Custom exclusion rules хуудсанд тусгай үл хамаарах дүрмийг хэрхэн үүсгэх вэ?

Custom exclusion rules (Тусгай үл хамаарах дүрэм) хуудаслаар тодорхой үйлдлийг таны байгууллагад хамаагүй гэж тэмдэглэх дүрэм тодорхойлно. Ингэснээр Incidents хуудсанд incident үүсэхээс сэргийлнэ.

Хүснэгтийг өөрийн хэрэгцээнд тохируулахад эдгээр товчийг ашиглана:

• Reset view товчийг дарж хүснэгтийг үндсэн тохиргоонд (харагдах багана, шүүлтүүр) буцаана. Энэ нь одоо байгаа шүүлтүүр болон тэдгээрийн утгыг бас цэвэрлэнэ.
• Show or hide filters (Шүүлтүүр харуулах эсвэл нуух) товчийг дарж шүүлтүүрийн мөрийг харуулах эсвэл нууна.
• Open Settings (Тохиргоо нээх) товчийг дарж хүснэгтэд багана нэмэх эсвэл хасна.

Тусгай үл хамаарах дүрэм үүсгэх

Тусгай үл хамаарах дүрэм үүсгэхийн тулд дараах алхмыг дагана:

1. 1Custom exclusion rules хуудсанд Add rule товчийг дарна.

Таныг Add rule хуудас руу шилжүүлнэ.

2. 2Exclusion rule definition (Үл хамаарах дүрмийн тодорхойлолт) хэсэгт дараах тохиргоог хийнэ:

1. Exclude every талбараас дүрэмд оруулах элементийн төрлийг сонгоно.

- Process
- File
- Registry
- Connection
- User connection
- Email
- Application
- Key vault
- Role
- Policy
- Sharing link
- Flow
- URL
- SSH key
- Launch template
- Service principal
- User group
- Automation account
- Automation account hook
- API
- Certificate authority
- Bucket
- Bitbucket repository
- Jira project
- Confluence page

> Анхааруулга: Зорилтот объект бүр дээр лицензийн шаардлагын шошго харагдана. Энэ нь тухайн объектын бүх шалгуурыг ашиглахад EDR эсвэл тодорхой XDR sensor хэрэгтэй эсэхийг заана.

> Анхааруулга: Зорилтот объектод шаардлагатай лицензүүдийн аль нь ч байхгүй бол алдааны мэдэгдэл гарч, тухайн зорилтот объект идэвхгүй болно. Идэвхжүүлэхийн тулд шаардлагатай лицензүүдийн дор хаяж нэгийг идэвхжүүлнэ.

2. Matching the following тохиргоогоор дүрмийг ажиллуулах нөхцөлийг тодорхойлно:

- Select criteria талбараас дүрэмд хэрэгтэй параметрүүдийг сонгоно. Эдгээр нь Type value here талбарт оруулсан таны утгатай харьцуулагдах элементүүд юм.

Зарим талбар зөвхөн XDR эсвэл EDR технологитой нийцнэ. Эдгээрийг EDR эсвэл XDR шошгоор тэмдэглэсэн байна. Жишээлбэл, EDR шошготой параметр ашигласан дүрэм XDR боломжоор илрүүлсэн үйлдэлд хамаарахгүй.

Шошгогүй параметр хоёр технологид хоёуланд нь хамаарна.

> Зөвлөмж: Тодорхой alert-үүдээс incident үүсэхээс сэргийлэхийн тулд Alert name параметрийг ашиглаж болно.
>
> Энэ параметрийг ашиглахдаа оруулсан утга нь GravityZone-д харагдах alert-ийн нэртэй яг таарч байх ёстой. Энэ параметр wildcard дэмждэггүй бөгөөд зөвхөн Is оператортой нийцнэ.

- Select operator талбарт сонгосон шалгуур болон Type value here талбарт оруулсан утгын хоорондын хамаарлыг тохируулна:

- Is — утгын талбарт оруулсан утгатай яг таарна.

- Contains — утгын талбарт оруулсан тэмдэгт мөр агуулсан бүх утгатай таарна (жишээлбэл, файлын өргөтгөл).

> Анхаарах: Үл хамаарах дүрэм үүсгэхдээ wildcard-ыг болгоомжтой ашигла. Ингэснээр дүрэм хэт ерөнхий болох эрсдэл нэмэгдэнэ. Хэт ерөнхий дүрэм жинхэнэ аюулыг орхигдуулах магадлалыг нэмж, байгууллагыг эмзэг болгож болзошгүй.

- Is one of — утгын талбарт оруулсан аль нэг утгатай таарна (утгуудын хооронд OR үйлдэл хийгдэнэ). Утга бүрийн дараа Enter дарж үйлдлээ дуусгана.

- Type value here талбарт шалгуурыг харьцуулах өөрийн утгыг оруулна.

> Зөвлөмж: Registry объектыг чиглэсэн, Key шалгуур ашигласан тусгай дүрмийн хувьд registry key-ийн замд дэмжигдсэн root key-ийн товчлолыг хэрэглэх ёстой. Бүтэн registry hive нэр (жишээлбэл, HKEY_LOCAL_MACHINE) ашигласан дүрэм таарахгүй тул хэзээ ч ажиллахгүй. Registry key-ийн замыг зааж өгөхдөө дараах харгалзааг ашиглана:
>
> - HKEY_LOCAL_MACHINE: HKLM
> - HKEY_CURRENT_USER: HKCU
> - HKEY_USERS: HKU
> - HKEY_CLASSES_ROOT: HKCR
> - HKEY_CURRENT_CONFIG: HKCC
>
> Нэмж, SID-ээр эхлээгүй HKEY_USERS key-д (жишээлбэл, HKEY_USERS\.DEFAULT) HKLU товчлолыг ашиглана.

3. (Заавал биш) Add new товчоор дүрэмд нэмэлт шалгуур нэмнэ.

> Тэмдэглэл: Дүрэм нь бүх шалгуур биелсэн үед л incident-ийг хасна (нэмсэн шалгууруудын хооронд AND үйлдэл хийгдэнэ).

4. Next дарна.

> Тэмдэглэл: XDR alert-д хэрэглэх дүрэм нь харилцан үйлдлийн (interaction) түвшинд ажиллана. 2-оос олон node-той харилцан үйлдэл бүхий alert-ийг хасахыг хүсвэл, хасахыг хүссэн бүх харилцан үйлдлийг хамруулахаар дүрмээ тохируулах хэрэгтэй.

3. 3Rule configuration хэсгийн тохиргоог хийнэ:

1. Rule configuration хэсэгт дүрмийн нэр, тайлбарыг бичиж, шошго (tag) нэмнэ.

Дүрмийн шошго нь дүрмүүдийг таних, бүлэглэх, эрэмбэлэхэд тусална. Таны дүрэмд тохирох шошго байхгүй бол Create tag товчийг дарж нэмж болно.

2. Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable custom rule нүдийг тэмдэглэнэ.

3. Rule outcome хэсгийн мэдээллийг уншина. Энэ нь дүрмийн хэрэглээ болон үр дагаврыг харуулна.

4. Next дарна.

4. 4Exclusion rule targets хэсэгт дүрмийг хаана хэрэглэхийг тохируулна:

Дүрмийг төгсгөлийн төхөөрөмжүүдэд (endpoint) хэрэглэх хоёр арга бий:

- Дүрмийг байгууллагадаа шууд хэрэглэх — энэ арга нь таны байгууллагын бүх удирдагдаж буй объектод дүрмийг хэрэглэнэ.

> Тэмдэглэл: Энэ сонголт таны байгууллагын нэрээр харагдана.

Энэ арга нь бүх параметртэй нийцнэ.

- Endpoint tags — энэ арга нь зөвхөн тодорхой шошго оноосон endpoint-уудад дүрмийг хэрэглэнэ.

Энэ аргаар хэрэглэсэн дүрэм зөвхөн EDR боломжоор илрүүлсэн үйлдэлд хамаарна. XDR технологитой нийцэхгүй.

> Зөвлөмж: Endpoint шошгыг Network > Tags Management хуудаснаас удирдаж болно.

Хэсгийн зүүн талын Endpoint tags жагсаалтаас хүссэн шошгоныхоо нүдийг тэмдэглэнэ. Тодорхой шошго хайхдаа хайлтын талбарыг ашиглаж болно.

Сонгосон бүх шошго хэсгийн баруун талын Selected endpoint tags жагсаалтад нэмэгдэнэ.

5. 5Save дарна.

Шинэ дүрэм Custom exclusion rules хүснэгтэд гарч ирнэ. Үүсэх alert-үүдийг Incidents > Search хуудсанд query-дээ other.rule_id талбарыг ашиглан харж болно.

Үл хамаарах дүрмийн дэлгэрэнгүйг үзэх

Тодорхой дүрмийн дэлгэрэнгүйг үзэхийн тулд дүрмийг хүснэгтээс олж, мөрийн аль ч хэсгийг дарснаар Rule details хажуугийн самбар нээгдэнэ.

Самбарт дүрмийг үүсгэсэн тухай мэдээлэл, түүнд хэрэглэсэн тохиргоо болон дараах сонголтууд байна:

• View alerts сонголт нь таныг Search хуудас руу аваачиж, тухайн дүрмээс үүссэн бүх alert-ийг татах query-г автоматаар ажиллуулна.
• Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн тохиргоог өөрчлөх боломж олгоно.
• Delete товч нь дүрмийг бүрмөсөн устгана.