Disponible pour:
Cloud SIEM
|
Cloud Security
|
Protection des applications et des API
|
Workload Protection
Les règles de détection définissent la logique conditionnelle appliquée à tous les logs et configurations cloud ingérés. Lorsqu’au moins un cas défini dans une règle correspond, sur une période donnée, un signal de sécurité est généré. Vous pouvez consulter ces signaux dans le Signals Explorer.
Règles de détection prêtes à l’emploi
Datadog fournit des règles de détection prêtes à l’emploi pour signaler les techniques d’attaquants et les erreurs de configuration potentielles. Lorsque de nouvelles règles de détection sont publiées, elles sont automatiquement importées dans votre compte, votre bibliothèque de protection des applications et des API, et l’Agent, selon votre configuration.
Les règles de détection prêtes à l’emploi sont disponibles pour les solutions de sécurité suivantes :
- Cloud SIEM utilise la détection de logs pour analyser les logs ingérés en temps réel.
- Cloud Security :
- Workload Protection utilise le Datadog Agent et des règles de détection pour surveiller et évaluer activement l’activité du système.
- App and API protection (AAP) exploite APM de Datadog, le Datadog Agent et des règles de détection pour détecter les menaces dans votre environnement applicatif.
Carte MITRE ATT&CK
Disponible pour:
Cloud SIEM
|
Workload Protection
MITRE ATT&CK est un framework qui aide les organisations à comprendre comment les cyberattaquants opèrent. Il cartographie les éléments suivants :
- Tactiques : Le « pourquoi » d’une attaque. Il s’agit des objectifs de haut niveau, comme obtenir un accès initial, exécuter du code malveillant ou voler des données.
- Techniques : Le « comment » d’une attaque. Il s’agit des actions spécifiques qu’un attaquant entreprend pour atteindre une tactique, comme utiliser le phishing pour pénétrer dans un système ou exploiter une vulnérabilité dans un logiciel.
En cartographiant les tactiques et les techniques, MITRE ATT&CK fournit aux équipes de sécurité un langage commun pour communiquer sur les menaces et mieux préparer les défenses.
Pour utiliser la carte MITRE ATT&CK, procédez comme suit :
- Ouvrez les règles de détection dans SIEM ou Workload Protection.
- Sélectionnez MITRE ATT&CK map.
- Sélectionnez un ou plusieurs produits dans le filtre .
- Examinez la carte pour les éléments suivants :
- Évaluation de la couverture : Déterminez quelles techniques d’attaque sont bien couvertes et lesquelles sont sous-surveillées.
- Priorisation de la création de règles : Concentrez-vous sur la création de règles de détection pour les techniques présentant une couverture faible ou nulle.
- Rationalisation de la gestion des règles : Gérez et mettez à jour les règles de détection, en vous assurant qu’elles s’alignent sur les dernières informations concernant les menaces.
La carte MITRE ATT&CK est disponible dans SIEM ou Workload Protection, mais vous pouvez sélectionner Application and API Protection dans le filtre. La protection des applications et des API est incluse dans la carte MITRE ATT&CK pour une couverture de sécurité complète.
Règles de détection bêta
L’équipe de recherche en sécurité de Datadog ajoute continuellement de nouvelles règles de détection de sécurité prêtes à l’emploi. Bien que l’objectif soit de fournir des détections de haute qualité avec la publication d’intégrations ou d’autres nouvelles fonctionnalités, les performances de la détection à grande échelle doivent souvent être observées avant de rendre la règle généralement disponible. Cela donne à l’équipe de recherche en sécurité de Datadog le temps d’affiner ou de supprimer les opportunités de détection qui ne répondent pas à nos normes.
Règles de détection personnalisées
Il peut y avoir des situations où vous devez personnaliser une règle en fonction de votre environnement ou de votre charge de travail. Par exemple, si vous utilisez AAP, vous souhaiterez peut-être personnaliser une règle de détection qui détecte les utilisateurs effectuant des actions sensibles depuis une géolocalisation où votre entreprise n’opère pas.
Pour créer des règles personnalisées, vous pouvez cloner les règles par défaut et modifier les copies, ou créer vos propres règles à partir de zéro.
Rechercher et filtrer les règles de détection
Pour afficher les règles de détection prêtes à l’emploi et personnalisées dans Datadog, accédez à la page Security Settings. Les règles sont répertoriées sur des pages distinctes pour chaque produit (App and API Protection, Cloud Security et Cloud SIEM).
Pour rechercher et filtrer les règles, utilisez la zone de recherche et les facettes pour effectuer une requête par valeur. Par exemple, pour n’afficher que les règles d’un type donné, survolez le type de règle et sélectionnez only. Vous pouvez également filtrer par des facettes telles que source et severity lors de l’examen et du tri des problèmes entrants.
Créer des règles de détection
Pour créer une règle de détection personnalisée, cliquez sur le bouton New Rule dans le coin supérieur droit de la page Règles de détection. Vous pouvez également cloner une règle par défaut ou personnalisée existante et l’utiliser comme modèle.
Pour obtenir des instructions détaillées, consultez la documentation relative aux solutions suivantes :
Gérer les règles de détection
Vous pouvez gérer les règles de détection depuis les pages SIEM ou Workload Protection dans Datadog. Ces instructions décrivent comment effectuer ces actions depuis ces pages, mais ces options sont également disponibles lorsque vous cliquez sur une règle de détection pour l’ouvrir dans un panneau latéral.
Activer ou désactiver des règles
Pour activer ou désactiver une règle, cliquez sur le bouton en regard du nom de la règle.
Vous pouvez également activer ou désactiver plusieurs règles à la fois :
- Cliquez sur Select Rules.
- Sélectionnez les règles que vous souhaitez activer ou désactiver.
- Cliquez sur le menu déroulant Bulk Actions.
- Sélectionnez Enable Rules ou Disable Rules.
Modifier une règle
Vous pouvez modifier les règles de détection standard et personnalisées. Si vous souhaitez conserver la règle d’origine au lieu de la modifier directement, vous pouvez cloner la règle, apporter des modifications à la règle clonée et désactiver la règle d’origine.
Pour modifier une règle, cliquez sur le menu à trois points verticaux de la règle et sélectionnez Edit default rule ou Edit rule, selon le type de règle.
Cloner une règle
Pour cloner une règle, cliquez sur le menu à trois points verticaux de la règle et sélectionnez Clone rule.
Le clonage d’une règle est utile si vous souhaitez dupliquer une règle existante et modifier légèrement les paramètres pour couvrir d’autres domaines de détection. Par exemple, vous pourriez dupliquer une règle de détection de log et la modifier de Threshold à Anomaly pour ajouter une nouvelle dimension à la détection des menaces en utilisant les mêmes requêtes et déclencheurs.
Supprimez une règle
Pour supprimer une règle, cliquez sur le menu à trois points verticaux de la règle et sélectionnez Delete rule.
Vous pouvez également supprimer des règles en masse :
- Cliquez sur Select Rules.
- Sélectionnez les règles que vous souhaitez supprimer.
- Cliquez sur le menu déroulant Bulk Actions.
- Sélectionnez Delete Rules.
Consulter l’historique des versions d’une règle
Utilisez l’historique des versions de règle pour :
- Consulter les versions précédentes d’une règle de détection et comprendre les changements au fil du temps.
- Voir qui a effectué les changements pour une meilleure collaboration.
- Comparer les versions avec des différences pour analyser les modifications et l’impact des changements.
Pour consulter l’historique des versions d’une règle :
- Accédez à la page Security Settings. Dans le panneau de navigation de gauche :
- Pour AAP : Cliquez sur App and API Protection puis cliquez sur Detection Rules.
- Pour Cloud Security : Cliquez sur Cloud Security puis cliquez sur Threat Detection Rules.
- Pour Cloud SIEM : Cliquez sur Cloud SIEM puis cliquez sur Detection Rules.
- Cliquez sur la règle qui vous intéresse, puis cliquez sur Edit rule.
- Dans l’éditeur de règles, cliquez sur Version History pour voir les modifications passées :
- Cliquez sur une version spécifique pour voir quelles modifications ont été apportées.
- Cliquez sur Open Version Comparison pour voir ce qui a changé entre les versions, puis sélectionnez les deux versions que vous souhaitez comparer. Cliquez sur Unified si vous souhaitez voir la comparaison dans le même panneau.
- Les données surlignées en rouge indiquent des données qui ont été modifiées ou supprimées.
- Les données surlignées en vert indiquent des données qui ont été ajoutées.
Restreindre les autorisations de modification
By default, all users have view and edit access to the detection rules. To use granular access controls to limit the roles that may edit a single rule:
- Click the vertical three-dot menu for the rule and select Permissions.
- Click Restrict Access. The dialog box updates to show that members of your organization have Viewer access by default. Use that dropdown menu to select one or more roles, teams, or users that may edit the security rule.
- Use the dropdown menu to select one or more roles, teams, or users that may edit the security rule.
- Click Add.
- Click Save.
Note: To maintain your edit access to the rule, Datadog requires you to include at least one role that you are a member of before saving.
To restore access to a rule:
- Click the vertical three-dot menu for the rule and select Permissions.
- Click Restore Full Access.
- Click Save.
Afficher les signaux générés
Pour afficher les signaux de sécurité d’une règle dans l’Signals Explorer, cliquez sur le menu vertical à trois points et sélectionnez View generated signals. Ceci est utile pour corréler les signaux provenant de plusieurs sources par règle, ou lors de la réalisation d’un audit de règles.
Exporter une règle
Pour exporter une copie d’une règle, cliquez sur la règle pour l’ouvrir dans le panneau latéral. Cliquez sur Export, puis sélectionnez Export rule to JSON ou Export rule to Terraform.
Vous pouvez également exporter des règles en masse :
- Cliquez sur Select Rules.
- Sélectionnez les règles que vous souhaitez exporter.
- Cliquez sur le menu déroulant Bulk Actions.
- Sélectionnez Export to JSON ou Export to Terraform.
Obsolescence de la règle
Des audits réguliers de toutes les règles de détection sont effectués afin de maintenir une qualité de signal élevée. Les règles obsolètes sont remplacées par une règle améliorée.
Le processus d’obsolescence des règles suit différentes étapes :
- Un avertissement indiquant la date d’obsolescence figure sur la règle. Dans l’interface utilisateur, l’avertissement s’affiche dans :
- Panneau latéral des signaux, section Rule Details > Playbook
- Panneau latéral des erreurs de configuration (Cloud Security Misconfigurations uniquement)
- Éditeur de règles pour cette règle spécifique
- Une fois la règle obsolète, une période de 15 mois s’écoule avant sa suppression. Ceci est dû à la période de rétention des signaux de 15 mois. Pendant cette période, vous pouvez réactiver la règle en clonant la règle dans l’interface utilisateur.
- Une fois la règle supprimée, vous ne pouvez plus la cloner ni la réactiver.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
