Security Center:Règles et jeux de données standardisés

Sources des règles

Les règles standardisées utilisent la syntaxe SPL pour mapper les journaux bruts entrants vers des structures de journal standardisées et définir les mappages de champs clés. Cela fournit la base de données nécessaire à la génération d'alertes à partir des journaux normalisés.

Créer des règles standardisées personnalisées

1. Accédez à la console Security Center - Agentic SOC - Management -Integration Settings. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Configurez les paramètres suivants pour les paramètres de base.

   Paramètre	Description
   Rule Name	Nom personnalisé de la règle.
   Service Provider	Fournisseurs prédéfinis : Alibaba Cloud, Fortinet, Chaitin, Microsoft, Sangfor, Tencent Cloud, Huawei Cloud, Hillstone Networks, DbappSecurity, Microsoft Cloud, etc. Fournisseurs personnalisés : Pour savoir comment créer des fournisseurs, consultez la rubrique Intégration de produits.
   Service	Répertorie automatiquement tous les produits sous le fournisseur sélectionné, tels que Security Center pour Alibaba Cloud et Fortinet Firewall. Pour la liste des produits pris en charge, consultez la rubrique Paramètres d'intégration.
   Remarks	Ajoutez une description pour la règle standardisée afin de faciliter la recherche et d'améliorer la lisibilité.

3. Dans l'onglet Log Standardization Test, configurez les mappages de champs pour la règle de standardisation.

   1. Sélectionnez une source d'exemple de journal :

      • Based on data source

        • Source de données : Synchronise automatiquement les instances de sources de données existantes.

        • Exemple de journal : Interroge automatiquement les exemples de journaux des 7 derniers jours. Vous pouvez également sélectionner une plage de temps personnalisée.

      • Based on manual input : Collez les données de journal brutes dans l'éditeur JSON. L'éditeur prend en charge le formatage et la validation.

   2. Créez un plan d'analyse en utilisant soit la configuration recommandée par l'IA, soit la configuration manuelle.

      Configuration recommandée par l'IA

      Invoquez l'assistant Security AI depuis la console. Agentic SOC attribue automatiquement un agent de standardisation des journaux pour analyser les exemples de journaux, recommander une classification de standardisation, une structure et un mappage de champs, et générer la syntaxe SPL.

      1. Dans la section Parse test, cliquez sur Security AI Assistant. Le panneau de dialogue de l'assistant IA s'affiche à droite.

      2. Obtenir la configuration recommandée : Après avoir analysé l'exemple de journal, l'assistant Security AI renvoie la configuration recommandée.

         • Classification et structure de standardisation : L'IA identifie le type de journal en fonction du contenu du journal et recommande une classification.

           • Classifications de standardisation : Network Log, Host Log, Security Log, Audit Log, Snapshot Log, Logon Log et Other Log.

           • Structure de standardisation :

             • Chaque classification de standardisation contient plusieurs structures de standardisation.

             • Chaque structure de standardisation correspond à un ensemble de champs standardisés et à un jeu de données (StoreView). Un jeu de données peut être mappé à plusieurs structures de standardisation.

             • Pour savoir comment afficher le jeu de données et les champs standardisés pour une classification ou une structure, consultez la rubrique Afficher les champs standardisés et les jeux de données.

         • Tableau des résultats de mappage : Affiche le mappage entre chaque champ de journal et son champ standardisé, et indique si le champ est obligatoire ou facultatif. Pour les champs que l'IA ne fait pas correspondre automatiquement, sélectionnez un champ standardisé dans la liste déroulante.

      3. Générer la syntaxe SPL : Sous la configuration recommandée, cliquez sur Generate SPL. L'IA génère la syntaxe SPL en fonction des résultats du mappage, et fournit un tableau de décision de mappage ainsi qu'une auto-vérification de conformité.

      4. Remplir le formulaire de configuration : Sous la syntaxe SPL générée, cliquez sur Apply. La classification de standardisation, la structure et la syntaxe SPL recommandées par l'IA sont automatiquement renseignées dans le formulaire d'édition de la règle.

      Configuration manuelle

      • Classification et structure de standardisation : Pour les classifications et structures de standardisation par défaut prises en charge par Agentic SOC, ainsi que leurs descriptions de champs, consultez la rubrique Afficher les champs standardisés et les jeux de données.

      • Syntaxe SPL :

        • Utilisez les règles prédéfinies et les règles personnalisées existantes comme modèles. Consultez la syntaxe SPL de chaque règle sur sa page de détails.

        • Ou rédigez une syntaxe personnalisée en vous référant à la documentation sur la syntaxe SPL.

   3. Configurez les champs étendus et le type de syntaxe

      • Ingestion des champs étendus :

        • Pass-through : Les champs de journal bruts qui ne sont pas mappés aux champs standardisés sont stockés directement dans le jeu de données sous forme de paires clé-valeur. Cela préserve toutes les données d'origine mais augmente le volume des journaux et les coûts de trafic.

        • Not Ingested (Default) : Les champs de journal bruts qui ne sont pas mappés par les règles standardisées sont ignorés.

      • Type de syntaxe :

        • General syntax : Lorsque vous configurez une politique d'ingestion de journaux, vous pouvez sélectionner soit Real-time Consumption, soit Scan Query. Pour plus d'informations, consultez la comparaison des méthodes de standardisation dans la rubrique Journaux de produits.

        • Real-time consumption : Lorsque vous configurez une politique d'ingestion de journaux, la méthode de standardisation prend uniquement en charge Real-time Consumption.

   4. Test d'analyse

      1. Après avoir configuré la classification de standardisation et la syntaxe d'analyse, cliquez sur Parse.

      2. Consultez les résultats d'analyse dans la section Parse Results.

      3. Gérer les champs étendus (facultatif)

         Si les résultats d'analyse SPL contiennent des champs qui ne sont pas mappés aux champs standardisés et que l'ingestion des champs étendus est définie sur Pass-through, nous vous recommandons de créer des index pour ces champs afin de faciliter les recherches rapides après l'ingestion. Pour plus d'informations, consultez la rubrique Gérer les règles standardisées.

4. Une fois le test réussi, cliquez sur Complete dans le coin inférieur gauche.

Gérer les règles standardisées

Afficher les champs standardisés et les jeux de données

1. Accédez à la console Security Center - Agentic SOC - Management -Integration Settings. Dans le coin supérieur gauche de la page, sélectionnez la région de vos ressources : Chinese Mainland ou Outside Chinese Mainland.

2. Dans la liste Standard Fields à gauche, les éléments sous Log Activity Category correspondent aux Standardization Category prises en charge par Agentic SOC. Les nœuds racines représentent la Standardization Structure.

3. Cliquez sur l'icône de développement à côté d'une Standardization Category (par exemple, Network Log) pour afficher la Standardization Structure qui lui est associée (par exemple, 5-tuple Log, DNS Log et HTTP Log).

4. Cliquez sur une Standardization Structure (par exemple, API Risk Log). Les informations suivantes s'affichent à droite :

   • Standardized Field : Affiche les champs standardisés pour la structure sélectionnée, y compris le nom du champ, le type, la description, le statut obligatoire et les exemples de valeurs.

   • Extended Fields : Affiche les champs étendus définis par l'utilisateur, y compris le nom du champ, le type, la description, le statut de tokenisation et l'heure de mise à jour.

   • Dataset : Affiche le Jeu de données pour la structure sélectionnée.

Gérer les champs étendus

Jeu de données

Mappage entre les jeux de données et les champs standardisés

Les règles standardisées nécessitent une configuration Standardization Classification/Structure. Chaque classification de standardisation contient plusieurs structures de standardisation. Chaque structure correspond à un jeu de données (StoreView) et à un ensemble de champs standardisés. Un jeu de données (StoreView) peut également être mappé à plusieurs structures de standardisation. La figure suivante illustre le mappage :