Erstellen Sie eine benutzerdefinierte Erkennung

Trigger generieren benutzerdefinierte Erkennungen, indem sie den commitDetection Funktion im Trigger-Skript.

1. Klicken Sie auf das Symbol Systemeinstellungen und klicken Sie dann Trigger.
2. Klicken Sie Erstellen.
3. Geben Sie die folgenden Trigger-Konfigurationseinstellungen an:

   Name

   Geben Sie einen Namen für Ihren Auslöser ein. Dieser Name identifiziert Ihren Auslöser, nicht die Erkennung.

   In unserem Beispiel geben wir den Namen ein: Benutzerdefinierte Erkennung: PowerShell-Verbindung zur verdächtigen Site.

   Beschreibung

   (Optional) Geben Sie die Beschreibung des Auslöser ein. Diese Beschreibung bezieht sich auf den Auslöser, nicht auf die Erkennung.

   In unserem Beispiel geben wir die Beschreibung ein: Erzeugt jedes Mal eine Erkennung, wenn ein PowerShell-Client eine Verbindung zu pastebin, raw.githubusercontent.com oder Githack herstellt. PowerShell-Clients werden durch JA3-Hashes identifiziert.

   Ereignisse

   Wählen Sie das Ereignis aus, bei dem der Auslöser ausgeführt wird.

   In unserem Beispiel wählen wir das Ereignis SSL_OPEN aus. Dieses Ereignis tritt ein, wenn zum ersten Mal eine TLS-Verbindung hergestellt wird.

   Zuweisungen

   Wählen Sie das Gerät oder die Gerätegruppe aus, die Sie überwachen möchten. Weisen Sie Ihren Auslöser zunächst einem einzelnen Gerät zum Testen zu. Nachdem Sie bestätigt haben, dass die benutzerdefinierte Erkennung ordnungsgemäß funktioniert, weisen Sie den Auslöser einer Gerätegruppe zu, die alle Geräte enthält, die Sie überwachen möchten.

   Da PowerShell ein Windows-Befehlszeilentool ist, wählen Sie einen Microsoft-Server aus, um den Auslöser zu testen. Nachdem Sie bestätigt haben, dass die benutzerdefinierte Erkennung ordnungsgemäß funktioniert, ändern Sie die Zuweisung zu einer Gerätegruppe, die alle Ihre wichtigen Microsoft-Server enthält. Weitere Informationen zum Erstellen von Gerätegruppen finden Sie unter Erstellen Sie eine Gerätegruppe.

4. Geben Sie im rechten Bereich den Code ein, der bestimmt, wann Ihre benutzerdefinierte Erkennung generiert wird.
   In unserem Beispiel identifiziert der folgende Triggercode, wenn ein Client eine Verbindung zu pastebin, githubusercontent oder githack initiiert:

   if(SSL.host.match(/pastebin/i) || SSL.host.match(/raw.githubusercontent.com/i) || SSL.host.match(/githack/i)) {
   
   }
   

   Kopieren
5. Geben Sie als Nächstes den Code ein, der Ihre benutzerdefinierte Erkennung festlegt. Das commitDetection Die Funktion muss im folgenden Format geschrieben werden:

    commitDetection('<detection type ID>', {
           title: '<title>',
           description: '<detection description>',
           categories: ['<category>'],
           riskScore: <risk score>,
           participants: [{
               object:<offender participant>,
               role: 'offender'
               }, {
               object: <victim participant>,
               role: 'victim'
               }],
           identityKey: '<identity key>',
           identityTtl: '<time period>',    
           });
   

   Kopieren

   Geben Sie Werte für jeden der folgenden Parameter in Ihrem Skript ein.

   Wert	Beschreibung
   Erkennungstyp-ID	Eine eindeutige Zeichenfolge, die Ihre benutzerdefinierte Erkennung identifiziert. Diese Zeichenfolge darf nur Buchstaben, Zahlen und Unterstriche enthalten.
   Titel	Text, der oben auf der Erkennungskarte erscheint. Geben Sie einen aussagekräftigen Titel ein, der leicht zu scannen ist. Dieser Titel erscheint im Erkennungskatalog als Anzeigename für Ihren Erkennungstyp, gefolgt von [benutzerdefiniert].
   Beschreibung der Erkennung	Text, der unter dem Titel und der Kategorie auf einer Erkennungskarte erscheint. Geben Sie Informationen über das Ereignis ein, das die Erkennung generiert. Dieses Feld unterstützt Markdown. Wir empfehlen, Interpolationsvariablen einzubeziehen, um spezifische Informationen zu Ihrer Erkennung anzuzeigen. Zum Beispiel die Variablen $(Flow.client.ipaddr) und $(Flow.server.ipaddr) die IP-Adresse des Client- und Servergeräts im Fluss anzeigen und $(Flow.l7proto) zeigt das L7-Protokoll an. Einschließen \n am Ende jeder Textzeile, um sicherzustellen, dass die Beschreibung korrekt angezeigt wird.
   Risikoscore	Eine Zahl, die die Wahrscheinlichkeit, Komplexität und geschäftliche Auswirkungen einer Sicherheitserkennung misst. Das Symbol für die Risikobewertung wird oben auf der Erkennungskarte angezeigt und ist nach Schweregrad als rot (80-99), orange (31-79) oder gelb (1-30) farblich gekennzeichnet. Du kannst Entdeckungen nach Risiko sortieren.
   Beteiligter des Täters Teilnehmer des Opfers	Eine Reihe von Objekten, die die Teilnehmer an der Erkennung identifiziert. Definieren Sie die Rolle des Teilnehmer als entweder 'offender' oder 'victim' und geben Sie einen Verweis auf ein Gerät, eine IP-Adresse oder ein Anwendungsobjekt für diese Rolle an. Beispielsweise identifiziert das folgende Array in einem Fluss den Server als Täter und den Client als Opfer: participants: [ { role: 'offender', object: Flow.server.device}, { role: 'victim', object: Flow.client.device } ] Kopieren Weitere Informationen zu Gerät, IP-Adresse und Anwendungsobjekten finden Sie in der Trigger-API-Referenz.
   Identitätsschlüssel	Eine Zeichenfolge, die die Identifizierung laufender Erkennungen ermöglicht. Wenn mehrere Erkennungen mit demselben Identitätsschlüssel und Erkennungstyp innerhalb des von der angegebenen Zeitspanne generiert werden identityTtl Parameter, die Erkennungen werden zu einer einzigen fortlaufenden Erkennung zusammengefasst. Erstellen Sie eine eindeutige Identitätsschlüsselfolge, indem Sie die Merkmale der Erkennung kombinieren. Beispielsweise wird der folgende Identitätsschlüssel erstellt, indem die Server-IP-Adresse und die Client-IP-Adresse kombiniert werden: identityKey: [Flow.server.ipaddr, Flow.client.ipaddr].join('!!') Kopieren
   Zeitraum	Der Zeitraum nach dem Generieren einer Erkennung, in dem doppelte Erkennungen zu einer fortlaufenden Erkennung zusammengefasst werden. Der Zeitraum wird zurückgesetzt und die Erkennung endet erst, wenn der Zeitraum abgelaufen ist. Die folgenden Zeiträume sind gültig: hour day week Der Standardzeitraum ist hour.

   Das folgende Beispiel zeigt den abgeschlossenen Skriptabschnitt.

   commitDetection('powershell_ja3', {
           title: 
   'PowerShell / BitsAdmin Suspicious Connection',
           description: 
   "This TLS client matched a variant of PowerShell." + "\n"+
   "Investigate other client behaviors on the victim host." + "\n"+
   "- ** PowerShell/BitsAdmin JA3 client match**" + "\n"+
   "- **Client IP:** " + Flow.client.ipaddr + "\n"+
   "- **JA3 Client Value:** " + ja3 + "\n"+
   "- **JA3 Client Match:** " + suspect_ja3_hashes[ja3],        
           riskScore: 60,
           participants: [{
               object:Flow.client.device,
               role: 'offender'
               }],
           identityKey: [
               Flow.server.ipaddr,
               Flow.client.ipaddr,
               hash
           ].join('!!'),
           identityTtl: 'hour',    
   });
   

   Kopieren

   Diese Werte werden auf der Erkennungskarte ähnlich der folgenden Abbildung angezeigt:
   

   

   
   

6. Klicken Sie Speichern und klicken Sie dann Erledigt.
   siehe Beispiel für einen benutzerdefinierten Erkennungsauslöser für ein vollständiges kommentiertes Skript.

Nachdem Sie einen Auslöser zur Generierung Ihrer benutzerdefinierten Erkennung erstellt haben, können Sie im Erkennungskatalog einen benutzerdefinierten Erkennungstyp erstellen, um weitere Informationen zu Ihrer Erkennung hinzuzufügen.

1. Loggen Sie sich in das ExtraHop-System ein über https://<extrahop-hostname-or-IP-address>.
2. Klicken Sie auf das Symbol Systemeinstellungen und dann klicken Erkennungskatalog.
3. Führen Sie auf der Seite Erkennungskatalog einen der folgenden Schritte aus:
   • Wenn Ihr Auslöser bereits ausgeführt wurde, fügt das System Ihre benutzerdefinierte Erkennung automatisch dem Katalog hinzu, wobei der im Auslöser angegebene Anzeigename vorangestellt ist [benutzerdefiniert]. Klicken Sie auf den Erkennungstyp, den Sie bearbeiten möchten.
   • Wenn Ihr Erkennungstyp noch nicht erstellt wurde, klicken Sie auf Erstellen.
4. Füllen Sie die folgenden Felder aus:

   Name anzeigen

   Geben Sie einen eindeutigen Namen für den Titel der Erkennung ein.

   Erkennungstyp-ID

   Geben Sie den Wert ein, den Sie für die Erkennungstyp-ID im Auslöser eingegeben haben. Wenn Sie beispielsweise Folgendes eingegeben haben: commitDetection('network_segmentation_breach'), die Erkennungstyp-ID lautet „network_segmentation_breach". Sie können die Erkennungstyp-ID nicht bearbeiten, nachdem der Erkennungstyp gespeichert wurde.

   Autor

   Geben Sie den Autor der benutzerdefinierten Erkennung ein.

   MITRE Technik

   Wählen Sie aus der Dropdownliste eine oder mehrere MITRE-Techniken aus, die Sie mit der Erkennung verknüpfen möchten.

5. klicken Speichern.