Créer une détection personnalisée

Les déclencheurs génèrent des détections personnalisées en appelant la fonction commitDetectiondans le script du déclencheur.

1. Cliquez sur l'icône Paramètres système , puis sur Déclencheurs.
2. Cliquez sur Créer.
3. Spécifiez les paramètres de configuration des déclencheurs suivants :

   Nom

   Saisissez un nom pour votre déclencheur. Ce nom identifie votre déclencheur, et non la détection.

   Dans notre exemple, nous allons entrer le nom : Custom Detection : Connexion PowerShell à un site suspect.

   Description

   (Facultatif) Saisissez la description du déclencheur. Cette description concerne le déclencheur et non la détection.

   Dans notre exemple, nous allons saisir la description suivante : Crée une détection chaque fois qu'un client PowerShell se connecte à pastebin, raw.githubusercontent.com ou githack. Les clients PowerShell sont identifiés par des hachages JA3.

   Événements

   Sélectionnez l'événement sur lequel le déclencheur s'exécute.

   Dans notre exemple, nous allons sélectionner l'événement SSL_OPEN. Cet événement se produit lorsqu'une connexion SSL est établie pour la première fois.

   Affectations

   Sélectionnez le dispositif ou le groupe de dispositifs que vous souhaitez surveiller. Dans un premier temps, affectez votre déclencheur à un seul dispositif à des fins de test. Une fois que vous avez confirmé que la détection personnalisée fonctionne correctement, affectez le déclencheur à un groupe de périphériques qui contient tous les périphériques que vous souhaitez surveiller

   .Comme PowerShell est un outil de ligne de commande Windows, sélectionnez un serveur Microsoft pour tester le déclencheur. Une fois que vous avez confirmé que la détection personnalisée fonctionne correctement, modifiez l'affectation à un groupe de dispositifs qui contient tous vos serveurs Microsoft critiques. Pour plus d'informations sur la création de groupes de dispositifs, voir Créer un groupe de dispositifs.

4. Dans le volet de droite, saisissez le code qui détermine le moment où votre détection personnalisée est générée.
   Dans notre exemple, le code de déclenchement suivant identifie le moment où un client se connecte à pastebin, githubusercontent ou githack :

   if(SSL.host.match(/pastebin/i) || SSL.host.match(/raw.githubusercontent.com/i) || SSL.host.match(/githack/i)) {
   
   }
   

   Copier
5. Saisissez ensuite le code qui valide votre détection personnalisée. La fonction commitDetection doit être écrite dans le format suivant :

    commitDetection('<detection type ID>', {
           title: '<title>',
           description: '<detection description>',
           categories: ['<category>'],
           riskScore: <risk score>,
           participants: [{
               object:<offender participant>,
               role: 'offender'
               }, {
               object: <victim participant>,
               role: 'victim'
               }],
           identityKey: '<identity key>',
           identityTtl: '<time period>',    
           });
   

   Copier

   Entrez des valeurs pour chacun des paramètres suivants dans votre script.

   Valeur	Description
   ID du type de détection	Une chaîne unique qui identifie votre détection personnalisée. Cette chaîne ne peut contenir que des lettres, des chiffres et des traits de soulignement.
   titre	Texte apparaissant en haut de la carte de détection. Ce titre apparaît dans le catalogue des détections comme nom d'affichage de votre type de détection, précédé de [custom] .
   description de la détection	Texte apparaissant sous le titre et la catégorie d'une fiche de détection. Tapez des informations sur l'événement qui génère la détection . Ce champ prend en charge le format markdown. Nous vous recommandons d'inclure des variables d'interpolation pour afficher des informations spécifiques sur votre détection. Par exemple, les variables $(Flow.client.ipaddr) et $(Flow.server.ipaddr) affichent l'adresse IP du client et du serveur dans le flux et $(Flow.l7proto) affiche le protocole L7. Incluez \n à la fin de chaque ligne de texte pour vous assurer que la description s'affiche correctement.
   score de risque	Un nombre qui mesure la probabilité, la complexité et l'impact commercial d'une détection de sécurité. L'icône du score de risque apparaît en haut de la fiche de détection et est codée par couleur en fonction de la gravité : rouge (80-99), orange (31-79) ou jaune (1-30). Vous pouvez trier les détections en fonction du risque.
   participant délinquant participant victime	Tableau d'objets identifiant les participants à la détection. Définissez le rôle du participant comme 'offender' ou 'victim' et fournissez une référence à un appareil, une adresse IP ou un objet d'application pour ce rôle. Par exemple, le tableau suivant identifie le serveur comme étant l'auteur de l'infraction et le client comme étant la victime dans un flux : participants: [ { role: 'offender', object: Flow.server.device}, { role: 'victim', object: Flow.client.device } ] Copier Pour plus d'informations sur les dispositifs, les adresses IP et les objets d'application, voir la référence de l'API Trigger.
   clé d'identité	Chaîne permettant d'identifier les détections en cours. Si plusieurs détections ayant la même clé d'identité et le même type de détection sont générées au cours de la période spécifiée par le paramètre identityTtl, les détections sont consolidées en une seule détection en cours .Créez une chaîne de clé d'identité unique en combinant les caractéristiques de la détection. Par exemple, la clé d'identité suivante est créée en combinant l'adresse IP du serveur et l'adresse IP du client : identityKey: [Flow.server.ipaddr, Flow.client.ipaddr].join('!!') Copier
   période de temps	Période de temps après la génération d'une détection pendant laquelle les détections en double sont regroupées dans une détection en cours. La période est réinitialisée et la détection ne prend fin qu'à l'expiration de la période . Les périodes suivantes sont valables : hour day week La période par défaut est hour.

   L'exemple suivant montre la section de script terminée.

   commitDetection('powershell_ja3', {
           title: 
   'PowerShell / BitsAdmin Suspicious Connection',
           description: 
   "This SSL client matched a variant of PowerShell." + "\n"+
   "Investigate other client behaviors on the victim host." + "\n"+
   "- ** PowerShell/BitsAdmin JA3 client match**" + "\n"+
   "- **Client IP:** " + Flow.client.ipaddr + "\n"+
   "- **JA3 Client Value:** " + ja3 + "\n"+
   "- **JA3 Client Match:** " + suspect_ja3_hashes[ja3],        
           riskScore: 60,
           participants: [{
               object:Flow.client.device,
               role: 'offender'
               }],
           identityKey: [
               Flow.server.ipaddr,
               Flow.client.ipaddr,
               hash
           ].join('!!'),
           identityTtl: 'hour',    
   });
   

   Copier

   Ces valeurs apparaissent dans la carte de détection comme dans l'illustration suivante :
   

   

   
   

6. Cliquez sur Enregistrer, puis sur Terminé.
   Voir Exemple de déclencheur de détection personnalisé pour un script annoté complet.

Après avoir créé un déclencheur pour générer votre détection personnalisée, vous pouvez créer un type de détection personnalisé dans le catalogue des détections afin d'ajouter des informations supplémentaires à votre détection.

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
2. Cliquez sur l'icône System Settings (Paramètres système) , puis sur Detection Catalog (Catalogue de détection).
3. Sur la page Detection Catalog, effectuez l'une des étapes suivantes :
   • Si votre déclencheur a déjà été exécuté, le système ajoute automatiquement votre détection personnalisée au catalogue avec le nom d'affichage spécifié dans le déclencheur précédé de [custom]. Cliquez sur le type de détection à modifier.
   • Si votre type de détection n'a pas été créé, cliquez sur Créer.
4. Remplissez les champs suivants :

   Nom d'affichage

   Saisissez un nom unique pour le titre de la détection.

   ID du type de détection

   Saisissez la valeur que vous avez entrée pour l'ID du type de détection dans le déclencheur. Par exemple, si vous avez saisi : commitDetection('network_segmentation_breach'), l'ID du type de détection est "network_segmentation_breach". Vous ne pouvez pas modifier l'ID du type de détection une fois que celui-ci est enregistré.

   Auteur

   Saisissez l'auteur de la détection personnalisée.

   Technique MITRE

   Dans la liste déroulante, sélectionnez une ou plusieurs techniques MITRE que vous souhaitez associer à la détection.

5. Cliquez sur Save (Enregistrer).