Vue d’ensemble

Les signaux de sécurité AAP sont créés lorsque Datadog détecte une menace basée sur une règle de détection. Affichez, recherchez, filtrez et examinez les signaux de sécurité dans Signals Explorer, ou configurez des Règles de notification pour envoyer des signaux à des outils tiers.

Colonnes de Signals Explorer

Signals Explorer affiche les colonnes suivantes.

Severity

Il existe cinq niveaux de gravité: Info, Low, Medium, High et Critical. High et Critical indiquent un impact majeur sur la disponibilité du service ou une compromission active.

Title

Le nom du signal. Les titres peuvent être mis à jour lorsque de nouvelles données sont corrélées, modifiant ainsi l’impact évalué de l’attaque.

Service/Env

Le service et l’environnement identifiés dans l’attaque. Survolez le nom du service pour accéder à la page du service et au dépôt de code, et pour voir qui est d’astreinte pour ce service.

Entities

Les attaquants et les victimes d’une attaque. Les attaquants sont identifiés par des adresses IP. Les victimes sont identifiées en tant qu’utilisateurs authentifiés. Survolez la liste IP, puis cliquez sur une IP pour voir des détails tels que Threat Intelligence et Security Activity.

Triage State

Vous pouvez assigner un responsable et définir un état de tri pour le signal. Les états disponibles sont Open, Under Review et Archived.

Creation Date : La date à laquelle le signal a été créé pour la première fois. Les signaux sont triés par date par défaut.

Filtrer les signaux de sécurité

Pour filtrer les signaux de sécurité dans Signals Explorer, utilisez la requête de recherche @workflow.triage.state:<status>, où <status> est l’état sur lequel vous souhaitez filtrer (open, under_review ou archived). Vous pouvez également utiliser la facette Signal State dans le panneau des facettes.

Trier un signal

Vous pouvez trier un signal en l’attribuant à un utilisateur pour une enquête plus approfondie. L’utilisateur assigné peut ensuite suivre son examen en mettant à jour le statut du signal.

1. Sur la page Signals Explorer, cliquez sur l’icône de profil utilisateur dans la colonne Triage State.
2. Sélectionnez un utilisateur pour assigner le signal.
3. Pour mettre à jour le statut du signal de sécurité, cliquez sur le menu déroulant du statut de tri et sélectionnez un statut. Le statut par défaut est Open.
   • Open : Le signal n’a pas encore été résolu.
   • Under Review : Le signal fait l’objet d’une enquête active. Depuis l’état Under Review, vous pouvez faire passer le signal à Archived ou Open selon vos besoins.
   • Archived : La détection à l’origine du signal a été résolue. Depuis l’état Archived, vous pouvez ramener le signal à Open s’il se situe dans les 30 jours suivant la détection initiale du signal.

Remarque : Pour modifier les signaux de sécurité, vous devez disposer de l’autorisation security_monitoring_signals_write. Consultez Role Based Access Control pour plus d’informations sur les rôles par défaut de Datadog et les autorisations de contrôle d’accès basé sur les rôles granulaires disponibles pour App and API Protection.

Déclarer un incident

Utilisez Incident Management pour créer un incident pour un signal de sécurité.

Déclarez un incident si :

• Un problème impacte ou pourrait impacter les clients.
• Vous estimez qu’un problème (même s’il est interne) doit être traité en urgence.

Si vous ne savez pas si vous devez déclarer un incident, informez les autres utilisateurs et augmentez la gravité de manière appropriée.

1. Sur la page Signals Explorer, sélectionnez un signal de sécurité pour ouvrir son panneau de détails.
2. Sur le panneau du signal, cliquez sur Declare Incident ou sélectionnez la flèche du menu déroulant et choisissez Add to an existing incident.
3. Lorsque vous déclarez un nouvel incident, dans les paramètres Declare Incident, configurez l’incident en précisant des détails tels que le niveau de gravité et le responsable de l’incident.
   1. Estimez l’impact. Les niveaux de gravité vont de SEV-1 (critique) à SEV-5 (impact mineur). En cas de doute, choisissez toujours la gravité la plus élevée.
4. Cliquez sur Declare Incident.

Exécutez un workflow

Utilisez Workflow Automation pour déclencher manuellement un workflow pour un signal de sécurité.

1. Assurez-vous que le workflow que vous souhaitez exécuter dispose d’un déclencheur de sécurité.
2. Sur la page Signals Explorer, ouvrez un signal de sécurité.
3. Dans la section Respond, cliquez sur Run Workflow.
4. Dans Run a workflow, sélectionnez le workflow que vous souhaitez exécuter ou cliquez sur New Workflow.
   • Selon le workflow que vous sélectionnez, il se peut que vous deviez saisir des paramètres d’entrée supplémentaires.
   • Si vous avez sélectionné New Workflow, la fenêtre Run a Security Workflow s’ouvre. Pour en savoir plus sur les workflows, consultez Workflow Automation.
5. Cliquez sur Run.

Examinez et corrigez

1. Sur la page Signals Explorer, ouvrez un signal de sécurité.
2. Dans les détails du signal, affichez chacune des sections, telles que What Happened, Activity Summary et Detection Rule.
3. Examinez Next Steps et prenez des mesures :
   • Cliquez sur Block all Attacking IPs (pour une durée spécifique ou de façon permanente).
   • Cliquez sur Automated Attacker Blocking (basé sur les règles de détection). Ce paramètre nécessite l’autorisation Protect Write App and API Protection.
   • Cliquez sur Block with Edge WAF.

Actions groupées

Lorsque vous sélectionnez un ou plusieurs signaux, vous pouvez utiliser Bulk Actions pour effectuer les opérations suivantes.

Définir l’état

Définissez l’état de triage sur Open, Under Review ou Archived.

Attribuer le signal aux utilisateurs

Sélectionnez Assign selection, puis sélectionnez le ou les utilisateurs à attribuer au signal.

Sélectionnez Remove all assignments pour réinitialiser l’affectation du signal sur aucun.

Gestion des cas

Datadog Case Management offre un emplacement centralisé pour trier, suivre et résoudre les problèmes détectés par Datadog et les intégrations tierces.

1. Sur la page Signals Explorer, sélectionnez un signal de sécurité.
2. Dans Bulk Actions, sélectionnez Create a case.
3. Sélectionnez Create a case ou Add to an existing case pour ajouter le signal à un cas existant.
4. Saisissez un titre et une description facultative.
5. Cliquez sur Create Case.

Lorsque vous cliquez sur Create Case, vous êtes redirigé vers Case Management et le projet que vous avez sélectionné.

Vues enregistrées

Vous pouvez enregistrer différentes configurations de Signals Explorer en tant que vues. Par exemple, vous pouvez filtrer l’Explorer pour afficher tous les signaux non affectés, puis enregistrer cela en tant que vue.

Lorsqu’une configuration est enregistrée en tant que vue, vous et vos collaborateurs pouvez l’utiliser ultérieurement.

Une vue contient les sélections actuelles de l’Explorer pour :

• Heure et requête :
• Colonnes affichées et tri :
• Paramètres d’agrégation analytique :
• Visibilité de la chronologie :
• Facettes affichées :
• Agrégé par règle de détection :

1. Pour enregistrer une vue, configurez l’Explorer afin d’afficher la vue souhaitée, puis cliquez sur Save.
2. Saisissez un nom pour la vue, puis sélectionnez les équipes avec lesquelles vous souhaitez partager cette vue.
3. Cliquez sur Save.

Pour voir toutes les vues enregistrées, cliquez sur Views à côté du titre de la page Signals Explorer.

Lectures complémentaires

Documentation, liens et articles supplémentaires utiles:

Explorer les règles de détection des menaces AAP prêtes à l'emploiDOCUMENTATION Configurer des règles personnalisées de détection des menaces AAPDOCUMENTATION Intelligence sur les menaces AAPDOCUMENTATION