Custom detection rules (өөрийн илрүүлэлтийн дүрэм) хэрхэн үүсгэж удирдах вэ?

Custom detection rules (Өөрийн илрүүлэлтийн дүрэм) хуудаснаар өөрийн орчны тодорхой үйлдлийг хүчинтэй илрүүлэлт гэж тооцох дүрмийг тодорхойлж, тэдгээрт тохирсон incident-ийг The Incidents page хуудсанд үүсгүүлнэ.

1. 1
   Шинэ илрүүлэлтийн дүрэм үүсгэхийн тулд Add rule товчийг дарна. Дэлгэрэнгүйг доорх Custom detection rules үүсгэх хэсгээс үзнэ үү.
2. 2
   Глобал нүд эсвэл дүрэм тус бүрийн нүдийг тэмдэглэж сонгоно. Нэг буюу хэд хэдэн дүрэм сонгосны дараа дараах байдлаар удирдана:

   • Дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгохын тулд Change status унждаг цэсийг дараад хүссэн үйлдлээ сонгоно.
   • Дүрмийг устгахын тулд Delete дарна.
3. 3
   Хүснэгтийг өөрчлөхийн тулд дараах товчнуудыг ашиглана:

   • Хүснэгтийг харуулах багана болон шүүлтүүрийн анхдагч тохиргоо руу буцаахын тулд Reset view товчийг дарна. Энэ нь одоо байгаа шүүлтүүр болон тэдгээрийн утгыг мөн цэвэрлэнэ.
   • Шүүлтүүрийн мөрийг харуулах эсвэл нуухын тулд Show or hide filters товчийг дарна.
   • Хүснэгтэд багана нэмэх, хасахын тулд Open Settings товчийг дарна.
4. 4
   Дүрмийн нэрийг дарж засварлах горимд орж дүрмийг шинэчилнэ. Жагсаалтаас дүрмийг дарж Details самбарыг дэлгээд дүрмийн дэлгэрэнгүйг харах, шинэчлэх эсвэл устгаж болно. Дэлгэрэнгүйг доорх Detection rule details panel хэсгээс үзнэ үү.

Custom detection rules үүсгэх

Custom detection rules үүсгэхийн тулд дараах алхмуудыг хийнэ:

1. 1
   Custom detection rules хуудсанд Add rule товчийг дарна.

   Таныг Add rule хуудас руу шилжүүлнэ.

   Add rule хэсгээс YARA дүрмийн тодорхойлолтын хуудас руу шилжих боломжтой.

   Зөвлөмж

   YARA илрүүлэлтийн дүрэм үүсгэх талаар YARA detection rules хуудаснаас үзнэ үү.

2. 2
   Step 1: Detection rule definition-ийн тохиргоог хийнэ:

   1. Consider as detection every хэсэгт дүрэм хамаарах entity-ийн төрлийг сонгоно.
      • Process
      • File
      • Connection
      • Registry
      • User connection
      • Email
   2. Matching the following хэсэгт дараах талбаруудыг тохируулж нэг буюу хэд хэдэн дүрэм үүсгэнэ:
      • Criteria - Value талбарт оруулсан утгатай харьцуулах бүрэлдэхүүн, entity, тохиргоо эсвэл утгыг сонгоно.

        Тэмдэглэл

        Боломжит сонголтууд Consider as detection every талбарт сонгосон entity-ээс хамаарч өөр өөр байна.

      • Operator - Criteria-д сонгосон утга болон Value-д оруулсан утгын хоорондын хамаарлыг сонгоно. Дараах сонголтууд байна:
        • Is - Criteria-ийн утга Value талбарт оруулсан утгатай яг таарна.
        • Contains - Criteria-ийн утга Value талбарт оруулсан тэмдэгт мөрийг агуулна (жишээ нь файлын өргөтгөл).

          Чухал

          • Илрүүлэлтийн дүрэмд wildcard-ыг болгоомжтой ашиглана уу, учир нь дүрэм хэт ерөнхий болох эрсдэлтэй. Хэт ерөнхий дүрэм буруу илрүүлэлттэй incident-ийг хэт олноор үүсгэж болно.
          • Contains operator ашигласан аливаа criteria-ийн хувьд утга wildcard ашиглахыг дэмжинэ.
        • Is one of - Criteria-ийн утга Value талбарт оруулсан утгуудын аль нэгтэй таарна (утгуудын хооронд OR үйлдэл хийгдэнэ).

          Утга бүрийг оруулсны дараа Enter дарж баталгаажуулна.

      • Value - Criteria-ийн утгатай харьцуулах тэмдэгт мөрийг оруулна.

        Зөвлөмж

        Registry объектыг чиглэсэн, Key шалгуур ашигласан тусгай дүрмийн хувьд registry key-ийн замд дэмжигдсэн root key-ийн товчлолыг хэрэглэх ёстой. Бүтэн registry hive нэр (жишээлбэл, HKEY_LOCAL_MACHINE) ашигласан дүрэм таарахгүй тул хэзээ ч ажиллахгүй. Registry key-ийн замыг зааж өгөхдөө дараах харгалзааг ашиглана:

        • HKEY_LOCAL_MACHINE: HKLM
        • HKEY_CURRENT_USER: HKCU
        • HKEY_USERS: HKU
        • HKEY_CLASSES_ROOT: HKCR
        • HKEY_CURRENT_CONFIG: HKCC

        Нэмж, SID-ээр эхлээгүй HKEY_USERS key-д (жишээлбэл, HKEY_USERS\.DEFAULT) HKLU товчлолыг ашиглана.

      Шинэ criterion бүрийг дүрэмд нэмэхийн тулд Add new дарна.

      Чухал

      Дүрэм зөвхөн нэмсэн бүх criteria биелсэн үед incident үүсгэнэ (нэмсэн criteria-ийн хооронд AND үйлдэл хийгдэнэ).

   3. Next дарна.
3. 3
   Step 2: Detection rule settings-ийн тохиргоог хийнэ:

   1. Rule configuration хэсгийн тохиргоог хийнэ:
      1. Rule name хэсэгт дүрмийн тайлбарлах нэр бичнэ.
      2. Description хэсэгт дүрэм юу хийдгийг товч тайлбарлана.
      3. Дүрэмд хэрэглэх Rule tags-ийг сонгоно.

         Rule tag нь дүрмийг тодорхойлох, бүлэглэх, эрэмбэлэхэд тусална. Тохирох tag байхгүй бол Create tag товчийг дарж шинээр нэмнэ.

      4. Дүрмийг үүсгэсний дараа шууд идэвхжүүлэхийн тулд Enable custom rule нүдийг тэмдэглэнэ.

         Энэ сонголтыг идэвхжүүлбэл тодорхой төхөөрөмж дээр дүрэмд заасан нөхцөл биелэх болгонд сэрэмжлүүлэг (alert) үүснэ.

   2. Rule outcome хэсгийн тохиргоог хийнэ:
      1. Generate alert with severity level хэсэгт энэ дүрэм ажилласнаас үүсэх бүх сэрэмжлүүлэгт оноох severity түвшнийг сонгоно.
      2. Дүрэм ажиллах үед incident автоматаар үүсгэхийн тулд Generate security incident нүдийг тэмдэглэнэ.

         Тэмдэглэл

         Энэ тохиргоо автомат үйлдлийг идэвхжүүлэхэд шаардлагатай.

   3. Next дарна.
4. 4
   3-р алхам Detection rule targets-ийн тохиргоог хийнэ:

   1. Rule targets хэсэгт Apply rule on targets from тохиргооны боломжуудаас нэгийг сонгоно:
      • Select your company - Дүрэм таны компанийн удирддаг бүх төхөөрөмжид хамаарна.
      • Endpoint tags - Таны компанид байгаа endpoint tags-ийн жагсаалтаас сонгоно. Дүрэм зөвхөн сонгосон шошго тавигдсан төхөөрөмжүүдэд хамаарна. Эдгээр шошгыг Network > Tags Management хэсэгт үүсгэж, удирдана.

        Endpoint tags сонголтыг сонгоход зүүн талын цэснээс шошгоо сонгох бөгөөд сонгосон шошгууд баруун талын цэсэнд харагдана.

   2. Next дарна.
5. 5
   Step 4: Automatic actions-ийн тохиргоог хийнэ:

   1. Автомат үйлдлийг идэвхжүүлэхийн тулд Enable automatic actions нүдийг тэмдэглэнэ. Эдгээр нь дүрэм ажиллах болгонд зорилтот объектод хэрэгжинэ.
   2. Доорх жагсаалтаас энэ дүрэмд идэвхжүүлэх үйлдлүүдээ сонгоно:

      Дараах автомат үйлдлүүд байна:

      • Isolate
      • Add to Sandbox
      • Antimalware scan
      • Quarantine
      • Kill process

        Чухал

        Таны платформ, компанийн лиценз, төхөөрөмж дээр суусан модулиас хамаарч зарим үйлдэл боломжгүй байж болно.

      Зарим үйлдлийг Edit settings товчийг дарж нэмэлтээр тохируулж болно.

   3. Save дарна.

      Шинэ дүрэм Custom detection rules хүснэгтэд харагдана.

Custom detection rules удирдах

Дүрмийн статусыг өөрчлөх

Дүрмийг идэвхжүүлэх эсвэл идэвхгүй болгохын тулд дараах алхмуудыг хийнэ:

1. 1
   Өөрчлөх дүрмийнхээ хажуудах нүдийг тэмдэглэнэ.

   Тэмдэглэл

   Хэд хэдэн дүрэм сонгож болно.

2. 2
   Хүснэгтийн дээд талын Change status товчийг дарна.
3. 3
   Хийх үйлдлээ дарна.

Эсвэл хүснэгтийн баруун талд байгаа холбогдох цэсийн зүйлийг дараад хийх үйлдлээ сонгож болно.

Дүрэм устгах

Дүрмийг устгахын тулд дараах алхмуудыг хийнэ:

1. 1
   Устгах дүрмийнхээ хажуудах нүдийг тэмдэглэнэ.

   Тэмдэглэл

   Хэд хэдэн дүрэм сонгож болно.

2. 2
   Хүснэгтийн дээд талын Delete товчийг дарна.
3. 3
   Хүсэлтээ баталгаажуулахын тулд дахин Delete дарна.

Хэд хэдэн дүрэм сонгож болно.

Дүрэм засварлах

Дүрмийг засварлахын тулд Rule name баганад дүрмийн нэрийг дарна. Эсвэл Rule details хажуугийн самбараас Edit rule товчийг дарж болно.

Дүрмийг хэрхэн тохируулах талаар дээрх Custom detection rules үүсгэх хэсгээс үзнэ үү.

Detection rule details panel

Rule details самбар нь сонгосон дүрмийн мэдээлэл, дүрмийн criteria, дүрмийн tag, дүрмийн outcome болон дүрмийг шинэчлэх, устгах сонголтуудыг агуулна.

View incidents сонголт таныг Incidents хэсэг рүү шилжүүлнэ. Урьдчилан бөглөсөн query автоматаар ажиллаж, тухайн дүрмийн үүсгэсэн бүх incident-ийг гаргана.

Edit rule товч нь дүрмийн тодорхойлолтын цонхыг нээж, дүрмийн тохиргоог өөрчлөх боломж олгоно.