Правила послідовності
Правила послідовності дають змогу створювати інциденти, якщо виявлення відбуваються в певній послідовності.
Приклад:
<?xml version="1.0" encoding="utf-8"?>
<rule>
<definition>
<sequence count="2" maxSpan="1m">
<detection>
<definition>
<process>
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="notepad" />
</process>
<operations>
<operation type="Detection">
<condition component="InspectDetection" property="RuleName" condition="contains" value="Rule 01"/>
</operation>
</operations>
</definition>
</detection>
<detection>
<definition>
<process>
<condition component="FileItem" property="FileNameWithoutExtension" condition="is" value="notepad" />
</process>
<operations>
<operation type="Detection">
<operator type="and">
<condition component="InspectDetection" property="RuleName" condition="contains" value="Rule 02"/>
<condition component="InspectDetection" property="RuleCategory" condition="is" value="Custom category"/>
<condition component="InspectDetection" property="RuleSeverity" condition="is" value="Threat"/>
</operator>
</operation>
</operations>
</definition>
</detection>
<aggregateOn>
<property name="Computer"/>
<property name="Process"/>
<property name="ParentProcess"/>
</aggregateOn>
</sequence>
</definition>
<description>
<name>Notepad triggered sequence of detections</name>
<category>
Default
</category>
</description>
<actions>
<action name="ReportIncident"/>
</actions>
</rule>
|
На що слід звернути увагу в наведеному вище прикладі правила:
1.Тег sequence визначає кількість збігів всієї послідовності, за якої створюється інцидент, а також максимальний час між першим і останнім виявленням у послідовності.
2.У наведеному вище прикладі для активації правила послідовності потрібно, щоб Rule 01 і Rule 02 ініціювали виявлення в такому порядку двічі протягом 1 хвилини.
3.Тег aggregateOn визначає умови, для яких тригери правил мають бути згруповані.
Можливі значення:
oКомп'ютер
oПроцесор
oParentProcess
4.Єдина доступна дія — ReportIncident.
