EDR-ийн Custom detection rules (өөрийн илрүүлэлтийн дүрэм) хэрхэн үүсгэж удирдах вэ?

Custom detection rules (Өөрийн илрүүлэлтийн дүрэм) хуудсаар өөрийн орчны тодорхой үйлдлийг хүчинтэй илрүүлэлт гэж тооцох дүрмийг тодорхойлж, тэдгээрт тохирсон incident-ийг The Incidents page хуудсанд үүсгүүлнэ.

1. 1Шинэ илрүүлэлтийн дүрэм үүсгэхийн тулд Add rule товчийг дарна. Дэлгэрэнгүйг Creating custom detection rules хэсгээс үзнэ үү.

2. 2Глобал нүд эсвэл дүрэм тус бүрийн нүдийг тэмдэглэж сонгоно. Нэг буюу хэд хэдэн дүрэм сонгосны дараа дараах байдлаар удирдана:

- Дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгохын тулд Change status унждаг цэсийг дараад хүссэн үйлдлээ сонгоно.
- Дүрмийг устгахын тулд Delete дарна.

3. 3Хүснэгтийг өөрчлөхийн тулд дараах товчнуудыг ашиглана:

- Хүснэгтийг харуулах багана болон шүүлтүүрийн анхдагч тохиргоо руу буцаахын тулд Reset view товчийг дарна. Энэ нь одоо байгаа шүүлтүүр болон тэдгээрийн утгыг мөн цэвэрлэнэ.
- Шүүлтүүрийн мөрийг харуулах эсвэл нуухын тулд Show or hide filters товчийг дарна.
- Хүснэгтэд багана нэмэх, хасахын тулд Open Settings товчийг дарна.

4. 4Дүрмийн нэрийг дарж засварлах горимд орж дүрмийг шинэчилнэ. Жагсаалтаас дүрмийг дарж Details самбарыг дэлгээд дүрмийн дэлгэрэнгүйг харах, шинэчлэх эсвэл устгаж болно. Дэлгэрэнгүйг Detection rule details panel хэсгээс үзнэ үү.

Custom detection rules үүсгэх

Custom detection rules үүсгэхийн тулд дараах алхмуудыг хийнэ:

1. 1Custom detection rules хуудсанд Add rule товчийг дарна.

Таныг Add rule хуудас руу шилжүүлнэ.

Add rule хэсгээс YARA дүрмийн тодорхойлолтын хуудас руу шилжих боломжтой.

> Зөвлөмж: YARA илрүүлэлтийн дүрэм үүсгэх талаар YARA detection rules хуудаснаас үзнэ үү.

2. 2Step 1: Detection rule definition-ийн тохиргоог хийнэ:

1. Consider as detection every хэсэгт дүрэм хамаарах entity-ийн төрлийг сонгоно.

- Process
- File
- Registry
- Connection
- User connection
- Email
- Application
- Key vault
- Role
- Policy
- Sharing link
- URL
- SSH key
- Launch template
- Service principal
- User group
- Automation account
- Automation account hook
- API
- Certificate authority
- Bucket
- Jira project
- Confluence page

> Чухал: Зорилтот entity-ууд бүх шалгуурыг ашиглахад EDR эсвэл тодорхой XDR sensor шаардлагатайг заасан лицензийн шаардлагын шошготой харагдана.

> Анхааруулга: Зорилтот entity шаардлагатай лицензүүдийн аль нь ч байхгүй бол алдааны мэдэгдэл гарч, зорилт идэвхгүй болно. Идэвхжүүлэхийн тулд шаардлагатай лицензүүдийн ядаж нэгийг идэвхжүүлнэ.

2. Matching the following хэсэгт дараах талбаруудыг тохируулж нэг буюу хэд хэдэн дүрэм үүсгэнэ:

- Criteria - Value талбарт оруулсан утгатай харьцуулах бүрэлдэхүүн, entity, тохиргоо эсвэл утгыг сонгоно.

> Тэмдэглэл: Боломжит сонголтууд Consider as detection every талбарт сонгосон entity-ээс хамаарч өөр өөр байна.

- Operator - Criteria-д сонгосон утга болон Value-д оруулсан утгын хоорондын хамаарлыг сонгоно. Дараах сонголтууд байна:

- Is - Criteria-ийн утга Value талбарт оруулсан утгатай яг таарна.

- Contains - Criteria-ийн утга Value талбарт оруулсан тэмдэгт мөрийг агуулна (жишээ нь файлын өргөтгөл).

> Чухал: - Contains operator ашигласан аливаа criteria-ийн хувьд утга wildcard ашиглахыг дэмжинэ. Талбарын утга дараах аль нэг нь байвал үл хамаарна:
>
> - MD5
> - SHA256
>
> - Илрүүлэлтийн дүрэмд wildcard-ыг болгоомжтой ашиглана уу, учир нь дүрэм хэт ерөнхий болох эрсдэлтэй. Хэт ерөнхий дүрэм буруу илрүүлэлттэй incident-ийг хэт олноор үүсгэж болно.

- Is one of - Criteria-ийн утга Value талбарт оруулсан утгуудын аль нэгтэй таарна (утгуудын хооронд OR үйлдэл хийгдэнэ).

Утга бүрийг оруулсны дараа Enter дарж баталгаажуулна.

- Value - Criteria-ийн утгатай харьцуулах тэмдэгт мөрийг оруулна.

> Зөвлөмж: Registry entity-ийг зорилтот болгосон, Key criterion ашигласан custom дүрмийн хувьд registry key-ийн замд дэмжигдсэн root key-ийн товчлолыг ашиглах ёстой. Registry hive-ийн бүтэн нэр (жишээ нь HKEY_LOCAL_MACHINE) ашигласан дүрэм таарахгүй, тиймээс хэзээ ч ажиллахгүй. Registry key-ийн замыг зааж өгөхдөө дараах харгалзааг ашиглана уу:
>
> - HKEY_LOCAL_MACHINE: HKLM
> - HKEY_CURRENT_USER: HKCU
> - HKEY_USERS: HKU
> - HKEY_CLASSES_ROOT: HKCR
> - HKEY_CURRENT_CONFIG: HKCC
>
> Үүнээс гадна SID-ээр эхлээгүй HKEY_USERS key-ийн хувьд (жишээ нь HKEY_USERS\.DEFAULT) HKLU товчлолыг ашиглана.

Шинэ criterion бүрийг дүрэмд нэмэхийн тулд Add new дарна.

> Чухал: - Дүрэм зөвхөн нэмсэн бүх criteria биелсэн үед incident үүсгэнэ (нэмсэн criteria-ийн хооронд AND үйлдэл хийгдэнэ).
> - EDR эсвэл XDR гэсэн шошготой criteria талбар, утга нь тухайн технологид тусгайлан зориулагдсан. Шошгогүй зүйлс хоёуланд нь хамаарна.
> - Зөвхөн EDR-д зориулсан criteria болон EDR, XDR хоёуланд нь байдаг criteria-г хослуулсан дүрмийг зөвхөн EDR боловсруулна.
> - Зөвхөн XDR-д зориулсан criteria болон EDR, XDR хоёуланд нь байдаг criteria-г хослуулсан дүрмийг зөвхөн XDR боловсруулна.
> - EDR, XDR хоёр дахин дэмждэг талбар, утгыг л агуулсан дүрмийг EDR болон XDR хоёулаа боловсруулна.
> - Зөвхөн EDR-д болон зөвхөн XDR-д зориулсан criteria, утгыг нэг дүрэмд хослуулж болохгүй.
> - XDR-ийн илрүүлэлтийн дүрэм бүрд Alert name criterion эсвэл үйлдлийн (operation) criterion-ийн аль нэгийг ашиглах ёстой, хоёуланг нь биш.
> - Alert name criterion нь XDR эсвэл EDR-ийн үүсгэсэн тодорхой alert-ээр incident үүсгэх боломж олгоно.

3. Next дарна.

3. 3Step 2: Detection rule settings-ийн тохиргоог хийнэ:

1. Rule configuration хэсгийн тохиргоог хийнэ:

1. Rule name хэсэгт дүрмийн тайлбарлах нэр бичнэ.

2. Description хэсэгт дүрэм юу хийдгийг товч тайлбарлана.

3. Дүрэмд хэрэглэх Rule tags-ийг сонгоно.

Rule tag нь дүрмийг тодорхойлох, бүлэглэх, эрэмбэлэхэд тусална. Тохирох tag байхгүй бол Create tag товчийг дарж шинээр нэмнэ.

4. Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable custom rule нүдийг тэмдэглэнэ.

Энэ сонголтыг идэвхжүүлбэл тодорхой endpoint дээр дүрэмд заасан нөхцөл биелэх болгонд alert үүснэ.

Alert-үүдийг Incidents > Search хуудсанд query дотроо other.rule_id талбарыг ашиглан харна.

2. Rule outcome хэсгийн тохиргоог хийнэ:

1. Generate alert with severity level хэсэгт энэ дүрэм ажилласнаас үүсэх бүх alert-д оноох severity түвшнийг сонгоно.

2. Дүрэм ажиллах үед incident автоматаар үүсгэхийн тулд Generate security incident нүдийг тэмдэглэнэ.

> Тэмдэглэл: Энэ тохиргоо автомат үйлдлийг идэвхжүүлэхэд шаардлагатай.

3. Next дарна.

4. 43-р алхам Detection rule targets-ийн тохиргоог хийнэ:

1. Rule targets хэсэгт Apply rule on targets from тохиргооны боломжуудаас нэгийг сонгоно:

- Select your company - Дүрэм таны компанийн удирддаг бүх endpoint-д хамаарна.

- Endpoint tags - Таны компанид байгаа endpoint tags-ийн жагсаалтаас сонгоно. Дүрэм зөвхөн сонгосон tag тавигдсан endpoint-уудад хамаарна. Эдгээр tag-ийг Network > Tags Management хэсэгт үүсгэж, удирдана.

Endpoint tags сонголтыг сонгоход зүүн талын цэснээс tag-аа сонгох бөгөөд сонгосон tag-ууд баруун талын цэсэнд харагдана.

> Чухал: Endpoint tag зөвхөн EDR дүрмийг дэмжинэ.

2. Next дарна.

5. 5Step 4: Automatic actions-ийн тохиргоог хийнэ:

1. Автомат үйлдлийг идэвхжүүлэхийн тулд Enable automatic actions нүдийг тэмдэглэнэ. Эдгээр нь дүрэм ажиллах болгонд зорилтот entity-д хэрэгжинэ.

2. Доорх жагсаалтаас энэ дүрэмд идэвхжүүлэх үйлдлүүдээ сонгоно:

Дараах автомат үйлдлүүд байна:

- Isolate

- Collect investigation package

- Add to Sandbox

- Antimalware scan

- Quarantine

- Risk scan

- Kill process

> Чухал: Таны платформ, компанийн лиценз, endpoint дээр суусан модулиас хамаарч зарим үйлдэл боломжгүй байж болно.

Зарим үйлдлийг Edit settings товчийг дарж нэмэлтээр тохируулж болно.

3. Save дарна.

Шинэ дүрэм Custom detection rules хүснэгтэд харагдана.

> Чухал: Автомат үйлдлийг зөвхөн EDR илрүүлэлтийн дүрэм дэмжинэ.

Custom detection rules удирдах

Дүрмийн статусыг өөрчлөх

Дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгохын тулд дараах алхмуудыг хийнэ:

1. 1Өөрчлөх дүрмийнхээ хажуудах нүдийг тэмдэглэнэ.

> Тэмдэглэл: Хэд хэдэн дүрэм сонгож болно.

2. 2Хүснэгтийн дээд талын Change status товчийг дарна.

3. 3Хийх үйлдлээ дарна.

Эсвэл хүснэгтийн баруун талд байгаа холбогдох цэсийн зүйлийг дараад хийх үйлдлээ сонгож болно.

Дүрэм устгах

Дүрмийг устгахын тулд дараах алхмуудыг хийнэ:

1. 1Устгах дүрмийнхээ хажуудах нүдийг тэмдэглэнэ.

> Тэмдэглэл: Хэд хэдэн дүрэм сонгож болно.

2. 2Хүснэгтийн дээд талын Delete товчийг дарна.

3. 3Хүсэлтээ баталгаажуулахын тулд дахин Delete дарна.

Дүрэм засварлах

Дүрмийг засварлахын тулд Rule name баганад дүрмийн нэрийг дарна. Эсвэл Rule details хажуугийн самбараас Edit rule товчийг дарж болно.

Дүрмийг хэрхэн тохируулах талаар Creating custom detection rules хэсгээс үзнэ үү.

Detection rule details panel

Rule details самбар нь сонгосон дүрмийн мэдээлэл, дүрмийн criteria, дүрмийн tag, дүрмийн outcome болон дүрмийг шинэчлэх, устгах сонголтуудыг агуулна.

1. 1View alerts болон View incidents сонголтууд таныг харгалзан Search болон Incidents хэсэг рүү шилжүүлнэ. Урьдчилан бөглөсөн query автоматаар ажиллаж, тухайн дүрмийн үүсгэсэн бүх alert эсвэл incident-ийг гаргана.
2. 2Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн тохиргоог өөрчлөх боломж олгоно.