Création d'une détection personnalisée

Les déclencheurs génèrent des détections personnalisées en appelant le commitDetection fonction dans le script du déclencheur.

1. Cliquez sur l'icône Paramètres système puis cliquez sur éléments déclencheurs.
2. Cliquez Créez.
3. Spécifiez les paramètres de configuration du déclencheur suivants :

   Nom

   Tapez un nom pour votre déclencheur. Ce nom identifie votre déclencheur, pas la détection.

   Dans notre exemple, nous allons entrer le nom : Détection personnalisée : connexion PowerShell à un site suspect.

   Descriptif

   (Facultatif) Entrez la description du déclencheur. Cette description concerne le déclencheur et non la détection.

   Dans notre exemple, nous allons entrer la description : Crée une détection chaque fois qu'un client PowerShell se connecte à pastebin, raw.githubusercontent.com ou Githack. Les clients PowerShell sont identifiés par des hachages JA3.

   Évènements

   Sélectionnez l'événement sur lequel le déclencheur s'exécute.

   Dans notre exemple, nous allons sélectionner l'événement SSL_OPEN. Cet événement se produit lorsqu'une connexion TLS est établie pour la première fois.

   Devoirs

   Sélectionnez l'équipement ou le groupe dequipments que vous souhaitez surveiller. Dans un premier temps, attribuez votre déclencheur à un seul équipement à des fins de test. Après avoir vérifié que la détection personnalisée fonctionne correctement, attribuez le déclencheur à un groupe dproximatif contenant tous les appareils que vous souhaitez surveiller.

   PowerShell étant un outil de ligne de commande Windows, sélectionnez un serveur Microsoft pour tester le déclencheur. Une fois que vous avez vérifié que la détection personnalisée fonctionne correctement, modifiez l'attribution à un groupe dproximatif d'équipements contenant tous vos serveurs Microsoft critiques. Pour plus d'informations sur la création de groupes d'équipements, voir Création d'un groupe dproximatifs d'équipements.

4. Dans le volet droit, saisissez le code qui détermine le moment où votre détection personnalisée est générée.
   Dans notre exemple, le code de déclencheur suivant identifie le moment où un client initie une connexion à pastebin, githubusercontent ou githack :

   if(SSL.host.match(/pastebin/i) || SSL.host.match(/raw.githubusercontent.com/i) || SSL.host.match(/githack/i)) {
   
   }
   

   Copier
5. Tapez ensuite le code qui valide votre détection personnalisée. Le commitDetection la fonction doit être écrite dans le format suivant :

    commitDetection('<detection type ID>', {
           title: '<title>',
           description: '<detection description>',
           categories: ['<category>'],
           riskScore: <risk score>,
           participants: [{
               object:<offender participant>,
               role: 'offender'
               }, {
               object: <victim participant>,
               role: 'victim'
               }],
           identityKey: '<identity key>',
           identityTtl: '<time period>',    
           });
   

   Copier

   Entrez des valeurs pour chacun des paramètres suivants dans votre script.

   Valeur	Descriptif
   ID du type de détection	Chaîne unique qui identifie votre détection personnalisée. Cette chaîne ne peut contenir que des lettres, des chiffres et des traits de soulignement.
   titre	Texte qui apparaît en haut de la carte de détection. Tapez un titre descriptif facile à scanner. Ce titre apparaît dans le catalogue de détection en tant que nom d'affichage pour votre type de détection, précédé de [personnalisé].
   description de la détection	Texte qui apparaît sous le titre et la catégorie sur une carte de détection. Tapez les informations relatives à l'événement qui génère la détection. Ce champ prend en charge le markdown. Nous vous recommandons d'inclure des variables d'interpolation pour afficher des informations spécifiques concernant votre détection . Par exemple, les variables $(Flow.client.ipaddr) et $(Flow.server.ipaddr) afficher l' adresse IP du client et de l'équipement serveur dans le flux et $(Flow.l7proto) affiche le protocole L7. Inclure \n à la fin de chaque ligne de texte pour vous assurer que la description s'affiche correctement.
   indice de risque	Chiffre qui mesure la probabilité, la complexité et l'impact commercial d'une détection de sécurité. L'icône de l'indice de risque apparaît en haut de la carte de détection et est codée par couleur selon la gravité : rouge (80-99), orange (31-79) ou jaune (1-30). Tu peux trier les détections par risque.
   délinquant participant victime participante	Tableau d'objets qui identifie les participants à la détection. Définissez le rôle du participant comme suit : 'offender' ou 'victim' et fournissez une référence à un équipement, une adresse IP ou un objet d'application pour ce rôle. Par exemple, le tableau suivant identifie le serveur en tant que délinquant et le client en tant que victime dans un flux : participants: [ { role: 'offender', object: Flow.server.device}, { role: 'victim', object: Flow.client.device } ] Copier Pour plus d'informations sur l'équipement, l'adresse IP et les objets de l'application, consultez Référence de l'API Trigger.
   clé d'identité	Chaîne qui permet d'identifier les détections en cours. Si plusieurs détections avec la même clé d'identité et le même type de détection sont générées dans le délai spécifié par identityTtl paramètre, les détections sont consolidées en une seule détection continue. Créez une chaîne clé d'identité unique en combinant les caractéristiques de la détection. Par exemple, la clé d'identité suivante est créée en combinant l'adresse IP du serveur et l' adresse IP du client : identityKey: [Flow.server.ipaddr, Flow.client.ipaddr].join('!!') Copier
   période	Durée pendant laquelle les détections dupliquées sont consolidées en une détection continue après la génération d'une détection. La période est réinitialisée et la détection ne prend fin qu'à l'expiration de cette période. Les périodes de validité suivantes sont les suivantes : hour day week La période par défaut est hour.

   L'exemple suivant montre la section de script terminée.

   commitDetection('powershell_ja3', {
           title: 
   'PowerShell / BitsAdmin Suspicious Connection',
           description: 
   "This TLS client matched a variant of PowerShell." + "\n"+
   "Investigate other client behaviors on the victim host." + "\n"+
   "- ** PowerShell/BitsAdmin JA3 client match**" + "\n"+
   "- **Client IP:** " + Flow.client.ipaddr + "\n"+
   "- **JA3 Client Value:** " + ja3 + "\n"+
   "- **JA3 Client Match:** " + suspect_ja3_hashes[ja3],        
           riskScore: 60,
           participants: [{
               object:Flow.client.device,
               role: 'offender'
               }],
           identityKey: [
               Flow.server.ipaddr,
               Flow.client.ipaddr,
               hash
           ].join('!!'),
           identityTtl: 'hour',    
   });
   

   Copier

   Ces valeurs apparaissent dans la carte de détection, comme dans la figure suivante :
   

   

   
   

6. Cliquez Enregistrer puis cliquez sur Terminé.
   Voir Exemple de déclencheur de détection personnalisé pour un script annoté complet.

Après avoir créé un déclencheur pour générer votre détection personnalisée, vous pouvez créer un type de détection personnalisé dans le catalogue de détection pour ajouter des informations supplémentaires à votre détection.

1. Connectez-vous au système ExtraHop via https://<extrahop-hostname-or-IP-address>.
2. Cliquez sur l'icône des paramètres système puis cliquez sur Catalogue de détection.
3. Sur la page Catalogue de détection, effectuez l'une des étapes suivantes :
   • Si votre déclencheur est déjà lancé, le système ajoute automatiquement votre détection personnalisée au catalogue avec le nom d'affichage spécifié dans le déclencheur précédé de [personnalisé]. Cliquez sur le type de détection à modifier.
   • Si votre type de détection n'a pas été créé, cliquez sur Créez.
4. Renseignez les champs suivants :

   Nom d'affichage

   Entrez un nom unique pour le titre de la détection.

   ID du type de détection

   Tapez la valeur que vous avez saisie pour l'ID du type de détection dans le déclencheur. Par exemple, si vous avez saisi : commitDetection('network_segmentation_breach'), l'ID du type de détection est « network_segmentation_breach ». Vous ne pouvez pas modifier l'ID du type de détection une fois le type de détection enregistré.

   Auteur

   Entrez l'auteur de la détection personnalisée.

   Technique MITRE

   Dans la liste déroulante, sélectionnez une ou plusieurs techniques MITRE que vous souhaitez associer à la détection.

5. Cliquez Enregistrer.