Saltar al contenido principal
Cree detecciones personalizadas con Preguntar a Wirespeed. Describa la actividad que le interesa y el asistente encuentra los datos adecuados, construye y prueba la regla, y se la muestra para confirmación. Las detecciones personalizadas se ejecutan cada 15 minutos. Las coincidencias siguen el mismo procesamiento de veredictos que el resto de detecciones de Wirespeed.

​
Cómo funciona la coincidencia

Una detección personalizada supervisa una tabla de origen y usa un predicado WHERE para decidir qué eventos coinciden. Un predicado WHERE es simplemente la parte de filtrado de una consulta SQL: las condiciones que van después de WHERE. Por ejemplo, estas condiciones coinciden con eventos de envío de correo correctos en la tabla microsoft_ual_logs:
No necesita incluir SELECT, FROM ni la palabra clave WHERE. Wirespeed añade automáticamente la tabla de origen, los metadatos de su equipo y el intervalo de tiempo. Cada evento que cumple las condiciones crea una detección. Así, cada detección queda ligada a un evento de origen real, con su hora original, integración y activos relacionados disponibles para la investigación. Preguntar a Wirespeed también puede comprobar la actividad circundante. Por ejemplo, una regla puede coincidir con un inicio de sesión correcto solo cuando el mismo usuario tuvo muchos inicios de sesión fallidos durante las dos horas anteriores. El asistente mantiene estas búsquedas retrospectivas acotadas y limitadas en el tiempo para que la regla se ejecute de forma fiable.

​
Campos dinámicos

El nombre y la descripción de la detección pueden incluir un valor del evento coincidente. Envuelva una columna de la tabla de origen entre acentos graves:
Cada coincidencia sustituye `ObjectId` por el valor de ese evento, de modo que una regla de service principal puede mostrar qué principal se añadió. Use `primary || fallback` dentro de un único par de acentos graves cuando el valor pueda estar en cualquiera de las dos columnas. Una columna ausente se muestra como unknown. La regla conserva la plantilla. La detección creada para cada coincidencia muestra el texto rellenado.

​
Suprimir detecciones repetidas

Algunas reglas pueden coincidir con varios eventos estrechamente relacionados. Puede suprimir estas repeticiones eligiendo:
  • Los tipos de activos relacionados que comparar, como usuarios, puntos de conexión, archivos, direcciones IP o dominios
  • Una ventana de supresión de 15 minutos, 30 minutos, 1 hora, 4 horas, 12 horas o 1 día
Cuando la misma regla se vuelve a disparar dentro de esa ventana y comparte cualquier activo seleccionado con la detección anterior, Wirespeed cierra la detección más reciente. Su cronología explica por qué se cerró y enlaza a la detección original. La ventana comienza en la detección original. Las repeticiones cerradas no la amplían, de modo que una actividad nueva puede crear otra detección cuando termine la ventana.
La supresión depende de que el activo seleccionado esté presente en el evento coincidente. Por ejemplo, la supresión basada en usuario solo funciona cuando el evento identifica a un usuario.
Esto simplifica mucho las reglas de umbral. Una regla de correo masivo puede encontrar usuarios con al menos 100 envíos en 15 minutos y, a continuación, usar la supresión por Usuario durante 15 minutos. Wirespeed conserva la primera detección y cierra las coincidencias adicionales de ese usuario.

​
Antes de confirmar

Preguntar a Wirespeed comprueba la tabla y los campos conectados, ejecuta la regla contra datos recientes y muestra:
  • Cuántos eventos coincidieron
  • El origen y las condiciones de filtrado
  • El rendimiento de la consulta
  • Cualquier ajuste de supresión de repeticiones
Las reglas no deben devolver más de 100 coincidencias durante la verificación y deben completarse dentro de los límites de consulta de producción. Si una regla es demasiado amplia o lenta, el asistente la reduce antes de presentarla.

​
Always Notify

Always Notify escala cada detección coincidente, incluso cuando el triaje automatizado la resolvería. También tiene prioridad sobre la supresión de repeticiones. Las reglas de exclusión siguen aplicándose.

​
Documentación relacionada