Sintaksa pravila

Brzi linkovi: <definition> , <operations>, <description>, <actions>

Pravilo je skup izraza definiranih pomoću jezika temeljenog na XML-u. ESET PROTECT Web Console sadrži unaprijed definiran skup pravila, ali možete dodati i urediti vlastita pravila.

Opća struktura tijela pravila je:

Definition Oznaka

ancestor – može imati dodatni atribut:

•distance–navodi stvarnu udaljenost pretka koji se podudara od trenutnog procesa, na primjer., 1 je roditeljski proces, 2 je roditelj roditeljskog procesa itd. Ako nije navedeno, svojstvo se uspoređuje sa svim precima procesa.

•unique–omogućuje oznaci pretka uklanjanje dupliciranih procesa u stablu predaka. Na primjer, zlonamjerni softver stvara više instanci istog procesa kako bi izbjegao detekciju (explorer > cmd > cmd > cmd > malware), a ovaj će atribut ukloniti te duplikate (explorer > cmd > malware).

Process i parentprocess

Dio process omogućuje sigurnosnim inženjerima da ograniče događaje na određeni proces; stoga možete pisati pravila poput „Outlook stvara EXE datoteku“. Ako je element procesa prazan, parentprocess i operations evaluiraju se za sve procese.

Dio parentprocess sličan je procesu, ali sigurnosnim inženjerima omogućuje testiranje atributa roditeljskog procesa. To omogućuje pravila poput „PowerShell, pokrenut iz Worda, povezuje se na internet“.

process, parentprocess, ancestor i operation koriste element izraza za opisivanje logičkog izraza koji se evaluira kako bi se provjerilo treba li pokrenuti detekciju. Izraz se sastoji od uvjeta i logičkih operatora. Uvjet provjerava vrijednost nekog svojstva, a logički operatori grupiraju te uvjete u logičke izraze.

Primjer izraza:

Operations

Dio operations definira koje operacije koje izvršava proces podižu indikator. Ako je prazno, indikator se aktivira kada proces generira događaj.

Operacije se definiraju pomoću elementa operation s atributom type i elementom expression.

<operation type="WriteFile">Expression</operation>

Za potpuni popis podržanih operacija pogledajte temu Operacije.

Operator

Podržani logički operatori su: AND, OR i NOT. Logički operatori mogu se ugniježđivati. Stoga logički operator može biti argument drugog logičkog operatora. Osim logičkih operatora, element uvjeta može se koristiti kao argument za logičke operatore. Oznaku operatora možete koristiti kao što je prikazano u ovom primjeru:

Elementi uvjeta sastoje se od tri dijela:

•Svojstvo argumenta ili procesa operacije.

•Vrijednost koju je naveo autor pravila.

•Odnos između vrijednosti i svojstva.

Svojstva su hijerarhijski grupirana u „komponente“.

Postoje tri razine ozbiljnosti: 1–39 > Info, 40–69 > Warning i 70–100 > Threat.

Tipovi svojstava i njihovi odnosi (atributi uvjeta) jesu:

Description Oznaka

Opis je obavezan i mora sadržavati naziv i kategoriju, dok je ostalo neobavezno. Korisno je definirati polja navedena u nastavku jer se pojavljuju u detaljima:

name - Naziv pravila. Prikazano je na popisu pravila.

category – Omogućuje vam kategorizaciju pravila. Možete odrediti vlastite kategorije.

explanation – Objašnjava razlog zbog kojeg se pravilo aktivira.

os–Sadrži operativni sustav na koji se pravilo odnosi. Moguće vrijednosti su: Windows, Linux, OSX, ANY.

mitreattackid–Sadrži id za MITRE ATT&CK®.

maliciousCauses–Opisuje zlonamjerne uzroke događaja ili promjenu koja je pokrenula pravilo.

benignCauses–Opisuje bezopasne uzroke događaja ili promjene koja je pokrenula pravilo.

recommendedActions–Opisuje preporučene mjere koje trebaju poduzeti sigurnosni inženjeri.

guid – koristi se za unutarnja pravila. Vanjska pravila imaju automatski generiran GUID. Koristi se za jedinstvenu identifikaciju pravila tijekom izvoza/uvoza.

maliciousTarget Oznaka

Oznaku maliciousTarget možete upotrijebiti za određivanje cilja na koji će prema zadanim postavkama utjecati radnje prilagođenog odgovora. Na primjer, kada odaberete blokiranje izvršne datoteke, promjene ovise o maliciousTarget. Ne mijenja ponašanje oznake Actions. Moguće vrijednosti su current, module, none i parent.

Oznaka maliciousProcess zamijenjena je oznakom maliciousTarget. Još uvijek ima podršku za naslijeđene sustave, ali preporučujemo korištenje oznake maliciousTarget.

Actions Oznaka

Oznaka akcija omogućuje vam da odredite skup akcija koje se izvršavaju kada se pravilo aktivira.

Akcije možete smjestiti u jedan element akcije:

<action name="BlockProcessExecutable"/>

Ili složite više elemenata action u jedan element actions (kao što je prikazano u sljedećem primjeru):

Jedno pravilo može pokrenuti više radnji.

˄˅