Erstellen Sie eine benutzerdefinierte Erkennung

Trigger generieren benutzerdefinierte Erkennungen, indem sie den aufrufen commitDetection Funktion im Trigger-Skript.

1. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Auslöser.
2. klicken Erstellen.
3. Geben Sie die folgenden Einstellungen für die Trigger-Konfiguration an:

   Name

   Geben Sie einen Namen für Ihren Auslöser ein. Dieser Name identifiziert Ihren Auslöser, nicht die Erkennung.

   In unserem Beispiel geben wir den Namen ein: Benutzerdefinierte Erkennung: PowerShell-Verbindung zu verdächtiger Site.

   Beschreibung

   (Optional) Geben Sie die Beschreibung des Auslöser ein. Diese Beschreibung bezieht sich auf den Auslöser, nicht auf die Erkennung.

   In unserem Beispiel geben wir die Beschreibung ein: Erzeugt jedes Mal eine Erkennung, wenn ein PowerShell-Client eine Verbindung zu Pastebin, raw.githubusercontent.com oder Githack herstellt. PowerShell-Clients werden durch JA3-Hashes identifiziert.

   Ereignisse

   Wählen Sie das Ereignis aus, für das der Auslöser ausgeführt wird.

   In unserem Beispiel wählen wir das Ereignis SSL_OPEN aus. Dieses Ereignis tritt auf, wenn eine SSL-Verbindung zum ersten Mal hergestellt wird.

   Zuweisungen

   Wählen Sie das Gerät oder die Gerätegruppe aus, die Sie überwachen möchten. Weisen Sie Ihren Auslöser zunächst einem einzelnen Gerät zum Testen zu. Nachdem Sie bestätigt haben, dass die benutzerdefinierte Erkennung ordnungsgemäß funktioniert, weisen Sie den Auslöser einer Gerätegruppe zu, die alle Geräte enthält, die Sie überwachen möchten.

   Da PowerShell ein Windows-Befehlszeilentool ist, wählen Sie einen Microsoft-Server aus, um den Auslöser zu testen. Nachdem Sie sich vergewissert haben, dass die benutzerdefinierte Erkennung ordnungsgemäß funktioniert, ändern Sie die Zuweisung zu einer Gerätegruppe, die all Ihre wichtigen Microsoft-Server enthält. Weitere Informationen zum Erstellen von Gerätegruppen finden Sie unter Eine Gerätegruppe erstellen.

4. Geben Sie im rechten Bereich den Code ein, der bestimmt, wann Ihre benutzerdefinierte Erkennung generiert wird.
   In unserem Beispiel identifiziert der folgende Triggercode, wann ein Client eine Verbindung zu Pastebin, githubusercontent oder Githack initiiert:

   if(SSL.host.match(/pastebin/i) || SSL.host.match(/raw.githubusercontent.com/i) || SSL.host.match(/githack/i)) {
   
   }
   

   Kopieren
5. Geben Sie als Nächstes den Code ein, der Ihre benutzerdefinierte Erkennung festlegt. Die commitDetection Die Funktion muss im folgenden Format geschrieben werden:

    commitDetection('<detection type ID>', {
           title: '<title>',
           description: '<detection description>',
           categories: ['<category>'],
           riskScore: <risk score>,
           participants: [{
               object:<offender participant>,
               role: 'offender'
               }, {
               object: <victim participant>,
               role: 'victim'
               }],
           identityKey: '<identity key>',
           identityTtl: '<time period>',    
           });
   

   Kopieren

   Geben Sie Werte für jeden der folgenden Parameter in Ihrem Skript ein.

   Wert	Beschreibung
   Erkennungstyp-ID	Eine eindeutige Zeichenfolge, die Ihre benutzerdefinierte Erkennung identifiziert. Diese Zeichenfolge darf nur Buchstaben, Zahlen und Unterstriche enthalten.
   Titel	Text, der oben auf der Erkennungskarte erscheint. Geben Sie einen aussagekräftigen Titel ein, der leicht zu scannen ist. Dieser Titel erscheint im Erkennungskatalog als Anzeigename für Ihren Erkennungstyp, gefolgt von [benutzerdefiniert].
   Beschreibung der Erkennung	Text, der auf einer Erkennungskarte unter dem Titel und der Kategorie angezeigt wird. Geben Sie Informationen über das Ereignis ein, das die Erkennung generiert. Dieses Feld unterstützt Markdown. Wir empfehlen, Interpolationsvariablen einzubeziehen, um spezifische Informationen zu Ihrer Erkennung anzuzeigen. Zum Beispiel die Variablen $(Flow.client.ipaddr) und $(Flow.server.ipaddr) die IP-Adresse des Client- und Servergeräts im Fluss anzeigen und $(Flow.l7proto) zeigt das L7-Protokoll an. Einschließen \n am Ende jeder Textzeile, um sicherzustellen, dass die Beschreibung korrekt angezeigt wird.
   Risikoscore	Eine Zahl, die die Wahrscheinlichkeit, Komplexität und die geschäftlichen Auswirkungen einer Sicherheitserkennung misst. Das Risikoeinstufungssymbol wird oben auf der Erkennungskarte angezeigt und ist nach Schweregrad farblich gekennzeichnet: Rot (80-99), Orange (31-79) oder Gelb (1-30). Du kannst Erkennungen nach Risiko sortieren.
   Täter, Teilnehmer Teilnehmer des Opfers	Eine Reihe von Objekten, die die Teilnehmer an der Erkennung identifizieren. Definieren Sie die Rolle des Teilnehmer als entweder 'offender' oder 'victim' und geben Sie einen Verweis auf ein Gerät, eine IP-Adresse oder ein Anwendungsobjekt für diese Rolle an. Das folgende Array identifiziert beispielsweise den Server als Täter und den Client als Opfer in einem Fluss: participants: [ { role: 'offender', object: Flow.server.device}, { role: 'victim', object: Flow.client.device } ] Kopieren Weitere Informationen zu Gerät, IP-Adresse und Anwendungsobjekten finden Sie in der Trigger-API-Referenz.
   Identitätsschlüssel	Eine Zeichenfolge, die die Identifizierung laufender Erkennungen ermöglicht. Wenn mehrere Erkennungen mit demselben Identitätsschlüssel und demselben Erkennungstyp innerhalb des angegebenen Zeitraums generiert werden identityTtl Parameter, die Erkennungen werden zu einer einzigen laufenden Erkennung zusammengefasst. Erstellen Sie eine eindeutige Identitätsschlüsselzeichenfolge, indem Sie Merkmale der Erkennung kombinieren. Der folgende Identitätsschlüssel wird beispielsweise durch die Kombination der Server-IP-Adresse und der Client-IP-Adresse erstellt: identityKey: [Flow.server.ipaddr, Flow.client.ipaddr].join('!!') Kopieren
   Zeitraum	Die Zeitspanne nach der Generierung einer Erkennung, in der doppelte Erkennungen zu einer fortlaufenden Erkennung zusammengefasst werden. Der Zeitraum wird zurückgesetzt und die Erkennung endet erst, wenn der Zeitraum abgelaufen ist. Die folgenden Zeiträume sind gültig: hour day week Der Standardzeitraum ist hour.

   Das folgende Beispiel zeigt den fertigen Skriptabschnitt.

   commitDetection('powershell_ja3', {
           title: 
   'PowerShell / BitsAdmin Suspicious Connection',
           description: 
   "This SSL client matched a variant of PowerShell." + "\n"+
   "Investigate other client behaviors on the victim host." + "\n"+
   "- ** PowerShell/BitsAdmin JA3 client match**" + "\n"+
   "- **Client IP:** " + Flow.client.ipaddr + "\n"+
   "- **JA3 Client Value:** " + ja3 + "\n"+
   "- **JA3 Client Match:** " + suspect_ja3_hashes[ja3],        
           riskScore: 60,
           participants: [{
               object:Flow.client.device,
               role: 'offender'
               }],
           identityKey: [
               Flow.server.ipaddr,
               Flow.client.ipaddr,
               hash
           ].join('!!'),
           identityTtl: 'hour',    
   });
   

   Kopieren

   Diese Werte erscheinen auf der Erkennungskarte ähnlich der folgenden Abbildung:
   

   

   
   

6. klicken Speichern und dann klicken Erledigt.
   siehe Beispiel für einen benutzerdefinierten Erkennungsauslöser für ein vollständiges kommentiertes Skript.

Nachdem Sie einen Auslöser zur Generierung Ihrer benutzerdefinierten Erkennung erstellt haben, können Sie im Erkennungskatalog einen benutzerdefinierten Erkennungstyp erstellen, um weitere Informationen zu Ihrer Erkennung hinzuzufügen.

1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Erkennungskatalog.
3. Führen Sie auf der Seite Erkennungskatalog einen der folgenden Schritte aus:
   • Wenn Ihr Auslöser bereits ausgeführt wurde, fügt das System Ihre benutzerdefinierte Erkennung automatisch dem Katalog hinzu, wobei der im Auslöser angegebene Anzeigename vorangestellt ist [benutzerdefiniert]. Klicken Sie auf den Erkennungstyp, den Sie bearbeiten möchten.
   • Wenn Ihr Erkennungstyp noch nicht erstellt wurde, klicken Sie auf Erstellen.
4. Füllen Sie die folgenden Felder aus:

   Name anzeigen

   Geben Sie einen eindeutigen Namen für den Titel der Erkennung ein.

   Erkennungstyp-ID

   Geben Sie den Wert ein, den Sie für die Erkennungstyp-ID im Auslöser eingegeben haben. Wenn Sie beispielsweise Folgendes eingegeben haben: commitDetection('network_segmentation_breach'), die Erkennungstyp-ID lautet „network_segmentation_breach". Sie können die Erkennungstyp-ID nicht bearbeiten, nachdem der Erkennungstyp gespeichert wurde.

   Autor

   Geben Sie den Autor der benutzerdefinierten Erkennung ein.

   MITRE Technik

   Wählen Sie aus der Dropdownliste eine oder mehrere MITRE-Techniken aus, die Sie mit der Erkennung verknüpfen möchten.

5. klicken Speichern.