Passer au contenu principal
Créez des détections personnalisées avec Ask Wirespeed. Décrivez l’activité qui vous intéresse : l’assistant trouve les bonnes données, construit et teste la règle, puis vous la présente pour confirmation. Les détections personnalisées s’exécutent toutes les 15 minutes. Les correspondances suivent le même traitement des verdicts que les autres détections de Wirespeed.

​
Fonctionnement de la correspondance

Une détection personnalisée surveille une table source et utilise un prédicat WHERE pour déterminer quels événements correspondent. Un prédicat WHERE est simplement la partie filtrante d’une requête SQL, c’est-à-dire les conditions qui suivent WHERE. Par exemple, ces conditions correspondent aux événements d’envoi d’e-mail réussis dans la table microsoft_ual_logs :
Vous n’avez pas besoin d’inclure SELECT, FROM ni le mot-clé WHERE. Wirespeed ajoute automatiquement la table source, les métadonnées de votre équipe et la plage temporelle. Chaque événement qui remplit les conditions crée une détection. Chaque détection reste ainsi liée à un événement source réel, avec son horodatage d’origine, son intégration et ses actifs associés disponibles pour l’investigation. Ask Wirespeed peut également vérifier l’activité antérieure à l’événement. Par exemple, une règle peut ne correspondre à une connexion réussie que si le même utilisateur a eu de nombreuses connexions échouées au cours des deux heures précédentes. L’assistant limite la portée et la durée de ces recherches rétrospectives afin que la règle puisse s’exécuter de manière fiable.

​
Champs dynamiques

Le nom et la description de la détection peuvent inclure une valeur de l’événement correspondant. Entourez une colonne de la table source d’accents graves :
Chaque correspondance remplace `ObjectId` par la valeur de cet événement, afin qu’une règle de principal de service indique quel principal a été ajouté. Utilisez `primary || fallback` dans une seule paire d’accents graves lorsque la valeur peut se trouver dans l’une ou l’autre colonne. Une colonne absente s’affiche comme unknown. La règle conserve le modèle. La détection créée pour chaque correspondance affiche le texte renseigné.

​
Supprimer les détections répétées

Certaines règles peuvent correspondre à plusieurs événements étroitement liés. Vous pouvez neutraliser ces répétitions en choisissant :
  • Les types d’actifs associés à comparer, comme les utilisateurs, les terminaux, les fichiers, les adresses IP ou les domaines
  • Une période de suppression de 15 minutes, 30 minutes, 1 heure, 4 heures, 12 heures ou 1 jour
Lorsque la même règle se déclenche à nouveau pendant cette période et partage au moins un actif sélectionné avec la détection précédente, Wirespeed clôture la détection la plus récente. Sa chronologie explique pourquoi elle a été clôturée et renvoie vers la détection d’origine. La période commence à la détection d’origine. Les répétitions clôturées ne la prolongent pas : une nouvelle activité peut donc créer une autre détection une fois la période terminée.
La suppression dépend de la présence de l’actif sélectionné dans l’événement correspondant. Par exemple, la suppression basée sur l’utilisateur ne fonctionne que si l’événement identifie un utilisateur.
Les règles à seuil s’en trouvent nettement simplifiées. Une règle d’envoi massif d’e-mails peut trouver les utilisateurs ayant effectué au moins 100 envois en 15 minutes, puis utiliser la suppression par Utilisateur pendant 15 minutes. Wirespeed conserve la première détection et clôture les correspondances supplémentaires pour cet utilisateur.

​
Avant de confirmer

Ask Wirespeed vérifie la table et les champs connectés, exécute la règle sur des données récentes et affiche :
  • Le nombre d’événements correspondants
  • La source et les conditions de filtrage
  • Les performances de la requête
  • Les éventuels paramètres de suppression des répétitions
Les règles ne doivent pas renvoyer plus de 100 correspondances lors de la vérification et doivent s’exécuter dans les limites des requêtes de production. Si une règle est trop large ou trop lente, l’assistant l’affine avant de la présenter.

​
Toujours notifier

Toujours notifier escalade chaque détection correspondante, même lorsque le triage automatisé la résoudrait ou la placerait sous surveillance. Cette option prévaut également sur la suppression des répétitions. Les règles d’exclusion continuent de s’appliquer.

​
Documentation associée

  • Détections hors plateforme - Examiner les règles de détection personnalisées importées depuis les fournisseurs de sécurité connectés