Présentation
Surveillez votre télémétrie Datadog et utilisez des règles de détection prêtes à l’emploi ou créez des règles personnalisées pour détecter les menaces. Lorsqu’une menace est détectée, un signal de sécurité est généré. De plus, vous pouvez ajouter des suppressions pour affiner les règles de détection afin qu’un signal ne soit pas généré dans des conditions spécifiques. Cela peut améliorer la précision et la pertinence des signaux de sécurité générés.
Règles de détection
Règles de détection prêtes à l’emploi
Cloud SIEM vous fournit une liste étendue de règles de détection prêtes à l’emploi. Une fois que vous avez activé et configuré les packs de contenu Cloud SIEM, les règles de détection prêtes à l’emploi commencent automatiquement à analyser vos logs, vos événements Audit Trail et vos événements provenant d’Event Management.
Vous pouvez modifier les règles de détection prêtes à l’emploi et effectuer les actions suivantes :
- Modifier le nom de la règle.
- Étendre la requête. La requête d’origine ne peut pas être modifiée, mais vous pouvez y ajouter une requête personnalisée.
- Modifier le paramètre de gravité dans la section Set conditions.
- Modifier le playbook.
Règles de détection personnalisées
Les règles de détection prêtes à l’emploi couvrent la majorité des scénarios de menace, mais vous pouvez également créer des règles de détection personnalisées pour vos cas d’utilisation spécifiques. Pour les règles de détection personnalisées, utilisez la syntaxe de recherche de logs pour créer et joindre des requêtes de logs afin de cibler des services, des comptes ou des événements individuels que vous souhaitez surveiller. Vous pouvez également enrichir ces requêtes avec des informations telles que la géolocalisation d’une adresse IP ou le code d’état d’une requête HTTP.
Pour les logs qui correspondent à la requête, vous pouvez définir des conditions pour déterminer s’il s’agit d’une menace et si un signal de sécurité doit être généré, ainsi qu’indiquer la gravité de la menace. Les signaux de sécurité fournissent des détails sur la menace et incluent un playbook personnalisable, qui fournit des informations telles que les politiques de sécurité et les étapes de remédiation.
Consultez Règles de détection personnalisées pour plus d’informations.
Dépréciation de la règle
Des audits réguliers de toutes les règles de détection prêtes à l’emploi sont effectués afin de maintenir une haute fidélité de la qualité des signaux. Les règles obsolètes sont remplacées par une règle améliorée.
Le processus d’obsolescence des règles suit différentes étapes :
- Un avertissement indiquant la date de dépréciation figure sur la règle. Dans l’interface utilisateur, l’avertissement s’affiche dans :
- Panneau latéral des signaux, section Rule Details > Playbook
- Éditeur de règles pour cette règle spécifique
- Une fois la règle dépréciée, une période de 15 mois s’écoule avant que la règle ne soit supprimée. Ceci est dû à la période de rétention des signaux de 15 mois. Pendant cette période, vous pouvez réactiver la règle en clonant la règle dans l’interface utilisateur.
- Une fois la règle supprimée, vous ne pouvez plus la cloner ni la réactiver.
Suppressions
Les signaux de sécurité vous avertissent des menaces potentielles pesant sur votre infrastructure, mais des faux positifs peuvent également être générés. Par exemple, un grand nombre de signaux de sécurité peuvent être déclenchés si un afflux soudain de requêtes est généré par le test de charge d’une application. Pour réduire les faux positifs dans de tels scénarios, vous pouvez définir une requête de suppression dans une règle de détection qui empêche la génération d’un signal. Vous pouvez également créer des règles de suppression pour définir des conditions de suppression générales sur plusieurs règles de détection.
Consultez Suppressions pour plus d’informations.
Gravité dynamique
Vous pouvez ajuster la gravité des signaux de sécurité en fonction des actifs qu’ils affectent. Vous pouvez personnaliser les niveaux de gravité, appliquer des étiquettes personnalisées et isoler les modifications apportées à des règles spécifiques.
Consultez Gravité dynamique pour plus d’informations.
Carte MITRE ATT&CK
Après avoir configuré vos règles de détection, utilisez la Carte MITRE ATT&CK de Cloud SIEM pour explorer et visualiser vos règles par rapport au framework MITRE ATT&CK afin d’avoir une visibilité sur les techniques des attaquants.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
