：Gunakan aturan deteksi

Aktifkan atau nonaktifkan aturan deteksi yang telah ditentukan sebelumnya

Security Center menyediakan berbagai aturan deteksi yang telah ditentukan sebelumnya untuk menghasilkan peringatan dan peristiwa. Jenis-jenis aturan tersebut meliputi Perilaku Abnormal Proses, Serangan Web Berhasil, Permintaan Domain Jahat, Masuk Tidak Normal, Aliran Jaringan Tidak Normal, Akses Jaringan Jahat, dan Akses Web Tidak Normal. Anda dapat melihat detail, mengaktifkan, atau menonaktifkan aturan deteksi yang telah ditentukan sebelumnya. Namun, Anda tidak dapat memodifikasi atau menghapus aturan tersebut.

1. Masuk ke Konsol Security Center. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Anda dapat memilih China atau Outside China.

2. Di panel navigasi sisi kiri, pilih CTDR > Rule Management.

3. Di tab Predefined, tinjau aturan deteksi yang telah ditentukan sebelumnya.

4. Opsional. Temukan aturan deteksi pra-tentukan yang diperlukan dan klik Details di kolom Actions untuk melihat informasi dasar, logika, dan pengaturan pembuatan peristiwa dari aturan tersebut.

5. Temukan aturan deteksi pra-tentukan yang ingin Anda kelola dan nyalakan atau matikan sakelar di kolom Rule Status.

   

Buat aturan deteksi kustom

Jika aturan deteksi pra-tentukan tidak dapat memenuhi kebutuhan bisnis Anda, Anda dapat membuat aturan deteksi kustom dengan langkah-langkah berikut:

1. Masuk ke Konsol Security Center. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda kelola. Anda dapat memilih China atau Outside China.

2. Di panel navigasi sisi kiri, pilih CTDR > Rule Management.

3. Di tab Custom, klik Create Rule.

4. Di halaman Create Rule, konfigurasikan parameter yang diperlukan.

   Parameter	Deskripsi
   Basic information	Tentukan informasi dasar tentang aturan. Rule Name: Masukkan nama untuk aturan tersebut. Rule Description: Masukkan deskripsi untuk aturan agar mudah diidentifikasi. Threat Level: Pilih tingkat risiko dari peringatan atau peristiwa yang ingin Anda hasilkan menggunakan aturan dari daftar drop-down. Untuk informasi lebih lanjut tentang tingkat risiko, lihat Tingkat Risiko. Threat Type: Pilih jenis ancaman yang ingin Anda identifikasi menggunakan aturan dari daftar drop-down. Untuk informasi lebih lanjut tentang jenis peringatan, lihat Jenis Peringatan.
   Rule Logic Settings	Konfigurasikan pengaturan agregasi untuk peringatan keamanan. Log Scope: Pilih kategori dan jenis log tempat Anda ingin aturan berlaku. Security Center menampilkan jenis log yang tersedia berdasarkan layanan cloud yang ditambahkan ke fitur analisis ancaman. Match Field: Tentukan bidang dan nilai bidang berdasarkan mana peringatan dan peristiwa dicocokkan. Security Center menampilkan bidang yang tersedia berdasarkan pengaturan yang Anda tentukan di bagian Ruang Lingkup Log. Deskripsi operator bidang >: lebih besar dari. Bidang bertipe numerik didukung. >=: lebih besar dari atau sama dengan. Bidang bertipe numerik didukung. <: kurang dari. Bidang bertipe numerik didukung. <=: kurang dari atau sama dengan. Bidang bertipe numerik didukung. =: sama dengan. Bidang bertipe numerik dan string didukung. <>: tidak sama dengan. Bidang bertipe numerik dan string didukung. LIKE: Operator ini mematuhi sintaks LIKE dalam SQL standar. Bidang bertipe string didukung. NOT LIKE: Operator ini mematuhi sintaks NOT LIKE dalam SQL standar. Bidang bertipe string didukung. IN: Operator ini digunakan untuk memeriksa apakah nilai tertentu cocok dengan nilai apa pun dalam satu set. Pisahkan beberapa nilai bidang dengan koma (,). Nilai bidang bertipe string didukung. NOT IN: Operator ini digunakan untuk memeriksa apakah nilai tertentu tidak cocok dengan nilai apa pun dalam satu set. Pisahkan beberapa nilai bidang dengan koma (,). Nilai bidang bertipe string didukung. REGEXP: Ekspresi reguler digunakan sebagai operator bidang. Bidang bertipe string didukung. NOT REGEXP: Ekspresi reguler digunakan sebagai operator bidang untuk mengidentifikasi bidang yang tidak cocok. Bidang bertipe string didukung. THREAT DETECT: Aturan deteksi ancaman digunakan. Aturan ini hanya berlaku pada bidang src_ip, dst_ip, domain, url, dan md5. Jika suatu bidang cocok dengan bidang tertentu dalam database deteksi ancaman, true akan dikembalikan. NOT_IN_IP_DATASET: Operator ini digunakan untuk mengidentifikasi bidang yang tidak cocok dengan nilai kunci utama dalam dataset tertentu. Pastikan kolom kunci utama dalam dataset hanya berisi alamat IP dan blok CIDR. IN_IP_DATASET: Operator ini digunakan untuk mengidentifikasi bidang yang cocok dengan nilai kunci utama dalam dataset tertentu. Pastikan kolom kunci utama dalam dataset hanya berisi alamat IP dan blok CIDR. NOT_IN_IDATASET: Operator ini digunakan untuk mengidentifikasi bidang yang tidak cocok dengan nilai kunci utama dalam dataset tertentu. Pastikan kolom kunci utama dalam dataset hanya berisi nilai string. IN_DATASET: Operator ini digunakan untuk mengidentifikasi bidang yang cocok dengan nilai kunci utama dalam dataset tertentu. Pastikan kolom kunci utama dalam dataset hanya berisi nilai string. Anda dapat menambahkan beberapa bidang ke grup bidang untuk pencocokan. Untuk menambahkan bidang lain, Anda dapat mengklik Add Field. Beberapa bidang dievaluasi menggunakan logika AND. Anda dapat membuat beberapa grup bidang. Untuk membuat grup bidang lain, Anda dapat mengklik Add Field Group. Beberapa grup bidang dievaluasi menggunakan logika OR. Aggregation Field: Pilih bidang yang ingin Anda gunakan untuk agregasi peristiwa. Maximum Logs: Tentukan kondisi berdasarkan mana peringatan dihasilkan. Statistical Period: Tentukan periode waktu peringatan yang ingin Anda agregasikan. Security Center mengagregasikan peringatan dari log jenis yang ditentukan dalam periode statistik yang ditentukan berdasarkan bidang agregasi.
   Incident Generation Settings	Tentukan apakah peringatan yang dihasilkan berdasarkan aturan akan diagregasikan menjadi peristiwa. Jika Anda memilih Yes, hanya peringatan yang dihasilkan berdasarkan aturan yang diagregasikan menjadi peristiwa. Metode agregasi peristiwa berikut tersedia: Use Built-in Incident Aggregation Rule: Peringatan yang dihasilkan berdasarkan aturan diagregasikan menjadi peristiwa yang telah ditentukan sebelumnya. Peristiwa yang telah ditentukan sebelumnya merujuk pada peristiwa yang dihasilkan berdasarkan aturan deteksi pra-tentukan. Aggregate Each Alert to Incident: Setiap peringatan diagregasikan menjadi peristiwa. Aggregate All Rule-triggered Alerts into Incident: Jika Anda memilih metode ini, Anda perlu mengonfigurasi parameter Execution Cycle. Selama periode waktu yang ditentukan oleh parameter Siklus Eksekusi, peringatan yang dihasilkan berdasarkan aturan diagregasikan menjadi satu peristiwa. Periode waktu maksimum yang dapat Anda tentukan adalah 24 jam.

5. Opsional. Klik Test dan pilih metode tes. Sistem akan menguji apakah aturan berlaku.

   Metode tes yang tersedia:

   • Simulation Data: Jika Anda memilih metode tes ini, tulis pernyataan SQL untuk menguji apakah aturan berlaku. Saat menulis pernyataan SQL, Anda dapat merujuk pada contoh yang disediakan di bagian Nilai Data Simulasi di halaman Tes. Setelah memasukkan nilai data simulasi, klik Test.

   • Business Data: Jika Anda memilih metode tes ini, data bisnis aktual Anda digunakan untuk menguji apakah aturan berlaku. Klik Test untuk melihat grafik garis jumlah peringatan dan peristiwa yang dihasilkan berdasarkan aturan, daftar peringatan, dan daftar peristiwa.

   Secara default, tes berjalan selama tujuh hari. Anda juga dapat mengklik Publish atau End Test untuk mengakhiri tes lebih awal. Setelah mengklik Publish, aturan langsung berlaku. Setelah mengklik End Test, Anda perlu mengklik ikon untuk kembali ke halaman Pengelolaan Aturan. Aturan secara otomatis dibuat dan dinonaktifkan.

6. Jika Anda tidak menguji aturan, konfirmasikan pengaturan aturan di halaman Create Rule dan klik Publish.

   Jika Anda tidak ingin aturan langsung berlaku, Anda dapat mengklik Save as Draft untuk menyimpan aturan.

Setelah aturan deteksi kustom dibuat, Anda dapat melihat detail, menguji, mengaktifkan, menonaktifkan, mengedit, dan menghapus aturan di halaman Rule Management.

Buat dataset

1. Di panel navigasi sisi kiri, pilih CTDR > Rule Management.

2. Pada tab Dataset, klik Add Dataset. Panel Add Dataset akan ditampilkan.

3. Di bagian Dataset, klik Download File Template untuk mengunduh file template dataset ke komputer Anda. Masukkan informasi yang diperlukan dalam file template dataset dan simpan.

   Perhatikan hal-hal berikut:

   • Sebelum mengunggah file template dataset, tentukan kunci utama, yang digunakan untuk mencari dan mencocokkan log. Kolom kunci utama tidak boleh berisi nilai NULL atau nilai duplikat.

     Jika kolom kunci utama berisi nilai duplikat, sistem secara otomatis menghapus duplikat tersebut.

   • Ukuran file template dataset tidak boleh melebihi 3 MB.

   • File template dataset tidak boleh berisi lebih dari 5.000 baris.

   • Setiap nilai dalam file template dataset tidak boleh melebihi 200 byte panjangnya.

4. Kembali ke panel Add Dataset, konfigurasikan parameter Nama Dataset dan Deskripsi Dataset, unggah file template dataset, konfigurasikan parameter Kunci Utama Dataset, lalu klik Next.

   Sistem secara otomatis memeriksa validitas nilai dalam file yang diunggah. Jika suatu nilai tidak valid, modifikasi nilai sesuai dengan petunjuk.

5. Di tab Verify and Create, konfirmasikan informasi dalam file yang diunggah dan klik OK.

Apa yang Harus Dilakukan Selanjutnya

Anda dapat langsung mereferensikan dataset saat membuat aturan deteksi kustom dan playbook SOAR. Untuk informasi lebih lanjut, lihat Tangani Insiden Keamanan dan Langkah 1: Buat Playbook.

Anda dapat melihat informasi referensi tentang dataset di kolom Referenced dataset di tab Dataset.

Operasi Lainnya

• Untuk menambahkan data ke dataset atau menghapus data dari dataset, temukan dataset dan klik Edit di kolom Actions.

• Untuk memperbarui beberapa baris dalam dataset sekaligus, buka dan edit file template dataset yang disimpan di komputer Anda, temukan dataset di tab Dataset, lalu klik Batch Update di kolom Actions untuk mengunggah file.

• Untuk menghapus dataset yang tidak lagi Anda gunakan, temukan dataset dan klik Delete di kolom Actions.

  Catatan

  Anda tidak dapat menghapus dataset yang direferensikan dalam aturan deteksi atau playbook.