Descripción general

El método de secuencia le permite detectar ataques de varias etapas mediante la identificación de patrones ordenados de eventos relacionados, como el acceso inicial, la escalada de privilegios y la exfiltración de datos.

Puede definir una secuencia de pasos que deben ocurrir dentro de un marco de tiempo definido y a través de entidades relacionadas, como un usuario, un servidor o una dirección IP. Cada secuencia puede combinar condiciones de múltiples registros o señales para identificar actividades coordinadas que podrían pasar desapercibidas para las reglas individuales.

Consulte Crear regla para obtener instrucciones sobre cómo configurar una regla de secuencia.

Cómo funciona el método de secuencia

Lógica de detección

La detección de secuencias evalúa una serie definida de pasos que representan etapas distintas de comportamiento sospechoso. Cada paso corresponde a:

• Una condición, como un umbral en una consulta de registro o una coincidencia de señal
• Transiciones que definen el orden y las restricciones de tiempo entre los pasos

La regla se activa cuando todos los pasos ocurren en el orden especificado y dentro de los intervalos de tiempo configurados.

Vinculación de entidades

La secuencia de pasos se puede correlacionar entre usuarios, cuentas, direcciones IP y otros campos para rastrear automáticamente las entidades vinculadas a través de campos group by. Esto le permite seguir la ruta de un atacante a través de diferentes identidades y sistemas.

Ventana de evaluación

Cada transición entre pasos tiene una ventana de evaluación configurable que determina cuánto tiempo espera la regla a que ocurra el siguiente paso. Por ejemplo, una regla podría activarse cuando a user login from an unusual location le sigue en un plazo de 20 minutos un privilege escalation, donde el usuario podría haber pasado de un rol estándar a un rol de administrador.

Opciones de configuración

Cuando crea una regla de detección de secuencias, puede configurar estas opciones:

Límites

• La detección de secuencias admite hasta 10 pasos por regla y una ventana de evaluación total de 24 horas.
• Los pasos deben estar en una secuencia lineal.

Lecturas adicionales

Documentación, enlaces y artículos útiles adicionales:

Datadog Cloud SIEM: Impulsando la innovación en las operaciones de seguridadBLOG