Live search ба XDR query language: query ажиллуулах, удирдах, бичих

Тойм

Live search нь osquery ашиглан онлайн төгсгөлийн төхөөрөмжүүдээс (endpoint) үйл явдал болон системийн статистик мэдээллийг шууд авах боломж олгоно. osquery нь SQLite query хэлийг ашигладаг үйлдлийн системийн instrumentation framework юм.

GravityZone Control Center-д Incidents (Инцидент) > Live search руу очиж энэ боломжийг нээнэ.

Хуудас дараах үндсэн хэсгүүдээс бүрдэнэ:

1. 1Query editor: энд SQLite query хэлээр query бичнэ.

Clear (Цэвэрлэх) товч query editor доторх бүх текстийг устгана.

Info (Мэдээлэл) дүрс Tables хажуугийн самбарыг нээнэ. Тэнд боломжит бүх SQLite хүснэгтийг жагсааж, хүснэгт бүрийн талбаруудын тайлбарыг харуулна.

2. 2Filters (Шүүлтүүр) хэсэг: Live search query ажиллуулахаас өмнө чиглүүлэх төгсгөлийн төхөөрөмжүүдийн жагсаалтыг нарийсгана.

- OS: үйлдлийн системээр шүүнэ.
- Tags: төгсгөлийн төхөөрөмжид оноосон шошгоор (tag) шүүнэ.
- Endpoint name: төгсгөлийн төхөөрөмжийн нэрээр шүүнэ.

3. 3Run query (Query ажиллуулах) товч: query editor-т бичсэн query-г ажиллуулна.

4. 4Тохируулж болох хүснэгт: query-н үр дүнг харуулна. Баганын өргөнийг өөрчилж, байрыг сольж болно.

Үр дүн автоматаар устах хүртэл үлдсэн хугацааг энэ хүснэгтийн дээр харуулна.

5. 5Хуудаслалт: одоогийн харагдаж буй үр дүнгийн хүрээ болон нийт үр дүнгийн тоог харуулна.

6. 6Refresh (Шинэчлэх) товч: query-н үр дүнг шинэчилнэ.

7. 7Metadata details (Метадата дэлгэрэнгүй): query-н төлөв, үр дүн буцаасан төгсгөлийн төхөөрөмжийн тоо болон чиглүүлсэн нийт төгсгөлийн төхөөрөмжийн тоог харуулна.

View more (Дэлгэрэнгүй) товч одоогийн query-н Metadata details хуудсыг нээнэ. Тэнд чиглүүлсэн төгсгөлийн төхөөрөмж бүрийн гүйцэтгэлийн дэлгэрэнгүйг харна: query-н гүйцэтгэх хугацаа, боломжит болон илгээсэн мөрийн тоо, гүйцэтгэлийн төлөв, мэдээлсэн алдаа.

8. 8View options (Харагдац сонголт) цэс: query-тэй ажиллах олон боломжийг өгнө:

- Save as: өөрчилсөн query-г өөр нэрээр, хуваалцсан (shared) эсвэл хувийн (private) query болгон хадгална.
- Save: өөрийн үүсгэсэн query эсвэл засах эрхтэй хуваалцсан query-н өөрчлөлтийг хадгална.
- Discard changes: query-г хамгийн сүүлд хадгалсан хувилбар руу буцаана.
- Reset filters: хэрэглэсэн бүх шүүлтүүрийг арилгаж, анхдагч тохиргоог сэргээнэ.
- Export view: query-н үр дүнгийн хүснэгтийг CSV файлаар экспортлоно.

9. 9Queries самбар: query-нуудыг хадгална. Query-нуудыг таван ангилалд бүлэглэсэн тул хялбар хайж, сольж болно:

- Recent: таны сүүлд ажиллуулсан 25 query
- Saved: таны хадгалсан, бусад хэрэглэгчтэй хуваалцаагүй бүх query
- Shared: та болон бусад хэрэглэгчийн компани даяар хуваалцсан, зөвхөн унших эсвэл засах эрхтэй бүх query
- Predefined: бүх үйлчлүүлэгчид анхнаасаа бэлэн байдаг query-нуудын жагсаалт
- Featured: манай аюулгүй байдлын шинжээчдийн сонгосон query-нуудын багц

Самбарын дээд талын хайлтын мөрөөр query-г нэрээр нь хайж болно. Queries доторх хайлт wildcard дэмждэггүй.

Босоо гурван цэгтэй дүрсээр Queries самбарын өргөнийг хүссэнээрээ өөрчилж болно.

Урьдчилсан нөхцөл

Live search ашиглахаас өмнө дараах шаардлагыг хангасан эсэхийг шалгана уу:

• GravityZone Control Center болон төгсгөлийн төхөөрөмжийн хоорондын аюулгүй холболтын тулд таны компанийн сүлжээний галт хана (firewall) DigiCert серверүүд рүү хандах траффикийг зөвшөөрсөн байх ёстой.

> Анхааруулга: - Шаардлагатай холболтыг зөвшөөрөхийн тулд галт ханын дүрэм тохируулах шаардлагатай байж болно. Дүрэмд нэмэх (whitelist) вэб хаягийн жишээ:
>
> - http://crl3.digicert.com
> - http://crl4.digicert.com
> - http://ocsp.digicert.com
>
> - GravityZone серверийн гэрчилгээг шалгахад ашигладаг гэрчилгээ хүчингүй болгосон жагсаалтыг (certificate revocation list) автоматаар татахын тулд DigiCert серверүүд рүү сүлжээгээр хандах шаардлагатай.
>
> - Тусгай гэрчилгээ өгөх шаардлагагүй. Төгсгөлийн төхөөрөмжүүд DigiCert-ээр гарын үсэг зурсан гэрчилгээг автоматаар ашиглана.

• Хэрэв таны компани төгсгөлийн төхөөрөмж болон GravityZone-ийн хооронд траффикийг тайлдаг MITM шийдэл эсвэл certificate pinning ашигладаг бол GravityZone-ийн дараах үйлчилгээний хаягууд руу 443 порт дээр гадагш хандахыг зөвшөөрсөн байх ёстой:

- cloud-wbs-endpoints.gravityzone.bitdefender.com
- cloudap-wbs-endpoints.gravityzone.bitdefender.com
- cloudgz-wbs-endpoints.gravityzone.bitdefender.com

• Чиглүүлэх төгсгөлийн төхөөрөмжийн бодлогын (policy) Live Search хэсэгт Live Search сонголт идэвхжсэн байх.

> Анхааруулга: - Энэ модулийг идэвхжүүлэх нь төгсгөлийн төхөөрөмж дээрх security agent-ийг дахин тохируулахад хүргэнэ. Үүний дараа agent шинэчлэлт эхэлж, хамгийн сүүлийн боломжит хувилбар эсвэл бодлогын General > Agent > Update > Update ring хэсэгт тохируулсан хувилбар болтол шинэчлэгдэнэ.
> - Live Search-ийг зөвхөн төхөөрөмжийн төрлөөр (device type) үүсгэсэн бодлогоор идэвхжүүлж болно, дүрэмд суурилсан (rule-based) бодлогоор болохгүй.

• Чиглүүлэх төгсгөлийн төхөөрөмж 64-bit үйлдлийн систем ашигладаг байх.

• Чиглүүлэх төгсгөлийн төхөөрөмжийг BEST хамгаалж байх бөгөөд хамгийн бага хувилбар:

- Windows: 7.6.1.202
- Linux: 7.0.3-2085
- macOS: 7.8.16.200024

• Танд дараах эрх байх:

- Manage Networks
- Advanced Investigation

• Танд компанийнхаа төгсгөлийн төхөөрөмжүүдэд хандах эрх байх.

Хязгаарлалт

Live search одоогоор дараах хязгаарлалттай:

• Нэг query нь хамгийн ихдээ 50000 төгсгөлийн төхөөрөмжийг чиглүүлж, бүх төгсгөлийн төхөөрөмжөөс нийлээд хамгийн ихдээ 100000 мөр үр дүн буцааж болно.
• Query нэг төгсгөлийн төхөөрөмжөөс хамгийн ихдээ 1000 мөр буцааж болно. Олон төгсгөлийн төхөөрөмж чиглүүлсэн үед энэ хязгаар буурч болно.
• Нэг төгсгөлийн төхөөрөмжийн ашиглаагүй мөрийн багтаамжийг мөрийн хязгаартаа хүрээгүй бусад төгсгөлийн төхөөрөмжид шилжүүлэхгүй.
• Live search нь osquery-ийн evented хүснэгтүүдийг дэмждэггүй.

Query ажиллуулах

Live search query ажиллуулахдаа:

1. 1Query editor-т query-г бичнэ.

> Зөвлөмж: Query editor-ын баруун дээд буланд байрлах Info дүрсээр нээгдэх Tables хажуугийн самбараас өгөгдлийн сангийн schema-г үзэж, боломжит хүснэгт, талбарыг хайж болно.
>
> Search table хайлтын мөрөөр хүснэгтийг нэрээр хайх, эсвэл боломжит хүснэгтийг үйлдлийн системээр шүүж болно.

2. 2Хүсвэл боломжит шүүлтүүрүүдийг ашиглан Live search ажиллуулах төгсгөлийн төхөөрөмжийг endpoint tag, үйлдлийн систем эсвэл төгсгөлийн төхөөрөмжийн нэрээр нарийсгаж болно.

3. 3Run query дээр дарна.

Query-н нарийн төвөгтэй байдал болон сүлжээний хэмжээнээс шалтгаалан бүх үр дүнг буцаахад хэдэн минут шаардлагатай байж болно. Өгөгдөл цуглуулж байх хугацаанд Query in progress мессеж болон цаг хэмжигч харагдах бөгөөд бүх өгөгдөл цугларах хүртэл Run query товч идэвхгүй байна.

> Тэмдэглэл: - Query төгсгөлийн төхөөрөмж бүрээс үр дүнг хамгийн ихдээ 2 минут цуглуулна. Үүний дараа хугацаа дуусч, цуглуулалт зогсоно. Хэрэв бүх төгсгөлийн төхөөрөмж хугацаа дуусахаас өмнө хүчинтэй өгөгдөл буцаавал query эрт дуусна.
> - Query ажиллаж байх хугацаанд Run query товч болон Metadata details хэсэг боломжгүй байна.

Үр дүн таны query-с хамаарч буцна.

Зөвхөн эхний үр дүнг автоматаар харуулна. Query дуустал хүснэгт 5 секунд тутамд шинэ үр дүн байгаа эсэхийг автоматаар шалгана. Үр дүнг гараар шинэчлэхийн тулд Refresh товчийг ашиглаж болно. Үр дүнгийн хүснэгтийг шинэчлэх үед Metadata details хэсэг бас шинэчлэгдэнэ.

Query-н үр дүн 30 минутын турш байна. Хугацаа өнгөрсний дараа үр дүн устгагдана. Query-н заавар болон үр дүнгийн хооронд цаг хэмжигч харагдана.

4. 4Хүсвэл дэлгэцийн баруун дээд талд байрлах татах дүрс товчоор query-н үр дүнг CSV файлаар татаж авч болно.

Metadata details харах

Live search query-н үр дүн гарсны дараа Metadata details хэсгийн View more товчийг дарж Metadata details хуудсыг нээнэ.

Толгой хэсэгт query-н ерөнхий мэдээллийг харуулна: хариу өгсөн төгсгөлийн төхөөрөмжийн тоо, нийт асуусан төгсгөлийн төхөөрөмжийн тоо, query-н төлөв.

• In progress: query одоо ажиллаж байна.
• Finalized: query дууссан.
• N/A - query ажиллуулаагүй эсвэл үр дүнгийн хугацаа дууссан.

Хүснэгтэд чиглүүлсэн төгсгөлийн төхөөрөмж бүрийн тусдаа мөр байх ба дараах мэдээллийг харуулна:

• Endpoint: query ажилласан төгсгөлийн төхөөрөмж.
• Query execution time: төгсгөлийн төхөөрөмж query гүйцэтгэхэд зарцуулсан хугацаа.
• Available rows: query энэ төгсгөлийн төхөөрөмжөөс буцаасан нийт мөрийн тоо.
• Sent rows: үр дүнд оруулсан мөрийн тоо.
• Status: төгсгөлийн төхөөрөмж дээрх query-н гүйцэтгэлийн төлөв: Successful, Timed out, Error эсвэл Failed to connect.
• Error message: query гүйцэтгэх үед гарсан алдааны дэлгэрэнгүй. Алдаа гараагүй бол N/A гэж харагдана.

Status болон Sent rows шүүлтүүрээр харагдах төгсгөлийн төхөөрөмжүүдийг гүйцэтгэлийн төлөв болон илгээсэн мөрийн төрлөөр нарийсгаж болно.

Endpoint tag оноохын тулд хүснэгтээс нэг буюу хэд хэдэн төгсгөлийн төхөөрөмжийг сонгоод Assign tags дээр дарна. Сонгосон tag бүх сонгогдсон төгсгөлийн төхөөрөмжид оноогдоно.

Query-нуудыг удирдах

Шинэ query хадгалах

Шинэ query хадгалахдаа:

1. 1Query ажиллуулах хэсэгт тайлбарласан алхмуудыг дагаж хүссэн query-гээ ажиллуулна.

2. 2Хуудасны баруун дээд буланд байрлах Save as товчийг дарна.

Дараах харилцах цонх нээгдэнэ.

3. 3Query-нийхээ нэрийг бичнэ.

4. 4Хүсвэл Share this view with users in your company сонголтыг идэвхжүүлнэ. Энэ сонголт query-г бусад хэрэглэгчид зөвхөн унших горимд харагдуулна.

5. 5Хүсвэл өмнөх алхмыг хийсэн бол одоо Allow users in your company to edit this view сонголтыг идэвхжүүлж болно. Энэ сонголт бусад хэрэглэгчдэд query-г өөрчлөх боломж олгоно.

> Анхааруулга: - Засах боломжтой query-д хийсэн бүх өөрчлөлт компанийн бүх хэрэглэгчид хүчинтэй болно.
> - Нэг хуваалцсан query дээр ажиллаж буй хэрэглэгчид өөр хэн нэгэн түүнийг өөрчилсөн эсвэл устгасан тохиолдолд мэдэгдэл авна.

6. 6Save дээр дарна.

Хадгалсны дараа:

- Хэрэв харагдац хуваалцаагүй бол Saved ангилалд нэмэгдэнэ.
- Хэрэв харагдац хуваалцсан бол Shared ангилалд нэмэгдэнэ.

Хувийн query хуваалцах

Хувийн query-г хуваалцахдаа:

1. 1Зүүн талын Queries самбарт Saved ангилал руу очно.

2. 2Холбогдох гурван цэгтэй дүрсийг дарж цэсийг нээнэ.

3. 3Share дээр дарна.

4. 4Тохиргооны цонхонд хүсвэл нэрийг өөрчилнө.

> Тэмдэглэл: Анхдагчаар таны хувийн query-тэй нэр давхцахаас сэргийлж [Shared] дагавар нэмэгдэнэ. Хэрэгтэй бол нэрийг өөрчилж болно.

5. 5Хүсвэл Allow users in your company to edit this view сонголтыг идэвхжүүлж, бусад хэрэглэгчид харагдацыг засах боломжтой болгоно.

6. 6Share дээр дарна.

Query Shared ангилалд нэмэгдэнэ.

Хуваалцсан query-г засах боломжтой болгох

Хэрэв query-г зөвхөн унших горимд хуваалцсан бол түүнийг засах боломжтой болгож болно:

1. 1Queries самбарт Shared ангилал руу очно.

2. 2Холбогдох гурван цэгтэй дүрсийг дарж цэсийг нээнэ.

3. 3Set as editable дээр дарна.

Дараах харилцах цонх гарч ирж болно.

4. 4Хүсвэл Do not show again сонголтыг идэвхжүүлснээр цаашид хуваалцсан query-г засах боломжтой болгохдоо энэ цонх гарахгүй.

5. 5Set as editable дээр дарна.

Хуваалцсан харагдац таны компанийн бүх хэрэглэгчид засах боломжтой болно.

Хадгалсан query засах

Хадгалсан query-г засахдаа:

1. 1Queries самбарын Saved эсвэл Shared хэсгээс query-г сонгоно.

Query харагдана.

2. 2Query editor дотор query-гээ шаардлагатай хэмжээгээр засна.

3. 3Хуудасны баруун дээд буланд байрлах Save товчийг дарна.

4. 4Хэрэв засаж буй query хуваалцсан бол дараах харилцах цонх гарч ирж болно.

1. Хүсвэл Do not show again сонголтыг идэвхжүүлснээр цаашид хуваалцсан query-г засахдаа энэ цонх гарахгүй.
2. Save дээр дарна.

Хадгалсан query устгах

Хадгалсан query-г устгахдаа:

1. 1Queries самбарт устгах гэж буй харагдацын (smart view) хажуух босоо гурван цэгтэй дүрсийг дарна.
2. 2Delete сонгоно.
3. 3Сонголтоо баталгаажуулахын тулд Delete дээр дарна.

Хадгалсан query-н нэрийг өөрчлөх

Хадгалсан query-н нэрийг өөрчлөхдөө:

1. 1Queries самбарт нэрийг нь өөрчлөх query-н хажуух босоо гурван цэгтэй дүрсийг дарна.

2. 2Rename сонгоно.

3. 3Query-нийхээ шинэ нэрийг бичнэ.

4. 4Үйлдлээ баталгаажуулахын тулд Checked (тэмдэглэгээ) дүрсийг дарна.

XDR query language

Query language нь query бүтээхэд туслах үгсийн сан (талбар, оператор) болон синтаксыг өгнө.

Платформ дотроос синтаксийн мэдээллийг үзэхийн тулд хайлтын мөрийн доторх мэдээллийн дүрс дээр дарна.

Query талбар нь GravityZone өгөгдлийн сан дахь талбартай адил. Талбарууд нь файлын зам, файлын hash, hostname, домэйн нэр зэрэг объектыг төлөөлнө.

Талбар нэг буюу хэд хэдэн, өөр төрлийн утгатай байж болох бөгөөд эдгээр нь тухайн талбарын тодорхой хугацаан дахь төлвийг илэрхийлнэ.

GravityZone олон sensor-оос түүхий өгөгдлийг боловсруулж, стандартчилна. Энэ стандартчилсан мэдээллийг хайлтын мөрөөр query хийж болно.

Хайж болох талбаруудын талаар дэлгэрэнгүйг XEDR search fields хуудаснаас үзнэ үү.

Урьдчилан тодорхойлсон утгатай талбаруудын бүрэн жагсаалтыг Predefined search fields and values хуудаснаас үзнэ үү.

Оператор нь талбаруудын хоорондын холбоог тодорхойлж, хайлтын шалгуур бүтээх боломж олгоно.

Дараах операторуудыг ашиглаж болно:

• `:` — fieldCategory.field: value; field нь value утгатай үйл явдлуудыг буцаана. value дээр wildcard синтакс ашиглаж болно.
• `" "` — fieldCategory.field: "value1 value2"; field нь value1 value2-той тэнцүү үйл явдлуудыг буцаана. Хашилтанд оруулсан мөрийг нэг хэллэг болгон авч үзнэ. Хашилт доторх wildcard тэмдэгт хүчингүй.
• `AND` — fieldCategory1.field1: value1 AND fieldCategory2.field2: value2; field1 нь value1, field2 нь value2 утгатай үйл явдлуудыг буцаана.
• `OR` — fieldCategory.field: value1 OR fieldCategory.field: value2; field нь value1 эсвэл value2 утгатай үйл явдлуудыг буцаана.
• `()` — fieldCategory1.field1: value1 AND (fieldCategory2.field2: value2 OR fieldCategory2.field2: value3); field1 нь value1, мөн field2 нь value2 эсвэл value3 байх үйл явдлуудыг буцаана.
• `NOT` — fieldCategory1.field1: value1 AND NOT fieldCategory2.field2: value2; field1 нь value1, харин field2 нь value2-оос өөр байх үйл явдлуудыг буцаана.
• `_exists_` — _exists_: fieldCategory.field; заасан талбарыг агуулсан үр дүнг буцаана.
• `-` — fieldCategory.field: -value; field нь value-оос өөр байх үр дүнг буцаана.
• `?` — fieldCategory.field: ???value; field нь ???value-тэй тэнцүү үйл явдлуудыг буцаана, энд асуултын тэмдэг (?) талбарын утгын дурын нэг тэмдэгттэй таарна.
• `** — fieldCategory.field: value`; `field` нь `value`-тэй тэнцүү үйл явдлуудыг буцаана, энд од (*) дурын төрлийн тэг буюу түүнээс олон тэмдэгттэй таарна.
• `[ ]` — fieldCategory.field: [x TO y]; field нь x-ээс y хүртэл (хоёр хязгаарыг оруулан) байх үйл явдлуудыг буцаана.
• `{ }` — fieldCategory.field: {x TO y}; field нь x-ээс их, y-ээс бага байх үйл явдлуудыг буцаана.

Жишээ:

• other.os: wind* – үйлдлийн систем нь "wind" угтвартай үйл явдлуудыг буцаана
• NOT (other.event_name: file_create OR other.event_name: file_delete) – нэр нь "file_create" болон "file_delete"-ээс өөр үйл явдлуудыг буцаана
• (other.event_name: file_create OR other.event_name: file_delete) AND other.os: windows – үйлдлийн систем нь Windows, нэр нь "file_create" эсвэл "file_delete" байх үйл явдлуудыг буцаана

Query гэдэг нь XEDR өгөгдлийн сангаас үйл явдлуудыг үр дүн болгон буцаадаг логик нөхцөл, эсвэл операторуудаар холбосон хэд хэдэн нөхцөл юм.

Бүх нөхцөл талбартай холбогдсон байх ёстой. Зарим нөхцөл утга оруулахыг шаарддаг бол зарим нь шаарддаггүй. Жишээлбэл, үйл явдлын дэлгэрэнгүй мэдээлэлд талбар байгаа эсэхийг л асууж байгаа бол утга өгөх шаардлагагүй.

Query энгийнээс нарийн төвөгтэй хүртэл байж болно. Нарийн төвөгтэй query-д дотор нь өөр query (nested query) байж болно.

Хүчинтэй талбарын синтакс нь талбарын ангилал (category), дараа нь Query Language хэсэгт заасан сонголтуудын нэг, тэдгээрийн харгалзах утгаас бүрдэнэ: fieldCategory.option: value.

Жишээлбэл, file.path: "%system32%\com\svchost.exe" нь %system32%\com\svchost.exe-г агуулсан бүх үйл явдлыг хайдаг нэлээд энгийн query бөгөөд дараахаас бүрдэнэ:

• Заавал байх талбарын ангилал ба холбогдох сонголт (цэгээр тусгаарлана): file.path
• Оператор: хоёр цэг (:) - талбарын утгыг харьцуулна
• Хайх утга: %system32%\com\svchost.exe
• Хашилт (" "), учир нь утга нь < \ > болон < . > зэрэг тусгай тэмдэгт агуулсан