:Configuration des règles de détection des menaces

Activer ou désactiver les règles prédéfinies

Security Center fournit des règles prédéfinies pour détecter les alertes et les événements, tels que les comportements anormaux de processus, les attaques web réussies, les requêtes vers des domaines malveillants, les connexions suspectes, le trafic réseau anormal, les requêtes réseau malveillantes et les comportements web anormaux. Vous pouvez consulter, activer ou désactiver les règles prédéfinies, mais vous ne pouvez ni les modifier ni les supprimer.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Agentic SOC > Management > Detection Rules. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sous l'onglet Predefined, consultez la liste des règles prédéfinies.

4. (Facultatif) Dans la colonne Actions d'une règle prédéfinie, cliquez sur Details pour afficher ses informations de base, sa logique et ses paramètres de génération d'événements.

5. Cliquez sur le commutateur dans la colonne Rule Status d'une règle prédéfinie pour l'activer ou la désactiver.

Créer une règle personnalisée

Si les règles prédéfinies ne répondent pas à vos besoins, vous pouvez créer une règle personnalisée.

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Agentic SOC > Management > Detection Rules. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouvent vos ressources : Chinese Mainland ou Outside Chinese Mainland.

3. Sous l'onglet Custom, cliquez sur Create Rule.

4. Sur la page Create Rule, configurez les informations de la règle.

   Paramètre	Description
   Basic Information	Définissez les informations de base de la règle personnalisée. Rule Name : saisissez un nom pour la règle personnalisée. Rule Description : saisissez une description afin de clarifier l'objectif de la règle. Threat Level : sélectionnez le niveau de risque associé aux alertes ou événements détectés par cette règle dans la liste déroulante. Pour plus d'informations sur les niveaux de risque, consultez la rubrique Événements de sécurité. Threat Type : sélectionnez le type de menace défini par cette règle dans la liste déroulante. Pour plus d'informations sur les types d'alerte, consultez la rubrique Présentation des alertes de sécurité CWPP (Cloud Workload Protection Platform).
   Rule Logic Settings	Configurez les règles d'agrégation des alertes de sécurité. Log Scope : sélectionnez la catégorie et le type de journal pour la règle personnalisée. Security Center répertorie les types de journaux disponibles en fonction des produits cloud connectés. Match Field : sélectionnez les champs et les valeurs de champ permettant de faire correspondre les alertes ou les événements. Security Center propose les champs disponibles en fonction de la portée des journaux que vous avez sélectionnée. Descriptions des opérateurs de champ > : supérieur à. Prend en charge les champs numériques. >= : supérieur ou égal à. Prend en charge les champs numériques. < : inférieur à. Prend en charge les champs numériques. <= : inférieur ou égal à. Prend en charge les champs numériques. = : égal à. Prend en charge les champs numériques et les chaînes de caractères. <> : différent de. Prend en charge les champs numériques et les chaînes de caractères. LIKE : fonctionne comme l'opérateur LIKE de la syntaxe SQL. Prend en charge les champs de type chaîne. NOT LIKE : négation de la sémantique LIKE. Prend en charge les champs de type chaîne. IN : correspond à n'importe quelle valeur d'un ensemble. Séparez plusieurs valeurs par des virgules (,). Prend en charge les champs de type chaîne. NOT IN : négation de IN. Séparez plusieurs valeurs par des virgules (,). Prend en charge les champs de type chaîne. REGEXP : correspondance par expression régulière. Prend en charge les champs de type chaîne. NOT REDEXP : négation du modèle d'expression régulière. Prend en charge les champs de type chaîne. THREAT DETECT : règle de détection des menaces. Valide uniquement les champs src_ip, dst_ip, domain, url et md5. Renvoie la valeur true si le champ spécifié correspond à une entrée de la base de données de détection des menaces. NOT_IN_IP_DATASET : effectue une correspondance avec la clé primaire d'un jeu de données. La clé primaire du jeu de données doit être un champ de type IP. Prend en charge les adresses IP et la notation CIDR. IN_IP_DATASET : effectue une correspondance avec la clé primaire d'un jeu de données. La clé primaire du jeu de données doit être un champ de type IP. Prend en charge les adresses IP et la notation CIDR. NOT_IN_IDATASET : effectue une correspondance avec la clé primaire d'un jeu de données. La clé primaire du jeu de données doit être un champ courant de type chaîne. IN_DATASET : effectue une correspondance avec la clé primaire d'un jeu de données. La clé primaire du jeu de données doit être un champ courant de type chaîne. Cliquez sur Add Field pour ajouter des champs à un groupe. Les champs au sein d'un groupe sont liés par une relation ET. Cliquez sur Add Field Group pour ajouter des groupes de champs. Les groupes de champs sont liés par une relation OU. Aggregation Field : sélectionnez les champs destinés à l'agrégation des événements. Maximum Logs : définissez la condition de seuil déclenchant une alerte en fonction des champs de journal. Statistical Period : définissez la fenêtre temporelle d'agrégation des alertes. Security Center agrège les journaux du type sélectionné durant cette période, en se basant sur les champs d'agrégation.

   Incident Generation Settings

   Spécifiez si les alertes détectées par cette règle sont converties en événements. Sélectionnez Yes pour convertir les alertes correspondantes en événements. Choisissez l'une des méthodes de génération d'événements suivantes : Use Built-in Incident Rules : les alertes correspondant à cette règle sont regroupées dans des événements prédéfinis (événements générés par des règles prédéfinies). One Incident per Alert : chaque alerte génère un événement distinct. Aggregate All Rule-triggered Alerts into Incident : toutes les alertes correspondant à cette règle sont regroupées en un seul événement. Si vous sélectionnez cette option, définissez le Execution Cycle pour le regroupement des alertes. La période maximale est de 24 heures.

5. (Facultatif) Cliquez sur Test et sélectionnez une méthode de test pour vérifier la règle.

   Les méthodes de test suivantes sont disponibles :

   • Simulation Data : rédigez une instruction SQL pour tester les données correspondantes. Reportez-vous aux exemples de valeurs de données simulées lors de la rédaction de l'instruction. Après avoir saisi les valeurs, cliquez sur Test.

   • Business Data : utilisez des données de production réelles pour tester la règle. Cliquez sur Test pour afficher un graphique linéaire du nombre d'alertes et d'événements, ainsi que les listes d'alertes et d'événements.

   Par défaut, les tests s'exécutent pendant 7 jours. Vous pouvez cliquer sur Publish ou sur End Test pour arrêter le test prématurément. Un clic sur Publish active immédiatement la règle. Un clic sur End Test vous ramène à la page de gestion des règles à l'aide de l'icône . Security Center crée la règle dans un état désactivé.

6. Si vous ignorez le test, vérifiez que la règle est correctement configurée sur la page Create Rule puis cliquez sur Publish.

   Pour enregistrer la règle sans la publier, cliquez sur Save as Draft.

Après avoir créé une règle personnalisée, vous pouvez la consulter, la tester, l'activer, la désactiver, la modifier ou la supprimer sur la page Detection Rules.