偵測 Security posture 的變更

這些範例規則會針對您組織的 Security posture 變更發出警示，並使用 Compliance API Activity Feed 所記錄的活動。這些規則假設您的安全資訊與事件管理 (SIEM) 系統會儲存這些活動，如將事件傳送至您的 SIEM 所述。

撰寫規則之前

每條規則都包含一段簡單的說明，以及一個不限定特定查詢語言的查詢。

• 查詢使用 Activity Feed 的欄位名稱，另加上 stored_at，這是本頁用來表示您儲存活動時間的名稱。其他任何名稱都是您自己的清單或別名。
• 在規則計算活動數量之前，請依 id 對這些活動進行重複資料刪除。
• 除非規則另有說明，否則請以 stored_at 而非 created_at 為準，針對自該規則上次完成執行以來的時間執行規則，因為活動可能延遲送達；查詢中省略了此範圍。
• 請撰寫在您已儲存的活動上觸發的規則，切勿撰寫在您尚未儲存的活動上觸發的規則：該活動可能延遲送達，或屬於 Activity Feed 未記錄的變更。若要將已儲存的活動與目前結果進行比較，請參閱將事件與結果核對。

聲明規則

這五條規則讀取 org_security_control_attestation_updated 活動。

已接受某項風險

當有人接受未符合某項安全控制措施的風險（accepted_risk）時發出警示，以便由另一個人檢閱此決定。

type == "org_security_control_attestation_updated"
AND status == "accepted_risk"
AND actor.type != "system_actor"

此規則排除 system_actor，因為自動變更（例如已終止的聲明（lapsed））會保留 status，但並不是接受風險。

某項控制措施被聲明為「未通過」

當有人將某項控制措施聲明為「未通過」（control_failed）時發出警示，以便有人跟進該控制措施。

type == "org_security_control_attestation_updated"
AND status == "control_failed"
AND actor.type != "system_actor"

此規則基於與已接受某項風險相同的原因排除 system_actor。

允許清單以外的人變更了聲明

當聲明由不在您聲明管理人員清單上的人記錄、變更、再次儲存或清除時發出警示。請在您的 SIEM 中保存這些人員的 user_id 值（allowed_user_ids）。

type == "org_security_control_attestation_updated"
AND actor.type != "system_actor"
AND NOT (actor.type == "user_actor" AND actor.user_id IN allowed_user_ids)

• 除清單中的 user_actor 或 system_actor 以外，任何一個執行者都會觸發此規則。
• 請以 actor.user_id 作為清單的唯一識別：actor.email_address 是該人員在記錄活動當時所使用的地址（與您的 SIEM 進行關聯）。

單一人員進行了大量聲明變更

當單一人員在短時間內進行的聲明變更多於您組織的一般情況時發出警示。門檻值 10 與 1 小時的時間範圍僅為範例；請依據您自己的活動來選擇這兩者。

type == "org_security_control_attestation_updated"
AND actor.type == "user_actor"
| group by organization_uuid, actor.user_id over a sliding 1 hour of created_at
| where count(distinct id) >= 10

• 僅在群組包含自規則上次執行以來所儲存的活動時才發出警示，並計算您儲存的所有活動，如此延遲送達的活動才能併入其他活動已先行儲存的那一波密集變更中。
• 依 created_at 計數所衡量的是該人員的操作速度，而非您擷取的速度。

聲明自動終止

請將 lapsed 活動視為檢閱其所指明控制措施的提示。

type == "org_security_control_attestation_updated"
AND action == "lapsed"

lapsed 活動表示該控制措施的檢查結果或目前值，與儲存聲明時所依據的結果或值不同，而不是表示已超過結束日期（review_date）。此活動可能延遲送達。

在值變更時讓規則持續運作

這些欄位中的任一欄位都可能出現新值。

• 請依 actor.type 識別自動變更，而非依 actor.service 的值。
• 請勿捨棄 control、action 或 status 值未列於規則中的活動；新的 action 值可能記錄了接受風險。請參閱事件參考資料。

測試規則

若要查看允許清單規則觸發，請選擇一位可以進行聲明、且不在您清單上的人。請這位人員對一項沒有聲明且沒有人依賴其結果的控制措施進行聲明，然後清除聲明。在清除之前，該聲明可能會改變該控制措施的結果。這兩個活動都可能需要一段時間才會送達 Activity Feed。

如果您將這些活動儲存為開放網路安全結構描述框架 (OCSF) 事件，將 Security posture 事件對應至 OCSF 說明了其欄位的對應方式。