Überblick
Wirespeed importiert benutzerdefinierte Detektionsregeln aus unterstützten Sicherheitsplattformen. Sie können diese Regeln an einem Ort prüfen und kategorisieren. Wenn eine importierte Regel auslöst, wendet Wirespeed ihre Kategorie an und startet den Standard-Detektionsworkflow.Funktionsweise
- Automatische Synchronisierung: Wirespeed synchronisiert regelmäßig benutzerdefinierte Detektionsregeln aus verbundenen EDR-, XDR- und SIEM-Anbietern.
- KI-Klassifizierung: Wirespeed AI schlägt anhand von Inhalt und Verhalten der Regel eine Detektionskategorie vor.
- Regelprüfung: Sie können die Regel prüfen, ihre Kategorie ändern und „Immer benachrichtigen“ konfigurieren.
- Automatischer Abgleich: Wenn die Regel beim Anbieter auslöst, ordnet Wirespeed die Warnung der importierten Regel zu und wendet deren Kategorie an.
Unterstützte Integrationen
Die folgenden Integrationen unterstützen den automatischen Import benutzerdefinierter Detektionen:- CrowdStrike: Importiert benutzerdefinierte Indicator-of-Attack-Regeln (IOA)
- Google Chronicle: Importiert benutzerdefinierte Detektionsregeln
- Microsoft Defender: Importiert benutzerdefinierte Detektionsregeln aus Microsoft 365 Defender und Microsoft Sentinel
- Palo Alto Cortex: Importiert Korrelationsregeln und benutzerdefinierte BIOC-Regeln
- SentinelOne: Importiert benutzerdefinierte Detektionsregeln
Es werden regelmäßig weitere Integrationen hinzugefügt. Die aktuellen Funktionen finden Sie auf der Dokumentationsseite Ihrer Integration.
Externe Detektionen verwalten
Gehen Sie zu Einstellungen > Detektionsregeln > Externe Detektionen, um die aus Ihren Integrationen synchronisierten Regeln zu prüfen.Importierte Regeln anzeigen
Die Registerkarte Externe Detektionen zeigt die aus Ihren Anbietern importierten Regeln:- Name, Beschreibung und Schweregrad der Detektion anzeigen
- Sehen, aus welcher Integration jede Regel stammt
- Prüfen, ob die Regel beim Anbieter aktiviert ist
- Die ausgewählte und die von der KI vorgeschlagene Kategorie prüfen
Regeln prüfen
Öffnen Sie eine Regel, um ihre Details und eine Beispieldetektion zu prüfen. Sie können die von der KI vorgeschlagene Kategorie übernehmen oder eine andere Kategorie auswählen.Regeldetails
Beim Prüfen oder Bearbeiten einer importierten Regel sehen Sie:- Detektionsinformationen: Name, Beschreibung, Schweregrad und Quelldaten
- Kategorisierung: Ausgewählte Kategorie und KI-Vorschlag (falls verfügbar)
- Beispieldetektion: Ein Beispiel dafür, was diese Regel erkennt (sofern vom Anbieter bereitgestellt)
- Anbieter-Metadaten: Zusätzlicher Kontext aus Ihrer Sicherheitsplattform
- Rohdaten: Vollständige JSON-Struktur der Regel, wie sie von der Integration empfangen wurde
Anbieterstatus und „Immer benachrichtigen“
- Beim Anbieter aktiviert: Zeigt, ob die Regel in der Quellplattform aktiviert ist. Dieser Wert ist in Wirespeed schreibgeschützt.
- Immer benachrichtigen: Hält Detektionen aus dieser Regel unabhängig vom normalen Ergebnis der Bewertung zur Prüfung offen.
Detektionsabgleich
Wenn eine Detektion von einer integrierten Plattform empfangen wird:- Wirespeed prüft, ob sie einer importierten benutzerdefinierten Detektionsregel entspricht
- Wirespeed verwendet eine Übereinstimmung, wenn die Anbieterregel aktiviert ist und eine ausgewählte oder von der KI vorgeschlagene Kategorie hat
- Wirespeed wendet die Kategorie an und startet den normalen Workflow für die Ermittlung der Bewertung und Fallerstellung
- Die Zeitleistenprotokolle der Detektion zeigen, dass sie einer importierten Regel zugeordnet wurde
Wirespeed gleicht Regeln anhand der Integration und der Regel-ID des Anbieters ab. Gelöschte Regeln und beim Anbieter deaktivierte Regeln werden nicht abgeglichen.
Best Practices
- Regelmäßig prüfen: Achten Sie auf Regeln, die kürzlich aus Ihren Sicherheitsplattformen synchronisiert wurden.
- KI-Vorschläge prüfen: Bestätigen Sie, dass jede vorgeschlagene Kategorie zum Workflow Ihres Teams passt.
- Beispieldetektionen nutzen: Prüfen Sie verfügbare Beispieldetektionen, um zu verstehen, was die Regel erkennt.
- Anbieterstatus überwachen: Prüfen Sie Regeln, die beim Anbieter deaktiviert sind.
Weiterführende Dokumentation
- Benutzerdefinierte Detektionen – Benutzerdefinierte Detektionen mit der Abfragesprache von Wirespeed erstellen
- Erweiterte Abfragen – Erfahren Sie, wie Sie Ereignisse im SIEM von Wirespeed abfragen
- Bewertungen – Verstehen Sie, wie Detektionen automatisch verarbeitet und eskaliert werden