Les règles de détection décrivent la logique backend utilisée pour détecter les menaces dans votre environnement en analysant les événements de l’Agent. Lorsqu’une règle de détection correspond, Workload Protection génère un signal de sécurité que vous pouvez examiner et auquel vous pouvez répondre dans Datadog.
Les règles de détection combinent une ou plusieurs règles de l’Agent (référencées avec @agent.rule_id), appliquent des méthodes de détection telles que des seuils ou des anomalies, suppriment le bruit et acheminent les alertes vers les bonnes équipes. Les règles de l’Agent collectent la télémétrie d’exécution sur le host ; les règles de détection transforment cette télémétrie en détections de menaces priorisées.
Cette page explique comment fonctionnent les règles de détection prêtes à l’emploi (OOTB) et comment créer des règles de détection personnalisées dans Datadog.
Règles de détection OOTB
Workload Protection inclut des règles de détection OOTB maintenues par Datadog. Elles combinent la télémétrie collectée via les règles de l’Agent avec des expressions backend pour générer des signaux de sécurité lorsque l’activité semble suspecte. Parcourez le catalogue complet dans règles de détection par défaut, ou examinez et ajustez-les dans la liste des règles de détection de Workload Protection dans Datadog.
Créer une règle de détection personnalisée
Pour créer une règle de détection personnalisée, accédez à la page règles de détection de Workload Protection et cliquez sur New Rule. Vous pouvez également utiliser Assisted rule creator pour configurer à la fois la règle de l’Agent et la règle de détection dans un flux unique. Voir Créer ensemble les règles personnalisées de l’Agent et de détection.
L’éditeur de règles vous guide à travers cinq étapes.
Étape 1 : Définissez votre règle en temps réel
Sélectionnez la méthode de détection que vous souhaitez utiliser :
- Threshold : Définissez une fenêtre temporelle et le nombre d’événements correspondants requis pour déclencher un signal. Par exemple, déclenchez lorsque plus de 5 événements correspondants se produisent en moins de 5 minutes.
- New value : Déclenchez lorsqu’un attribut suivi apparaît avec une valeur qui n’a pas été observée auparavant.
- Anomaly : Déclenchez lorsque le volume ou le comportement d’un événement s’écarte de la ligne de base attendue.
- Content anomaly : Déclenchez lorsque le contenu des événements correspondants est statistiquement inhabituel par rapport aux données historiques.
Étape 2 : Définissez la requête de recherche
Définissez la requête qui sélectionne les événements d’Agent que la règle évalue. La requête de recherche détermine quels événements sont pris en compte pour décider s’il faut émettre un signal.
Vous pouvez effectuer les opérations suivantes :
- Filtrez sur des champs spécifiques dans les événements de l’Agent pour affiner la requête et rendre la détection plus précise. Par exemple, filtrez sur
@process.executable.path, @file.path ou @agent.rule_id. Les règles de détection peuvent interroger n’importe quel champ du schéma d’événement backend. Consultez la syntaxe backend Linux et la syntaxe backend Windows pour obtenir l’ensemble complet des champs disponibles. - Combinez plusieurs conditions pour limiter la règle à un sous-ensemble de votre infrastructure ou de vos charges de travail.
Pour les règles de seuil, définissez également la fenêtre de rétrospection — la période sur laquelle Datadog compte les événements correspondants avant de comparer ce nombre aux conditions de votre règle.
Utilisez l’Agent Events Explorer pour tester votre requête et valider quels événements correspondent avant de publier la règle.
Étape 3 : Définissez les conditions de la règle
Définissez les limites qui déterminent quand la règle émet un signal. Vous pouvez créer plusieurs cas, chacun associé à un niveau de gravité différent.
Par exemple, avec une règle de seuil, vous pourriez définir :
- Critical lorsque plus de 10 événements correspondants se produisent en moins de 5 minutes.
- High lorsque plus de 5 événements correspondants se produisent en moins de 5 minutes.
- Medium lorsque plus de 2 événements correspondants se produisent en moins de 5 minutes.
Dans la section Add notify, configurez éventuellement qui reçoit une notification lorsque la règle se déclenche. Vous pouvez ajouter des destinataires individuels ou vous appuyer sur les règles de notification pour gérer les alertes sur plusieurs règles de détection.
Étape 4 : Décrivez votre playbook
Configurez le titre et la description du signal qui apparaît lorsque vous l’ouvrez dans le Signals Explorer.
- Saisissez un Rule name. Le nom apparaît dans la liste des règles de détection et devient le titre du signal de sécurité généré.
- Dans la section Rule message, utilisez des variables de notification et Markdown pour décrire ce qui s’est passé et comment les intervenants doivent agir. Les variables de modèle injectent un contexte dynamique provenant des événements de l’Agent déclencheur directement dans le signal et ses notifications.
- Utilisez le menu déroulant Tag resulting signals pour ajouter des tags aux signaux générés. Par exemple,
security:attack ou technique:T1059-command-and-scripting-interpreter.
Étape 5 : Créez une suppression
Vous pouvez ajouter une requête de suppression pour réduire le bruit en excluant une infrastructure ou des événements spécifiques de cette règle. Les suppressions aident à empêcher la génération de signaux lorsque l’activité correspondante est attendue ou bénigne.
Par exemple, pour exclure un utilisateur d’automatisation connu d’une règle, ajoutez une requête de suppression telle que @usr.name:automation-bot.
Cette étape fournit également un aperçu du nombre d’événements correspondants par le passé, afin que vous puissiez estimer la fréquence à laquelle la règle se serait déclenchée avant de l’enregistrer. Utilisez cet aperçu pour affiner votre requête, vos seuils ou vos suppressions et éviter un volume d’alertes excessif.
Pour plus d’informations sur les suppressions dans les règles de détection, consultez Suppressions.
Créez ensemble les règles personnalisées de l’Agent et de détection
Pour savoir comment les règles par défaut de l’Agent sont regroupées dans des politiques et déployées, consultez la présentation des règles de l’Agent et la gestion des politiques.
Vous pouvez définir une règle de l’Agent et une règle de détection correspondantes de l’une des manières suivantes :
- Assisted rule creator : Dans Datadog, démarrez une règle de détection Workload Protection personnalisée et utilisez l’assistant pour configurer à la fois l’expression de l’Agent et la logique de la règle de détection backend.
- Manual rule creator : Depuis Configuration de l’Agent, ouvrez ou créez une politique et choisissez Manual rule creator pour créer d’abord la règle de l’Agent, puis ajoutez une règle de détection qui y fait référence. Pour les étapes de l’interface utilisateur et le déploiement, consultez Gestion des politiques.
