Добавление правил on Alertix

Шаблон кода правила

Mon, 01 Jan 0001 00:00:00 +0000

При создании любого правила в профессиональном режиме конструктор формирует шаблон кода правила, содержащий поля, применимые для выбранного типа правила:

name: ' '
index: '*:alertix-*'
author: ' '
category: общая категория
bool:
 must: []
description: ' '
local: true
hidden: true
filter_by_timeframe: true
timeframe: 1
timestamp: '2023-10-24T09:56:22.959Z'
condition:
 type: list
additional_fields: []
falsepositives: []
references: []
usecases: []
stage_of_attack: []
severity: 1
reliability: 1
priority: 1
mitre:
 technique: []
 tactic: []
version: 0
event_source: ''

Синтаксис правил типа List

Mon, 01 Jan 0001 00:00:00 +0000

Значение поля condition данного типа правил:

condition:
type: list

Поле bool в правилах данного типа может содержать вложенные условия поиска, отбора и фильтрации, например:

bool:
must:
- term: {wlb.event_id: 7045}
- bool:
should:
- match_phrase: {wlb.event_data.ServiceName: WCESERVICE}
- match_phrase: {wlb.event_data.ServiceName: WCE SERVICE}
- wildcard: {wlb.event_data.ServiceFileName: '*/PAExec*'}
- wildcard: {wlb.event_data.ServiceFileName: winexesvc.exe*}
- wildcard: {wlb.event_data.ServiceFileName: '*/DumpSvc.exe'}
- match_phrase: {wlb.event_data.ServiceName: mssecsvc2.0}
- wildcard: {wlb.event_data.ServiceFileName: '* net user *'}
- wildcard: {wlb.event_data.ServiceName: pwdump*}
- wildcard: {wlb.event_data.ServiceName: gsecdump*}
- wildcard: {wlb.event_data.ServiceName: cachedump*}

Синтаксис правил типа Count

Mon, 01 Jan 0001 00:00:00 +0000

Значение поля condition данного типа правил:

condition:
type: count
value: 5
criteria: gt
add_columns

Поля criteria и value являются критерием и пороговой величиной сравнения результатов работы правила:

criteria может принимать значения gt, lt или range; gt – более чем (если результат вывода превышает value), lt – менее чем (если результат вывода меньше value), range – находится в диапазоне (если результат вывода находится в диапазоне value);
value может принимать значение равное целым числам, или паре чисел [m, n], если в качестве criteria указан range, при этом должно соблюдаться n > m.

Синтаксис правил типа Bucket

Mon, 01 Jan 0001 00:00:00 +0000

Значение поля condition данного типа правил:

condition:
type: count
value: 5
criteria: gt
add_columns
aggs: {}
bucket: wlb.event_data.TargetFilename

Поля criteria и value являются критерием и пороговой величиной сравнения результатов работы правила:

criteria может принимать значения gt, lt или range;
value может принимать значения равное целым числам, или паре чисел [m, n], если в качестве criteria указан range, при этом должно соблюдаться n > m.

Поле add_columns может содержать массив полей, которые будут добавлены в ссылку на агрегацию для отображения в документе OpenSearch Dashboards.

Синтаксис правил типа Chain

Mon, 01 Jan 0001 00:00:00 +0000

Значение поля condition данного типа правил:

condition:
 type: chain
 chain:
 '0':
 index: alertix-*
 name: Имя первого звена
 priority: 1
 reliability: 1
 severity: 1
 ttl: 200
 query:
 bool:
 must: []
 to_params:
 $param1: field.name
 '1':
 index: alertix-*
 name: Имя второго звена
 priority: 3
 reliability: 2
 severity: 2
 query:
 bool:
 must: []

chain содержит до 5 секций описания условий поиска звена цепи заданного уровня. Каждая секция – JSON-объект, ключ секции – уровень звена цепи. Уровни нумеруются с 0 до 4. Создавать цепи более 5 звеньев не рекомендуется.