Zum Hauptinhalt springen
Erstellen Sie benutzerdefinierte Detektionen mit Ask Wirespeed. Beschreiben Sie die Aktivität, die Sie interessiert, und der Assistent findet die passenden Daten, erstellt und testet die Regel und zeigt sie Ihnen zur Bestätigung an. Benutzerdefinierte Detektionen werden alle 15 Minuten ausgeführt. Treffer durchlaufen dieselbe Bewertungsverarbeitung wie andere Wirespeed-Detektionen.

​
Funktionsweise des Abgleichs

Eine benutzerdefinierte Detektion überwacht eine Quelltabelle und entscheidet mithilfe eines WHERE-Prädikats, welche Ereignisse zutreffen. Ein WHERE-Prädikat ist einfach der Filterteil einer SQL-Abfrage – die Bedingungen, die nach WHERE folgen. Diese Bedingungen treffen zum Beispiel auf erfolgreiche E-Mail-Sendeereignisse in der Tabelle microsoft_ual_logs zu:
Sie müssen weder SELECT noch FROM noch das Schlüsselwort WHERE angeben. Wirespeed ergänzt die Quelltabelle, die Metadaten Ihres Teams und den Zeitraum automatisch. Jedes Ereignis, das die Bedingungen erfüllt, erzeugt eine Detektion. So bleibt jede Detektion mit einem echten Quellereignis verknüpft, dessen ursprünglicher Zeitpunkt, Integration und zugehörige Assets für die Untersuchung verfügbar sind. Ask Wirespeed kann auch die umgebende Aktivität prüfen. Eine Regel kann zum Beispiel nur dann auf eine erfolgreiche Anmeldung zutreffen, wenn derselbe Benutzer in den vorangegangenen zwei Stunden viele fehlgeschlagene Anmeldungen hatte. Der Assistent hält solche Rückblicke eingegrenzt und zeitlich begrenzt, damit die Regel zuverlässig ausgeführt werden kann.

​
Dynamische Felder

Name und Beschreibung der Detektion können einen Wert aus dem zugehörigen Ereignis enthalten. Setzen Sie eine Spalte der Quelltabelle in Graviszeichen:
Jeder Treffer ersetzt `ObjectId` durch den Wert dieses Ereignisses, sodass eine Service-Principal-Regel anzeigt, welcher Principal hinzugefügt wurde. Verwenden Sie `primary || fallback` in einem Gravispaar, wenn der Wert in einer von zwei Spalten stehen kann. Eine fehlende Spalte wird als unknown angezeigt. Die Regel behält die Vorlage. Die für jeden Treffer erstellte Detektion zeigt den eingesetzten Text.

​
Wiederholte Detektionen unterdrücken

Manche Regeln können auf mehrere eng zusammenhängende Ereignisse zutreffen. Sie können diese Wiederholungen unterdrücken, indem Sie Folgendes auswählen:
  • Die zu vergleichenden zugehörigen Asset-Typen, zum Beispiel Benutzer, Endgeräte, Dateien, IP-Adressen oder Domains
  • Ein Unterdrückungszeitfenster von 15 Minuten, 30 Minuten, 1 Stunde, 4 Stunden, 12 Stunden oder 1 Tag
Wenn dieselbe Regel innerhalb dieses Zeitfensters erneut auslöst und mindestens ein ausgewähltes Asset mit der früheren Detektion gemeinsam hat, schließt Wirespeed die neuere Detektion. Ihre Zeitleiste erklärt, warum sie geschlossen wurde, und verlinkt auf die ursprüngliche Detektion. Das Zeitfenster beginnt mit der ursprünglichen Detektion. Geschlossene Wiederholungen verlängern es nicht, sodass neue Aktivität nach Ablauf des Zeitfensters eine weitere Detektion erzeugen kann.
Die Unterdrückung setzt voraus, dass das ausgewählte Asset im zutreffenden Ereignis vorhanden ist. Eine benutzerbasierte Unterdrückung funktioniert zum Beispiel nur, wenn das Ereignis einen Benutzer identifiziert.
Dadurch werden Schwellenwertregeln deutlich einfacher. Eine Regel für Massen-E-Mails kann Benutzer mit mindestens 100 Sendevorgängen in 15 Minuten finden und dann eine Benutzer-Unterdrückung für 15 Minuten verwenden. Wirespeed behält die erste Detektion bei und schließt die weiteren Treffer für diesen Benutzer.

​
Vor der Bestätigung

Ask Wirespeed prüft die verbundene Tabelle und die Felder, führt die Regel mit aktuellen Daten aus und zeigt:
  • Wie viele Ereignisse zutrafen
  • Die Quelle und die Filterbedingungen
  • Die Abfrageleistung
  • Etwaige Einstellungen zur Unterdrückung von Wiederholungen
Regeln dürfen bei der Verifizierung höchstens 100 Treffer liefern und müssen innerhalb der Abfragelimits der Produktionsumgebung abgeschlossen werden. Ist eine Regel zu weit gefasst oder zu langsam, grenzt der Assistent sie ein, bevor er sie präsentiert.

​
Immer benachrichtigen

Immer benachrichtigen eskaliert jede zutreffende Detektion, auch wenn die automatisierte Triage sie lösen oder überwachen würde. Es hat außerdem Vorrang vor der Unterdrückung von Wiederholungen. Ausnahmeregeln gelten weiterhin.

​
Weiterführende Dokumentation

  • Externe Detektionen – Benutzerdefinierte Detektionsregeln prüfen, die aus verbundenen Sicherheitsanbietern importiert wurden