Workload Protection은 Datadog이 선별한 위협 인텔리전스로 Agent 이벤트를 보강합니다. 이 보강 작업은 IP 주소 및 파일 해시와 같이 호스트와 컨테이너에서 관찰된 엔터티에 평판 컨텍스트를 추가하여 이벤트가 알려진 악성 캠페인의 일부인지 평가하는 데 도움을 줍니다.
모든 Datadog 보안 제품에 적용되는 일반적인 개념, 소스, 카테고리, 의도 및 수명 주기 정보는 위협 인텔리전스를 참조하세요. 이 페이지에서는 Workload Protection과 관련된 세부 정보를 다룹니다.
Workload Protection을 위한 엔터티 유형
Workload Protection은 다음 엔터티 유형을 지원합니다.
- IP 주소
- 도메인
- 파일 해시:
SHA1, SHA256 및 ssdeep
ssdeep 해시는 퍼지 매칭을 지원하며, 이는 알려진 악성 파일과 동일하지는 않지만 유사한 파일을 식별하는 데 도움이 됩니다.
Workload Protection에서 지원하는 카테고리
Workload Protection은 다음의 위협 인텔리전스 카테고리를 지원합니다.
malwareexploitationcryptominingsupply_chain_attack_infrastructurecustom
Datadog 보안 제품 전반에 적용되는 카테고리 정의 및 인텐트는 위협 인텔리전스 카테고리를 참조하세요.
탐지 규칙에서 위협 인텔리전스 사용하기
Workload Protection의 탐지 규칙은 검색 쿼리나 규칙 조건에서 카테고리(@threat_intel.results.category) 및 인텐트(@threat_intel.results.intention)와 같은 위협 인텔리전스 키를 참조할 수 있습니다. 예를 들어, 워크로드에서 실행된 파일이 malware로 분류되고 의도가 malicious인 알려진 악성 코드 샘플의 해시와 일치할 때 규칙이 트리거될 수 있습니다.
위협 인텔리전스 소스 및 카테고리는 구성할 수 없습니다.
위협 인텔리전스 패싯
위협 인텔리전스 소스, 카테고리 및 인텐트를 패싯 및 필터로 사용할 수 있습니다. Agent Events Explorer의 일치하는 이벤트와 결과로 생성된 보안 신호에서 위협 인텔리전스 보강 정보를 확인할 수 있습니다.
보안 신호에 대한 위협 인텔리전스
Agent 이벤트가 위협 인텔리전스 지표와 일치하면 Workload Protection은 일치하는 엔터티를 소스, 범주 및 인텐트와 함께 표시하는 보안 신호를 생성합니다.
추가 자료
