

- <, >, ', " тэмдэгт агуулахгүй
- Хамгийн багадаа 2, хамгийн ихдээ 128 тэмдэгт урттай
- Хоосон зайгаар эхлэхгүй
- Массив дотор давтагдахгүй
- Жишээ: "tags": [ "TAG 1", "TAG 2" ]

• `settings` — Дүрэмтэй холбоотой тохиргоо; Заавал; Object; settings хэсгийг үзнэ үү.

- Жишээ, Basic дүрэм: "settings": { "status": 0, "severity": 1, "target": "file", "automaticActions": [ { "type": 1, "enabled": true } ], "criteriaList": [ { "field": "File.Name", "relation": "is", "value": "abcd" } ], "filters": [ { "field": "detection", "value": "test-api" } ] }
- Жишээ, YARA дүрэм: "settings": { "status": 1, "severity": 2, "yaraQuery": "rule demo { condition: true }", "automaticActions": [ { "type": 5, "enabled": true, "settings": { "type": 2 } } ] }

• `targets` — endpointTags-ийг агуулна. Энэ нь тусгай дүрмийн чиглэсэн төгсгөлийн цэг (endpoint) бүрт хамгийн багадаа нэг нь оноогдсон байх ёстой шошгоны жагсаалт; Заавал биш; Object; targets хэсгийг үзнэ үү.

- Жишээ: "targets": { "endpointTags": [ { "tagId": "5b680f6fb1a43d860a7b23c8", "companyId": "61827b8036492c2fc0718722" }, { "tagId": "5b680f6fb1a43d860a7b23c9", "companyId": "61827b8036492c2fc0718722" } ] }

Ерөнхий параметрүүд

Эдгээр нь нийтийн API-ийн бүх аргад нийтлэг, ерөнхий параметрүүд юм.

• `id` — Хүсэлтэд танигч нэмж, түүнийг харгалзах хариутай холбоно. Хүлээн авагч хариуд ижил утгыг буцаадаг тул дуудлагыг хялбар хянах боломжтой; Заавал; String; Нэмэлт шаардлагагүй.

- Жишээ: "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"

• `method` — Хүсэлт илгээхэд ашиглаж буй аргын нэр; Заавал; String; Хүчинтэй аргын нэр байх ёстой.

- Жишээ: "method": "methodName"

• `jsonrpc` — Хүсэлт болон хариуд ашиглах JSON-RPC-ийн хувилбар; Заавал; String; Цорын ганц боломжит утга нь 2.0.

- Жишээ: "jsonrpc": "2.0"

• `params` — Хүсэлтийн тохиргоог агуулсан объект; Заавал; Object; Нэмэлт шаардлагагүй.

- Жишээ: "params": {...}

Объектууд

settings

Мөр бүрийн хэлбэр: нэр — тайлбар; хүсэлтэд орох байдал; төрөл; утгын шаардлага.

• `status` — Дүрэм идэвхтэй эсэхийг заана; Заавал биш; Integer; Basic дүрмийн боломжит утгууд:

- 0 - Дүрэм идэвхгүй.
- 1 - Дүрэм идэвхтэй.
- YARA дүрмийн боломжит утгууд:
- 0 - Дүрмийн хувьд access дээрх шалгалт (on-access scanning) идэвхгүй.
- 1 - Дүрмийн хувьд access дээрх шалгалт (on-access scanning) идэвхтэй.

• `severity` — Үүсэх анхааруулгын ноцтой байдлыг заана; Илрүүлэх дүрмийн хувьд заавал, үл хамаарах дүрэмд хамаарахгүй; Integer; Боломжит утгууд:

- 1 - Бага
- 2 - Дунд
- 3 - Өндөр

• `target` — Чиглэсэн обьектийн төрлийг заана; Basic дүрмийн хувьд заавал, YARA дүрэмд хамаарахгүй; String; Тусгай үл хамаарах болон илрүүлэх дүрмийн боломжит утгууд:

- process
- file
- Чухал: Дараах лицензийн төрлүүдийн дор хаяж нэг шаардлагатай:
- EDR-тэй лиценз
- Дараах мэдрэгчүүдийн (sensor) дор хаяж нэгийг өгдөг лиценз: Azure AD sensor, Google Cloud Platform sensor, Office 365 sensor, Google Workspace sensor, AWS sensor
- connection
- registry
- Чухал: EDR-тэй лиценз шаардлагатай.
- user connection
- email
- Чухал: Дараах лицензийн төрлүүдийн дор хаяж нэг шаардлагатай:
- EDR-тэй лиценз
- Дараах мэдрэгчүүдийн дор хаяж нэгийг өгдөг лиценз: Azure AD sensor, Office 365 sensor, Google Workspace sensor
- application
- Чухал: Azure AD sensor, Office 365 sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- key vault
- Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- role
- Чухал: Atlassian Cloud sensor, Azure AD sensor, Azure Cloud sensor, Google Workspace sensor, Google Cloud Platform sensor, AWS sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- policy
- Чухал: Azure AD sensor, AWS sensor, Google Cloud Platform sensor, Office 365 sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- sharing link
- Чухал: Office 365 sensor өгдөг лиценз шаардлагатай.
- url
- Чухал: Office 365 sensor, Google Workspace sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- ssh key
- Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- launch template
- Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- service principal
- Чухал: Google Workspace sensor, Google Cloud Platform sensor, Azure AD sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- user group
- Чухал: Azure AD sensor, Atlassian Cloud sensor, Google Workspace sensor, AWS sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- automation account
- Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- automation account hook
- Чухал: Azure Cloud sensor өгдөг лиценз шаардлагатай.
- certificate authority
- Чухал: Azure AD sensor, AWS sensor-ийн дор хаяж нэгийг өгдөг лиценз шаардлагатай.
- api
- bucket
- Чухал: AWS sensor өгдөг лиценз шаардлагатай.
- jira project
- Чухал: Atlassian Cloud sensor өгдөг лиценз шаардлагатай.
- confluence page
- Чухал: Atlassian Cloud sensor өгдөг лиценз шаардлагатай.
- Зөвхөн тусгай үл хамаарах дүрэмд боломжтой утгууд:
- flow
- Чухал: Office 365 sensor өгдөг лиценз шаардлагатай.
- bitbucket repository
- Чухал: Atlassian Cloud sensor шаардлагатай.

• `criteriaList` — Чиглэсэн target таарах ёстой үл хамаарах эсвэл илрүүлэх дэд дүрмүүдийг жагсаан дүрмийг тодорхойлно. Чухал: Энэ параметр detection талбартай холбоотой тодорхойлолтыг агуулдаггүй; тэдгээрийг filters параметрт тохируулна; Basic дүрмийн хувьд заавал, YARA дүрэмд хамаарахгүй; Array of Objects; Объект бүр дараах тохиргоог агуулна:

- field (String) - Нөхцөл хамаарах обьектийн шинж чанар (шалгуур).
- relation (String) - Нөхцөл биелэхийн тулд field ба value-ийн хооронд байх ёстой харьцаа.
- value - field параметрийн утгыг харьцуулах тусгай утга.
- > Тэмдэглэл: criteriaList объектын боломжит утгуудын талаар Basic дүрмийн илрүүлэх ба үл хамаарах шалгуурууд хуудсыг үзнэ үү.

• `filters` — detection талбартай холбоотой үл хамаарах эсвэл илрүүлэх дэд дүрмүүдийг агуулна; Basic дүрмийн хувьд заавал биш, YARA дүрэмд хамаарахгүй; Array of Objects. Чухал: Нэг дүрэмд зөвхөн нэг detection шүүлтүүр ашиглаж болох тул энэ нь ганц объект агуулсан массив байна. Массив доторх объект дараах тохиргоог агуулна:

- field (String) - Нөхцөл хамаарах обьектийн шинж чанар (шалгуур). filters параметр зөвхөн detection талбарын утгыг хүлээн авна.
- value - detection талбар (Alert name) таарах ёстой утга.
- > Тэмдэглэл: detection талбарын талаар Basic дүрмийн илрүүлэх ба үл хамаарах шалгуурууд хуудсыг үзнэ үү.

• `automaticActions` — Дүрмээс үүссэн EDR хэргүүдэд (incident) хийх автомат хариу үйлдлүүд болон тэдгээрийн идэвхжсэн эсэхийг заана. Чухал: Автомат үйлдэл зөвхөн EDR-ийн тусгай илрүүлэх дүрмэд боломжтой. Bitdefender EDR захиалга болон GravityZone EDR Cloud лиценз автомат үйлдлийг дэмждэггүй; EDR илрүүлэх дүрмийн хувьд (YARA дүрмийг оруулаад) заавал биш, үл хамаарах дүрэм болон XDR илрүүлэх дүрэмд хамаарахгүй; Array of Objects; Объект бүр дараах тохиргоог агуулна:

- type (Integer) - Дүрэмд оноосон автомат үйлдлийн төрөл. Боломжит утгууд:
- 1 - Isolate
- 2 - Collect investigation package
- 3 - Add to Sandbox
- Чухал: Basic дүрмийн хувьд энэ type дараах нөхцөлийн аль нэгэнд л боломжтой:
- target нь process эсвэл file байх
- target нь connection бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Connection.CreatedBy.Name, Connection.CreatedBy.Path, Connection.CreatedBy.FullPathName, Connection.CreatedBy.CommandLine
- target нь registry бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Registry.CreatedBy.Name, Registry.CreatedBy.Path, Registry.CreatedBy.FullPathName, Registry.CreatedBy.CommandLine
- 4 - Kill process
- Чухал: Basic дүрмийн хувьд энэ type дараах нөхцөлийн аль нэгэнд л боломжтой:
- Дүрэм YARA-д суурилсан
- Дүрэм Basic бөгөөд дараах нөхцөлийн аль нэг биелсэн: Connection.CreatedBy.Name, Connection.CreatedBy.Path, Connection.CreatedBy.FullPathName, Connection.CreatedBy.CommandLine
- target нь registry бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Registry.CreatedBy.Name, Registry.CreatedBy.Path, Registry.CreatedBy.FullPathName, Registry.CreatedBy.CommandLine
- target нь file бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: File.CreatedBy.Name, File.CreatedBy.Path, File.CreatedBy.FullPathName, File.CreatedBy.CommandLine
- 5 - Antimalware scan
- 6 - Quarantine
- Чухал: Basic дүрмийн хувьд энэ type дараах нөхцөлийн аль нэгэнд л боломжтой:
- target нь process эсвэл file байх
- target нь connection бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Connection.CreatedBy.Name, Connection.CreatedBy.Path, Connection.CreatedBy.FullPathName, Connection.CreatedBy.CommandLine
- target нь registry бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Registry.CreatedBy.Name, Registry.CreatedBy.Path, Registry.CreatedBy.FullPathName, Registry.CreatedBy.CommandLine
- 7 - Risk scan
- enabled (Boolean) - true үед type-ээр заасан үйлдэл энэ дүрмээс үүссэн хэргүүдэд идэвхжинэ.
- settings (Object) - Тодорхой үйлдлийн төрөлд автомат үйлдлийг нарийвчлан тохируулах боломж олгоно. Үйлдлийн төрөл бүрийн талбар ба боломжит утгууд:
- type нь 4 бөгөөд дүрэм Basic бол:
- includeParent (Boolean) - true бол үйлдэл чиглэсэн процессын эцэг процесст (parent) мөн хамаарна.
- includeChildren (Boolean) - true бол үйлдэл чиглэсэн процессын хүүхэд процессуудад (children) мөн хамаарна.
- type нь 5 бол автомат үйлдэл settings дотор мөн type (Integer) талбартай бөгөөд дараах утгын аль нэгийг авна:
- 1 - Quick scan
- 2 - Full scan
- type нь 6 бөгөөд дараах нөхцөлийн аль нэг биелсэн бол эдгээр талбар боломжтой:
- includeParent (Boolean) - true бол үйлдэл чиглэсэн процессын эцэг процесст мөн хамаарна.
- includeChildren (Boolean) - true бол үйлдэл чиглэсэн процессын хүүхэд процессуудад мөн хамаарна.
- Нөхцөлүүд:
- Дүрэм YARA-д суурилсан
- Дүрэм Basic бөгөөд дараах нөхцөлийн аль нэг биелсэн: Connection.CreatedBy.Name, Connection.CreatedBy.Path, Connection.CreatedBy.FullPathName, Connection.CreatedBy.CommandLine
- target нь registry бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: Registry.CreatedBy.Name, Registry.CreatedBy.Path, Registry.CreatedBy.FullPathName, Registry.CreatedBy.CommandLine
- target нь file бөгөөд criteriaList дотор field-ийн утга нь дараахын аль нэг байх объект байх: File.CreatedBy.Name, File.CreatedBy.Path, File.CreatedBy.FullPathName, File.CreatedBy.CommandLine

• `yaraQuery` — YARA дүрмийн query-г тодорхойлно; YARA дүрмийн хувьд заавал, Basic дүрэмд хамаарахгүй; String; Энэ утга YARA-ийн синтаксийн дүрмийг дагана.

- > Зөвлөмж: Дүрэм шалгах үед хоосон зай, догол мөрийг үл тооцдог ч API хүсэлтэд өгсөн yaraQuery-ийн анхны форматыг хадгалж, GravityZone Control Center-т яг хэвээр нь харуулдаг. Уншихад хялбар байлгахын тулд yaraQuery-д зөв форматласан, догол мөртэй YARA синтаксийг ашиглахыг зөвлөж байна. Жишээлбэл, дараах форматласан дүрмийг UI-д харуулахын тулд: rule Demo_Spaced { meta: author = "api" description = "indent test" strings: $mz = { 4D 5A } condition: $mz } yaraQuery мөр нь дараах байх ёстой: rule Demo_Spaced {\n meta:\n author = \"api\"\n description = \"indent test\"\n\n strings:\n $mz = { 4D 5A }\n\n condition:\n $mz\n}.

targets

Мөр бүрийн хэлбэр: нэр — тайлбар; хүсэлтэд орох байдал; төрөл; утгууд.

• `endpointTags` — Тусгай дүрмийн чиглэсэн төгсгөлийн цэг бүрт хамгийн багадаа нэг нь оноогдсон байх ёстой төгсгөлийн цэгийн шошгонууд; Заавал биш; Array of objects; Массивын объект бүр дараахыг агуулна:

- tagId (String): Төгсгөлийн цэгийн шошгоны ID. Энэ параметр яг 24 арван зургаатын тэмдэгтээс бүрдэнэ.
- companyId (String): Төгсгөлийн цэгийн шошгыг эзэмшдэг компанийн ID. Энэ параметр яг 24 арван зургаатын тэмдэгтээс бүрдэнэ.
- > Зөвлөмж:
>
> - Тусгай дүрмийн чиглэсэн төгсгөлийн цэг бүрт хамгийн багадаа нэг нь оноогдсон байх ёстой төгсгөлийн цэгийн шошгоны мэдээллийг авахын тулд getEndpointTags аргыг ашиглана.
> - Тусгай дүрмийн чиглэсэн төгсгөлийн цэгүүдийг тодорхойлоход шинэ шошго хэрэгтэй бол GravityZone Control Center дээрх Network (Сүлжээ) > Tags management (Шошго удирдах) хэсэгт очно. Шошго үүсгэх дарааллыг Төгсгөлийн цэгийн шошго ашиглах хуудасны Creating endpoint tags from scratch хэсгээс үзнэ үү.

Буцаах утга

Мөр бүрийн хэлбэр: шинж чанар — төрөл; тайлбар.

• `result` — Boolean; Тусгай дүрмийг амжилттай шинэчилсэн бол true буцаана. Үгүй бол false буцаана.

Жишээ

Хүсэлт (Request)

Basic дүрмийг шинэчлэх:

{
    "params": {
        "ruleId": "61827b8036492c2fc0718722",
        "type": 1,
        "name": "Detection Rule via API",
        "description": "description test api",
        "tags": [
            "test",
            "api",
            "demo"
        ],
        "settings": {
            "status": 1,
            "severity": 1,
            "target": "connection",
            "criteriaList": [
                {
                    "field": "Connection.DestinationPort",
                    "relation": "is",
                    "value": "25691"
                },
                {
                    "field": "Connection.Process.Name",
                    "relation": "contains",
                    "value": "./network1"
                },
                {
                    "field": "Connection.SourcePort",
                    "relation": "any",
                    "value": [
                        "22",
                        "23",
                        "24"
                    ]
                }
            ],
            "automaticActions": [
                {
                    "type": 4,
                    "enabled": true,
                    "settings": {
                        "includeParent": false,
                        "includeChildren": true
                    }
                }
            ]
        }
    },
    "jsonrpc": "2.0",
    "method": "updateCustomRule",
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
}

YARA дүрмийг шинэчлэх:

{
    "jsonrpc": "2.0",
    "method": "updateCustomRule",
    "params": {
        "ruleId": "6182a7e26f59d3072a1e8fc5",
        "type": 1,
        "name": "YARA Detection Rule via API",
        "description": "YARA detection",
        "tags": [
            "API",
            "yara"
        ],
        "settings": {
            "status": 1,
            "severity": 2,
            "yaraQuery": "rule demo { condition: true }",
            "automaticActions": [
                {
                    "type": 5,
                    "enabled": true,
                    "settings": {
                        "type": 2
                    }
                }
            ]
        },
        "targets": {
            "endpointTags": [
                {
                    "tagId": "5b680f6fb1a43d860a7b23c8",
                    "companyId": "61827b8036492c2fc0718722"
                },
                {
                    "tagId": "5b680f6fb1a43d860a7b23c9",
                    "companyId": "61827b8036492c2fc0718722"
                }
            ]
        }
    },
    "id": "0df7568c-59c1-48e0-a31b-18d83e6d9810"
}

Хариу (Response)

{
    "id": "301f7b05-ec02-481b-9ed6-c07b97de2b7b",
    "jsonrpc": "2.0",
    "result": true
}