Création d'une détection personnalisée

Les déclencheurs génèrent des détections personnalisées en appelant le commitDetection fonction dans le script du déclencheur.

1. Cliquez sur l'icône des paramètres système puis cliquez sur DÉCLENCHEURS.
2. Cliquez Créez.
3. Spécifiez les paramètres de configuration du déclencheur suivants :

   Nom

   Tapez le nom de votre déclencheur. Ce nom identifie votre déclencheur, et non la détection.

   Dans notre exemple, nous allons entrer le nom : Détection personnalisée : connexion PowerShell à un site suspect.

   Descriptif

   (Facultatif) Entrez la description du déclencheur. Cette description concerne le déclencheur et non la détection.

   Dans notre exemple, nous allons saisir la description : Crée une détection chaque fois qu'un client PowerShell se connecte à pastebin, raw.githubusercontent.com ou githack. Les clients PowerShell sont identifiés par des hachages JA3.

   Évènements

   Sélectionnez l'événement sur lequel le déclencheur s'exécute.

   Dans notre exemple, nous allons sélectionner l'événement SSL_OPEN. Cet événement se produit lorsqu'une connexion SSL est établie pour la première fois.

   Missions

   Sélectionnez l'équipement ou le groupe d'équipements que vous souhaitez surveiller. Dans un premier temps, attribuez votre déclencheur à un seul équipement à des fins de test. Après avoir vérifié que la détection personnalisée fonctionne correctement, assignez le déclencheur à un groupe déquipements contenant tous les appareils que vous souhaitez surveiller.

   PowerShell étant un outil de ligne de commande Windows, sélectionnez un serveur Microsoft pour tester le déclencheur. Après avoir confirmé que la détection personnalisée fonctionne correctement, modifiez l'attribution à un groupe déquipements contenant tous vos serveurs Microsoft critiques. Pour plus d'informations sur la création de groupes d'équipements, voir Création d'un groupe déquipements.

4. Dans le volet droit, tapez le code qui détermine le moment où votre détection personnalisée est générée.
   Dans notre exemple, le code déclencheur suivant identifie le moment où un client établit une connexion à pastebin, githubusercontent ou githack :

   if(SSL.host.match(/pastebin/i) || SSL.host.match(/raw.githubusercontent.com/i) || SSL.host.match(/githack/i)) {
   
   }
   

   Copier
5. Tapez ensuite le code qui valide votre détection personnalisée. Le commitDetection la fonction doit être écrite dans le format suivant :

    commitDetection('<detection type ID>', {
           title: '<title>',
           description: '<detection description>',
           categories: ['<category>'],
           riskScore: <risk score>,
           participants: [{
               object:<offender participant>,
               role: 'offender'
               }, {
               object: <victim participant>,
               role: 'victim'
               }],
           identityKey: '<identity key>',
           identityTtl: '<time period>',    
           });
   

   Copier

   Entrez des valeurs pour chacun des paramètres suivants dans votre script.

   Valeur	Descriptif
   ID du type de détection	Chaîne unique qui identifie votre détection personnalisée. Cette chaîne ne peut contenir que des lettres, des chiffres et des traits de soulignement.
   titre	Texte qui apparaît en haut de la carte de détection. Tapez un titre descriptif facile à scanner. Ce titre apparaît dans le catalogue de détection en tant que nom d'affichage de votre type de détection, précédé de [personnalisé].
   description de la détection	Texte qui apparaît sous le titre et la catégorie sur une carte de détection. Entrez les informations relatives à l'événement à l' origine de la détection. Ce champ prend en charge le markdown. Nous vous recommandons d'inclure des variables d'interpolation pour afficher des informations spécifiques sur votre détection. Par exemple, les variables $(Flow.client.ipaddr) et $(Flow.server.ipaddr) afficher l' adresse IP du client et de l'équipement serveur dans le flux et $(Flow.l7proto) affiche le protocole L7. Inclure \n à la fin de chaque ligne de texte pour s'assurer que la description s'affiche correctement.
   indice de risque	Un chiffre qui mesure la probabilité, la complexité et l'impact commercial d'une détection de sécurité. L'icône de l'indice de risque apparaît en haut de la carte de détection et est codée par couleur en fonction de la gravité, en rouge (80-99), orange (31-79) ou jaune (1-30). Tu peux trier les détections par risque.
   délinquant participant victime participant	Ensemble d'objets identifiant les participants à la détection. Définissez le rôle du participant comme suit : 'offender' ou 'victim' et fournissez une référence à un équipement, à une adresse IP ou à un objet d'application pour ce rôle. Par exemple, le tableau suivant identifie le serveur en tant que délinquant et le client en tant que victime dans un flux : participants: [ { role: 'offender', object: Flow.server.device}, { role: 'victim', object: Flow.client.device } ] Copier Pour plus d'informations sur l'équipement, l'adresse IP et les objets d'application, consultez le Référence de l'API Trigger.
   clé d'identité	Chaîne qui permet d'identifier les détections en cours. Si plusieurs détections avec la même clé d'identité et le même type de détection sont générées dans le délai spécifié par le identityTtl paramètre, les détections sont consolidées en une seule détection continue. Créez une chaîne de clé d'identité unique en combinant les caractéristiques de la détection. Par exemple, la clé d'identité suivante est créée en combinant l'adresse IP du serveur et l' adresse IP du client : identityKey: [Flow.server.ipaddr, Flow.client.ipaddr].join('!!') Copier
   période	Durée après la génération d'une détection pendant laquelle les détections dupliquées sont consolidées dans une détection continue. La période est réinitialisée et la détection ne prend fin qu'à son expiration. Les périodes de validité suivantes sont les suivantes : hour day week La période par défaut est hour.

   L'exemple suivant montre la section de script terminée.

   commitDetection('powershell_ja3', {
           title: 
   'PowerShell / BitsAdmin Suspicious Connection',
           description: 
   "This SSL client matched a variant of PowerShell." + "\n"+
   "Investigate other client behaviors on the victim host." + "\n"+
   "- ** PowerShell/BitsAdmin JA3 client match**" + "\n"+
   "- **Client IP:** " + Flow.client.ipaddr + "\n"+
   "- **JA3 Client Value:** " + ja3 + "\n"+
   "- **JA3 Client Match:** " + suspect_ja3_hashes[ja3],        
           riskScore: 60,
           participants: [{
               object:Flow.client.device,
               role: 'offender'
               }],
           identityKey: [
               Flow.server.ipaddr,
               Flow.client.ipaddr,
               hash
           ].join('!!'),
           identityTtl: 'hour',    
   });
   

   Copier

   Ces valeurs apparaissent sur la carte de détection de la même manière que dans la figure suivante :
   

   

   
   

6. Cliquez Enregistrer puis cliquez sur Terminé.
   Voir Exemple de déclencheur de détection personnalisé pour un script annoté complet.

Après avoir créé un déclencheur pour générer votre détection personnalisée, vous pouvez créer un type de détection personnalisé dans le catalogue de détection pour ajouter des informations supplémentaires à votre détection.

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
2. Cliquez sur l'icône des paramètres système puis cliquez sur Catalogue de détection.
3. Sur la page Catalogue de détection, effectuez l'une des étapes suivantes :
   • Si votre déclencheur est déjà lancé, le système ajoute automatiquement votre détection personnalisée au catalogue avec le nom d'affichage spécifié dans le déclencheur précédé de [personnalisé]. Cliquez sur le type de détection à modifier.
   • Si votre type de détection n'a pas été créé, cliquez sur Créez.
4. Renseignez les champs suivants :

   Nom d'affichage

   Entrez un nom unique pour le titre de la détection.

   ID du type de détection

   Tapez la valeur que vous avez saisie pour l'ID du type de détection dans le déclencheur. Par exemple, si vous avez saisi : commitDetection('network_segmentation_breach'), l'ID du type de détection est « network_segmentation_breach ». Vous ne pouvez pas modifier l'ID du type de détection une fois le type de détection enregistré.

   Auteur

   Entrez l'auteur de la détection personnalisée.

   Technique MITRE

   Dans la liste déroulante, sélectionnez une ou plusieurs techniques MITRE que vous souhaitez associer à la détection.

5. Cliquez Enregistrer.