Závažnost¶
Závažnost vyjadřuje potenciální dopad události, tj. úroveň škody, kterou by mohla způsobit, pokud je skutečná a úspěšná.
Používaný numerický rozsah je 0 až 90.
Obvykle jde o relativně statické klasifikaci definovanou detekčním pravidlem nebo use casem, která se v čase výrazně nemění.
Úrovně závažnosti lze aktualizovat automaticky prostřednictvím signálů nebo ručně v UI. Pro automaticky vytvořené tikety je závažnost přiřazena podle atributu severity v sekci define příslušného detekčního pravidla. Na investigátorech a analytikách je určit úrovně závažnosti pro konkrétní případy podle bezpečnostních postupů společnosti. Například korelace s mnoha vstupy (např. neúspěšná přihlášení následovaná úspěšnými) může mít vyšší závažnost, protože je potenciálně nebezpečnější.
Konfigurace závažnosti je uložena v Knihovně na /Alerts/Severity/severity.yaml.
Pokud při vytvoření tiketu závažnost není nastavena, aplikuje se výchozí hodnota z Knihovny: hodnota pod _ (ve výchozím nastavení 50 / medium). Lze ji přizpůsobit pro jednotlivé prostředí.
Standardní úrovně¶
Ve výchozím nastavení se používá standardní notace SIGMA.
Úrovně závažnosti jsou uvedeny v sekci severity konfiguračního souboru Knihovny s příslušnou numerickou ekvivalentní hodnotou.
---
define:
type: alerts/severity
severity:
critical: 90
high: 70
medium: 50
low: 30
info: 10
_: 50
variants:
highest: 90
Note
Možnosti ze sekce severity mají přednost před ekvivalenty v sekci variants. S výše uvedeným nastavením bude úroveň critical nabídnuta v UI pro výběr, zatímco úroveň highest bude ignorována.
Varianty názvů¶
Možnosti v sekci variants umožňují odkazovat na stejnou úroveň závažnosti různými názvy.
S níže uvedeným nastavením lze úroveň info v detekčních pravidlech a signálech označovat také jako lowest nebo informational.
---
define:
type: alerts/severity
severity:
<...>
info: 10
variants:
lowest: 10
informational: 10
Další možnosti¶
Možnosti v sekci variants umožňují v UI nabídnout další volby, pokud je to potřeba.
S níže uvedeným nastavením bude custom nabídnuto v UI pro výběr a po výběru tiket dostane závažnost 77.
---
define:
type: alerts/severity
severity:
<...>
variants:
custom: 77
Nespecifikované úrovně¶
Pokud je přijata numerická úroveň závažnosti, která není uvedena v žádné sekci konfiguračního souboru, zobrazí se v detailu tiketu beze změny.
Příslušný název lze do konfiguračního souboru doplnit kdykoli.