Présentation

La méthode de séquence vous permet de détecter des attaques en plusieurs phases en identifiant des modèles ordonnés d’événements liés, tels que l’accès initial, l’élévation de privilèges et l’exfiltration de données.

Vous pouvez définir une séquence d’étapes qui doivent se produire dans un laps de temps défini et à travers des entités liées, telles qu’un utilisateur, un host ou une adresse IP. Chaque séquence peut combiner des conditions provenant de plusieurs logs ou signaux pour identifier une activité coordonnée qui pourrait être manquée par des règles individuelles.

Voir Créer une règle pour obtenir des instructions sur la façon de configurer une règle de séquence.

Comment fonctionne la méthode de séquence

Logique de détection

La détection de séquence évalue une série définie d’étapes qui représentent des phases distinctes de comportement suspect. Chaque étape correspond à :

• Une condition telle qu’un seuil sur une requête de log ou une correspondance de signal
• Des transitions qui définissent l’ordre et les contraintes temporelles entre les étapes

La règle est déclenchée lorsque toutes les étapes se produisent dans l’ordre spécifié et dans les fenêtres temporelles configurées.

Liaison d’entités

La séquence d’étapes peut être corrélée entre les utilisateurs, les comptes, les adresses IP et d’autres champs pour suivre automatiquement les entités liées via des champs group by. Cela vous permet de suivre le chemin d’un attaquant à travers différentes identités et systèmes.

Fenêtre d’évaluation

Chaque transition entre les étapes dispose d’une fenêtre d’évaluation configurable qui détermine combien de temps la règle attend que l’étape suivante se produise. Par exemple, une règle peut se déclencher lorsque user login from an unusual location est suivi dans les 20 minutes par un privilege escalation, où l’utilisateur peut être passé d’un rôle standard à un rôle d’administrateur.

Options de configuration

Lorsque vous créez une règle de détection de séquence, vous pouvez configurer ces options :

Limites

• La détection de séquence prend en charge jusqu’à 10 étapes par règle et une fenêtre d’évaluation totale de 24 heures.
• Les étapes doivent être dans une séquence linéaire.

Pour aller plus loin

Documentation, liens et articles supplémentaires utiles:

Datadog Cloud SIEM : stimuler l'innovation dans les opérations de sécuritéBLOG