Rilevare le modifiche in Security posture

Queste regole di esempio generano un alert sulle modifiche in Security posture della tua organizzazione, usando le attività che l’Activity Feed della Compliance API registra. Presuppongono che il tuo sistema di “security information and event management” (gestione delle informazioni e degli eventi di sicurezza), o SIEM, archivi queste attività, come descritto in Inviare gli eventi al tuo SIEM.

Prima di scrivere una regola

Ogni regola è una semplice descrizione e una query non legata a un linguaggio di query specifico.

• Le query usano i nomi dei campi dell’Activity Feed, più stored_at, il nome che questa pagina usa per il momento in cui hai archiviato un’attività. Qualsiasi altro nome è un tuo elenco o alias.
• Prima che una regola conti le attività, deduplicale in base a id.
• Salvo che una regola non indichi diversamente, eseguila sull’intervallo di tempo trascorso dalla sua ultima esecuzione completata, in base a stored_at, non a created_at, perché un’attività può arrivare in ritardo; le query omettono tale intervallo.
• Scrivi regole che si attivano su un’attività che hai archiviato, mai su una che non hai archiviato: potrebbe essere in ritardo, o essere una modifica che il feed non registra. Per confrontare le attività archiviate con i risultati attuali, consulta Verificare gli eventi rispetto ai risultati.

Regole sulle attestazioni

Queste cinque regole leggono le attività org_security_control_attestation_updated.

È stato accettato un rischio

Genera un alert quando qualcuno accetta il rischio (accepted_risk) di non soddisfare un controllo di sicurezza, in modo che una seconda persona possa esaminare la decisione.

type == "org_security_control_attestation_updated"
AND status == "accepted_risk"
AND actor.type != "system_actor"

La regola esclude un system_actor, perché una modifica automatica, come un’attestazione terminata (lapsed), mantiene lo status ma non è un’accettazione.

Un controllo è stato attestato come Non superato

Genera un alert quando qualcuno attesta un controllo come Non superato (control_failed), in modo che qualcuno dia seguito al controllo.

type == "org_security_control_attestation_updated"
AND status == "control_failed"
AND actor.type != "system_actor"

La regola esclude un system_actor per lo stesso motivo di È stato accettato un rischio.

Qualcuno al di fuori di una allowlist ha modificato un’attestazione

Genera un alert quando un’attestazione viene registrata, modificata, salvata di nuovo o cancellata da qualcuno che non è nel tuo elenco delle persone che gestiscono le attestazioni. Conserva i loro valori user_id (allowed_user_ids) nel tuo SIEM.

type == "org_security_control_attestation_updated"
AND actor.type != "system_actor"
AND NOT (actor.type == "user_actor" AND actor.user_id IN allowed_user_ids)

• Qualsiasi attore diverso da un user_actor presente nell’elenco o da un system_actor attiva la regola.
• Fai in modo che l’elenco sia identificato da actor.user_id: actor.email_address è l’indirizzo che la persona aveva quando l’attività è stata registrata (Correla con il tuo SIEM).

Una persona ha apportato molte modifiche alle attestazioni

Genera un alert quando una persona apporta più modifiche alle attestazioni in un breve periodo di quanto sia consueto per la tua organizzazione. La soglia di 10 e la finestra di 1 ora sono esempi; scegli entrambe in base alla tua attività.

type == "org_security_control_attestation_updated"
AND actor.type == "user_actor"
| group by organization_uuid, actor.user_id over a sliding 1 hour of created_at
| where count(distinct id) >= 10

• Genera un alert solo per un gruppo che contiene un’attività archiviata dall’ultima esecuzione della regola, e conta su tutte le attività che hai archiviato, in modo che un’attività in ritardo si unisca a un picco le cui altre attività hai archiviato in precedenza.
• Contare in base a created_at misura il ritmo della persona, non quello della tua acquisizione.

Un’attestazione è terminata automaticamente

Considera un’attività lapsed come un invito a esaminare il controllo che indica.

type == "org_security_control_attestation_updated"
AND action == "lapsed"

Un’attività lapsed significa che l’esito della verifica del controllo oppure il suo valore attuale differisce da quello su cui l’attestazione è stata salvata, non che sia trascorsa una data di fine (review_date). Può arrivare in ritardo.

Mantenere le regole funzionanti al variare dei valori

Nuovi valori possono comparire in uno qualsiasi di questi campi.

• Identifica le modifiche automatiche in base a actor.type, non in base al valore di actor.service.
• Non scartare le attività il cui valore control, action o status non è elencato in una regola; un nuovo valore action può registrare un’accettazione. Consulta il riferimento per gli eventi.

Testare una regola

Per vedere attivarsi la regola sulla allowlist, scegli qualcuno che può attestare e che non è nel tuo elenco. Fai in modo che questa persona attesti un controllo che non ha alcuna attestazione e sul cui risultato nessuno fa affidamento, quindi cancelli l’attestazione. Finché non viene cancellata, l’attestazione può cambiare il risultato di quel controllo. Entrambe le attività possono impiegare un po’ di tempo per raggiungere l’Activity Feed.

Se archivi queste attività come eventi Open Cybersecurity Schema Framework (OCSF), la pagina Mappare gli eventi di Security posture su OCSF descrive la mappatura dei loro campi.