Syntaxe pravidla

Rychlé odkazy: <definition> , <operations>, <description>, <actions>

Pravidlo je sada výrazů definovaných pomocí jazyka založeného na XML. ESET PROTECT Webová konzole obsahuje předdefinovaná pravidla, ale můžete přidávat a upravovat vlastní pravidla.

Obecná struktura pravidla je:

Definition Štítek

ancestor – může mít další atribut:

•distance – udává skutečnou vzdálenost od aktuálního procesu porovnávaného předka, například 1 je rodičovský proces, 2 prarodič atd. Pokud není zadáno, vlastnost je porovnávána se všemi předchůdci procesu.

•unique – umožňuje značce předka odebrat duplicitní procesy ve stromu předků. Malware si například vytváří více instancí stejného procesu, aby se vyhnul detekci (explorer > cmd > cmd > cmd > malware), a tento atribut tyto duplicity odstraní (explorer > cmd > malware).

Process a parentprocess

Tato část process umožňuje bezpečnostním technikům omezit události na konkrétní proces; proto můžete psát pravidla jako „Outlook vytváří soubor EXE“. Pokud je prvek procesu prázdný, parentprocess a operations jsou vyhodnocovány pro všechny procesy.

Část parentprocess je podobná procesu, ale umožňuje bezpečnostním technikům testovat atributy nadřazeného procesu. Tím se umožní pravidla jako „PowerShell, spuštěný Wordem, se připojuje k internetu“.

process, parentprocess, ancestor a operation používají prvek výrazu k popisu logického výrazu, který je vyhodnocován za účelem zjištění, zda má být spuštěna detekce. Výraz se skládá z podmínek a logických operátorů. Podmínka kontroluje hodnotu určité vlastnosti a logické operátory tyto podmínky seskupují do logických výrazů.

Příklad výrazu:

Operations

Část operations definuje, které operace prováděné procesem vyvolávají indikátor. Pokud je prázdný, indikátor se spustí, když proces vygeneruje událost.

Operace jsou definovány pomocí elementu operace s atributem type a elementem výrazu.

<operation type="WriteFile">Expression</operation>

Úplný seznam podporovaných operací najdete v tématu Operace.

Operator

Podporované logické operátory jsou: AND, OR a NOT. Logické operátory lze vnořovat. Logický operátor proto může být argumentem jiného logického operátoru. Kromě logických operátorů lze jako argument pro logické operátory použít i element condition. Značku operátoru můžete použít, jak je znázorněno v tomto příkladu:

Podmínkové prvky se skládají ze tří částí:

•Vlastnost argumentu nebo procesu operace.

•Hodnota zadaná autorem pravidla.

•Vztah mezi hodnotou a vlastností.

Vlastnosti jsou hierarchicky seskupeny do „komponent“.

Existují tři úrovně závažnosti: 1–39 > Info, 40–69 > Warning a 70–100 > Threat.

Typy vlastností a jejich vztahy (atributy podmínek) jsou:

Description Štítek

Popis je povinný a musí obsahovat název a kategorii, zbytek je však volitelný. Je vhodné definovat níže uvedená pole, protože se zobrazují v podrobnostech:

name–Název pravidla. Zobrazí se v seznamu pravidel.

category – umožňuje kategorizovat pravidla. Můžete si určit vlastní kategorie.

explanation – vysvětluje důvod, proč se pravidlo aktivuje.

os – obsahuje operační systém, na který se pravidlo vztahuje. Možné hodnoty jsou: Windows, Linux, OSX, ANY.

mitreattackid – obsahuje ID nástroje MITRE ATT&CK®.

maliciousCauses – popisuje škodlivé příčiny události nebo změnu, která pravidlo spustila.

benignCauses – popisuje neškodné příčiny události nebo změnu, která pravidlo spustila.

recommendedActions – popisuje doporučené akce, které by měli bezpečnostní inženýři provést.

guid – používá se pro interní pravidla. Externí pravidla mají automaticky vygenerovaný GUID. Používá se k jednoznačné identifikaci pravidel během exportu/importu.

maliciousTarget Štítek

Pomocí štítku maliciousTarget můžete určit cíl, který bude ve výchozím nastavení ovlivněn akcemi vlastní reakce. Pokud například vyberete možnost Blokovat spustitelný soubor, změny závisí na rozhraní maliciousTarget. Nemění to chování značky akcí. Možné hodnoty jsou current, module, none a parent.

Štítek maliciousProcess byl nahrazen štítkem maliciousTarget. Stále se jedná o zastaralou podporu, ale doporučujeme používat značku maliciousTarget.

Actions Štítek

Značka Actions umožňuje určit sadu akcí, které se provedou při spuštění pravidla.

Akce můžete vložit do jednoho prvku akce:

<action name="BlockProcessExecutable"/>

Nebo vložte více prvků action do jediného elementu actions (jak je znázorněno v následujícím příkladu):

Z jednoho pravidla může být spuštěno více akcí.

˄˅