Überwachen Sie die Netzwerksegmentierung mit benutzerdefinierten Erkennungen

Zunächst erstellen wir eine Gerätegruppe, die alle IP-Adressen in den folgenden CIDR-Blöcken enthält:

1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
2. klicken Vermögenswerte.
3. klicken Gerätegruppen.
4. klicken Gerätegruppe erstellen.
5. In der Name der Gruppe Textfeld, Typ Privileged Network.
6. klicken Dynamisch.
7. klicken Alle abgleichen und wählen Sie dann Beliebiges abgleichen aus dem Drop-down-Menü.
8. klicken Name, und wählen Sie dann IP-Adresse aus dem Drop-down-Menü.
9. Geben Sie in das Textfeld 192.168.1.0/24.
10. klicken Filter hinzufügen um einen zusätzlichen Filter hinzuzufügen.
11. klicken Name, und wählen Sie dann IP-Adresse aus dem Drop-down-Menü.
12. Geben Sie in das Textfeld 192.168.2.0/24.

Als Nächstes erstellen wir den Auslöser, der benutzerdefinierte Erkennungen generiert. Trigger generieren benutzerdefinierte Erkennungen, indem sie den aufrufen commitDetection Funktion im Trigger-Skript.

1. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Auslöser.
2. klicken Erstellen.
3. In der Name Feld, Typ Network Segmentation Custom Detection.
4. In der Beschreibung Feld, geben Sie den folgenden Text ein:

   Creates a detection every time a device in the privileged network communicates with a device outside of the privileged network.

   Kopieren
5. Klicken Sie in den Ereignisse Feld und Auswahl FLOW_CLASSIFY.
   Der Auslöser wird für das FLOW_CLASSIFY-Ereignis ausgeführt, das ausgeführt wird, wenn ein Flow anfänglich einem bestimmten Protokoll zugeordnet ist. Dieser Schritt stellt sicher, dass alle Datenflüsse auf verdächtiges Verhalten untersucht werden.
6. In der Zuweisungen Feld, Typ Privileged Network, und wählen Sie dann die Gruppe aus, die Sie im vorherigen Verfahren erstellt haben.
7. Geben Sie im rechten Bereich das folgende Triggerskript ein:

   const client = Flow.client.device;
   const server = Flow.server.device;
   if (!client.hasTrigger) {
       commitDetection('network_segmentation_breach', {
           title: 'Network Segmentation Breach',
           description: `Device ${client.id} accessed privileged device ${server.id} over ${Flow.l7proto}`,
           categories: ['sec.caution'],
           riskScore: 80,
           participants: [{
               object: client,
               role: 'offender'
           }, {
               object: server,
               role: 'victim'
           }],
           identityKey: [client.id, server.id].join('!!'),
       });
   }

   Kopieren
8. klicken Speichern und dann klicken Erledigt.

Als Nächstes erstellen wir einen benutzerdefinierten Erkennungstyp, mit dem Sie benutzerdefinierten Erkennungen Anzeigenamen und MITRE-Kategorien hinzufügen können.

1. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Erkennungskatalog.
2. klicken Erstellen.
3. In der Name anzeigen Feld, Typ Network Segmentation Breach.
4. In der Erkennungstyp-ID Feld, Typ network_segmentation_breach.
5. klicken Speichern.

Nachdem Sie den Auslöser gespeichert haben, können Sie die vom Auslöser generierten Erkennungen auf der Seite Erkennungen anzeigen.

1. klicken Erkennungen.
2. klicken Typen.
3. klicken Verletzung der Netzwerksegmentierung um Details zu jeder einzelnen Erkennung anzuzeigen.

   Hinweis:

   Verletzung der Netzwerksegmentierung erscheint nur, wenn der Auslöser während des ausgewählten Zeitintervalls Erkennungen generiert.