Las reglas de auditoría personalizadas complementan los criterios de determinación de riesgos específicos de su empresa. Usted describe al asistente de chat Loopie los comportamientos que desea detectar o los riesgos que quiere correlacionar. A partir de esta información, el sistema genera reglas, tareas de ejecución y evidencias de validación. Revise estos elementos antes de guardarlos y aplicarlos.
Descripción general
Las reglas de auditoría personalizadas incluyen dos tipos de reglas:
|
Tipo de regla |
Propósito |
Salida |
|
Regla de detección de comportamiento |
Identifica los comportamientos que cumplen condiciones específicas a partir de los eventos sin procesar del agente |
Hallazgos de detección |
|
Regla de correlación de eventos |
Correlaciona, filtra o emite determinaciones complementarias sobre los hallazgos de detección |
Eventos de riesgo |
Los dos tipos de reglas se ubican en la canalización de detección de la siguiente manera: fuente de datos de auditoría -> regla de detección de comportamiento -> hallazgo de detección -> regla de correlación de eventos -> evento de riesgo.
Para incluir una nueva canalización de detección personalizada en la vista Risk events de Overview y Risk Explorer, primero cree una regla de detección de comportamiento y luego cree una regla de correlación de eventos que haga referencia al tipo o subtipo de riesgo generado por la regla de detección de comportamiento. El sistema genera eventos de riesgo a partir de los hallazgos de detección solo después de que la regla de correlación de eventos entre en vigor.
Si crea únicamente una regla de detección de comportamiento, su salida funciona solo como un resultado intermedio de detección. Puede verlo en Risk Explorer > Detection findings, pero no aparecerá en Overview ni en la vista Risk events de Risk Explorer.
Los dos tipos de reglas se vinculan mediante el tipo y el subtipo de riesgo. Una regla de correlación de eventos puede reutilizar los resultados de detección de comportamiento predefinidos por el sistema o procesar la salida de las reglas de detección de comportamiento personalizadas. Las capacidades de detección predefinidas por el sistema se siguen gestionando en la configuración de detección de Audit Management.
Requisitos previos
Se ha creado un AgentSpace y se ha completado la ingesta de datos de auditoría.
El AgentSpace actual está vinculado a un recurso disponible de Simple Log Service (SLS).
La cuenta actual tiene permisos de gestión sobre el AgentSpace.
Ir a la página de gestión de reglas
Vaya a AgentLoop console > Audit > Audit Management.
En la tarjeta Detection Configuration, ubicada en la parte superior de la página, busque Custom Rules.
Haga clic en Manage Rules.
La página Audit Management también muestra el número total de reglas personalizadas, la cantidad de reglas habilitadas y la cantidad de reglas con errores de ejecución, para que pueda determinar rápidamente si se requiere alguna acción.
Ver las relaciones entre reglas
De forma predeterminada, la página de gestión de reglas utiliza las reglas de correlación de eventos como vista principal:
Seleccione una regla de correlación de eventos en el panel izquierdo.
En el panel derecho, consulte la canalización de procesamiento completa: "Input risks → Correlation conditions → Output risk event".
Revise las reglas de detección de comportamiento personalizadas que coinciden con el alcance de riesgo de entrada de la regla actual.
Las reglas de detección de comportamiento se listan por separado en la parte inferior de la página, con dos vistas: Unreferenced y All. La opción "Unreferenced" indica que ninguna regla de correlación de eventos utiliza actualmente el tipo o subtipo de riesgo que genera esta regla. Esto no significa que la regla sea inválida.
Creación de una regla
En la esquina superior derecha de la página Custom Audit Rules, haga clic en Create Rule.
En el área de chat de Loopie, describa el riesgo que desea detectar, el alcance aplicable y la salida esperada. Por ejemplo: "Detect reverse shell behavior in Agent tool calls."
Espere a que Loopie termine el muestreo y la validación, y genere las reglas y tareas.
En el área de revisión del lado izquierdo, consulte la descripción general, las reglas y las categorías asociadas. Confirme los resultados de validación en Validation and Evidence.
Haga clic en Review and Save y revise las reglas de detección, las categorías asociadas y las tareas de ejecución que se van a guardar.
Una vez que confirme la información, guarde y aplique la versión actual.
Después de guardar, es posible que la tarea aún se esté aplicando. Regrese a la lista de reglas y consulte el estado de ejecución que se muestra en la página.
Gestión de reglas existentes
|
Operación |
Descripción |
|
Ver detalles |
Consulte el resumen de la regla, el estado de ejecución, el interruptor, las categorías asociadas y la información de implementación. |
|
Habilitar o deshabilitar |
Cambie el estado del interruptor de la tarea a la que pertenece la regla. Si varias reglas comparten la misma tarea, la página indica el alcance del impacto de esta operación. |
|
Editar nombre y resumen |
Modifique el nombre para mostrar y la descripción de la regla. |
|
Modificar la detección con Loopie |
Ajuste la lógica de detección mediante una conversación, vuelva a validarla y guarde una nueva versión. |
|
Eliminar |
Si la tarea contiene únicamente la regla actual, elimínela directamente después de confirmar. Si la tarea incluye varias reglas, Loopie debe generar primero una tarea completa sin la regla actual. |
Las reglas eliminadas no se pueden restaurar. Una vez que la eliminación entra en vigor, la regla deja de producir nuevos resultados de detección. Los hallazgos de detección y los eventos de riesgo ya generados no se eliminan. Confirme el alcance del impacto antes de eliminar una regla.
Consulta del catálogo de tipos
Cambie a Type Catalog en la parte superior de la página para consultar, de forma jerárquica, las categorías de riesgo, los subtipos de riesgo y los tipos de entidad predefinidos y personalizados disponibles en el AgentSpace actual. Utilice el catálogo de tipos para comprobar si existen las categorías a las que hacen referencia las reglas, así como para ver sus identificadores de definición, orígenes y versiones.
Comprobación de los resultados de las reglas
Regrese a Risk Audit > Risk Explorer.
Para consultar los resultados de correlación de eventos, seleccione Risk events. Para revisar los resultados de detección de comportamiento, seleccione Detection findings.
Filtre por tipo de riesgo, subtipo de riesgo o identificador de detección.
Abra los detalles del riesgo y utilice el contexto de sesión y las evidencias para comprobar si la regla funciona según lo esperado.
Los resultados de una regla recién guardada aparecen en Risk Explorer solo después de que se aplica la tarea correspondiente y esta genera datos.