Правила сегментации

Правила сегментации позволяют автоматически разделять связанные алерты на отдельные инциденты в зависимости от заданных условий.

Используйте правила сегментации для создания отдельных инцидентов на основе связанных алертов. Например, вы можете объединить несколько алертов с важной отличительной чертой в отдельный инцидент.

Алерты могут быть связаны только с инцидентом, принадлежащим тому же тенанту.

Правила сегментации срабатывают в соответствии с указанным приоритетом. Чем выше находится правило в таблице правил сегментации, тем выше его приоритет. Если вы хотите изменить приоритет правила сегментации, вам нужно перетащить правило, нажав на его имя.

Рекомендуется использовать правила сегментации вместе с правилами агрегации для определения более точных правил создания инцидентов.

Чтобы создать правило сегментации:

1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и сервисы → Правила сегментации.

   Откроется таблица правил сегментации.

2. Нажмите на кнопку Создать.

   Откроется окно Создать правило сегментации.

3. Укажите параметры правила сегментации.
   • Статус правила

     Включите или выключите правило. По умолчанию правило выключено.

   • Тенант-владелец

     Укажите тенант, которому будет принадлежать правило сегментации.

   • Имя

     Укажите уникальное имя правила.

   • Алертов в инциденте

     Максимальное и минимальное количество алертов в одном инциденте. Укажите значения от 1 до 200. Значение по умолчанию для минимального количества - 1, для максимального - 200. Минимальное количество должно быть меньше или равно максимальному количеству. Если количество алертов не достигает минимального значения, инцидент не создается. Максимальное количество должно быть больше или равно минимальному количеству. Если количество алертов превышает максимальное количество, создается другой инцидент.

   • Интервал поиска

     Период, из которого следует выбирать алерты и инциденты. Значение можно указать в днях или часах. По умолчанию указано значение 30 дней.

   • Унаследовано

     Необязательный параметр. Тенанты, которые наследуют правило. По умолчанию правила наследуются от родительского тенанта всеми дочерними тенантами по иерархии. Вы можете выключить наследование, выбрав Только текущий тенант или указать тенанты, которые должны наследовать правило, нажав Заданные тенанты, а затем выбрав тенанты из раскрывающегося списка.

     Вы можете указать только тенантов, для которых вам назначена одна из следующих ролей XDR: Главный администратор, администратор тенанта или администратор SOC.
     Изменение параметров наследования или приоритета правил, а также дублирование или удаление унаследованных правил возможно только из родительского тенанта. Статус унаследованного правила может быть изменен как из родительского, так и из дочернего тенанта.

     В дочернем тенанте приоритет унаследованных правил всегда выше, чем приоритет правил, созданных в дочернем тенанте. Также в унаследованных правилах порядок приоритета такой же как и в родительском тенанте.

     При дублировании унаследованного правила его область действия также дублируется. При копировании унаследованного правила на другой тенант область действия правила не копируется.

   • Группы

     Выражение jq, определяющее массив идентификаторов строк, по которым назначаются алерты инцидентам.

     При необходимости вы можете скопировать выражение jq для раздела Группы из другого правила сегментации. Для этого нажмите на кнопку Копировать из другого правила.

     Пример: if any(.Observables[]? | select(.Type | ascii_downcase == "username") | .Value; startswith("adm_")) then ["Brute force admin"] else ["Brute force not admin"] end

   • Название инцидента

     Выражение jq, определяющее шаблон наименований инцидентов, созданных в соответствии с этим правилом сегментации. По умолчанию указано следующее выражение: "\(.Rules[]?.Name), \(.SourceCreatedAt)"

     Выражение jq для раздела Название инцидента можно скопировать из другого правила сегментации. Для этого нажмите на кнопку Копировать из другого правила.

     Пример: "Malware Detected with MD5 \(.Observables[] | select(.Type == "md5") | .Value)"

   • Триггер

     Выражение jq, определяющее условие включения алертов в инцидент.

     При необходимости вы можете скопировать выражение jq для раздела Триггер из другого правила сегментации. Для этого нажмите на кнопку Копировать из другого правила.

     Пример: any(.Rules[]?; .Name == "R077_02_KSC. Malware detected")

   • Описание

     Необязательный параметр. Описание правила.

4. Нажмите на кнопку Создать.

Правило сегментации сохранится и отобразится в таблице правил. При необходимости вы можете изменить правило, нажав на его имя в таблице.

Вы можете использовать логический оператор inSubnet в выражениях jq, чтобы проверить, находится ли левый операнд (IP-адрес) в подсети правого операнда (подсеть).

Пример: any(.Observables[]? | select(.Type == "ip") | .Value // empty; inSubnet("11.11.11.1/11"))

Доступны следующие предварительно заданные правила сегментации:

• Ссылки на существующий инцидент: одинаковый хеш файла MD5
• Ссылки на существующий инцидент: одинаковый актив хоста
• Ссылки на существующий инцидент: одинаковые правила IOA, IOC или YARA
• Создать инцидент: одинаковый хеш файла MD5
• Создать инцидент: одинаковый актив хоста
• Создать инцидент: одинаковые правила IOA, IOC или YARA

Предварительно заданные правила автоматически применяются к тенантам.

По умолчанию предопределенные правила создаются для всех тенантов, и наследование для них выключено. Если вы включите наследование для правила родительского тенанта, соответствующее правило дочернего тенанта будет перезаписано параметрами родительского тенанта. Если вы выключите наследование, правило родительского тенанта будет удалено. Так как тенант не может существовать без предустановленных правил, для дочернего тенанта будет автоматически создано локальное предопределенное правило.

Создаваемые алерты проверяются по всем активным правилам сегментации в соответствии с их приоритетом. После срабатывания первого правила для алерта формируется массив строковых идентификаторов и начинается поиск инцидента, с которым должен быть связан алерт.

Создание инцидента после срабатывания первого правила сегментации

Правило срабатывает, если выражение jq, указанное в разделе Триггер, возвращает значение true.

Алерты не могут быть связаны с инцидентами, созданными вручную.

У инцидента также есть массив строковых идентификаторов, который включает в себя массивы алертов, уже связанных с этим инцидентом. Если в массиве алерта, для которого сработало правило сегментации, есть хотя бы один элемент, совпадающий с любым из элементов в массиве инцидента, алерт связывается с этим инцидентом. В результате массив этого алерта добавляется в массив инцидента.

Привязка алерта к существующему инциденту после обнаружения совпадающих элементов

Если существует несколько инцидентов, удовлетворяющих условию, алерт связывается с инцидентом с наиболее поздним обновлением. Если в массивах не находится инцидентов с подходящими элементами, создается новый инцидент.

Создание инцидента после того, как не найдено ни одного подходящего элемента на основе первых двух правил сегментации

У новых инцидентов массив пуст. Массив строковых идентификаторов для нового инцидента берется из алерта после связывания алерта.

Правило сегментации. Пример

Настройте правила агрегации в разделе Правила агрегации. Пример раздела в этой статье.

В таблице ниже показано, как объединить все тестовые алерты на проникновение в один инцидент.

Правило сегментации

Правила агрегации и сегментации. Пример

В таблице ниже описано, как объединить алерты, имеющие одинаковый идентификатор правила, в двух инцидентах на основе префикса имени пользователя.

Правило агрегации

Правило сегментации