Přeskočit obsah

Nasazení detekčních pravidel

Po napsání nebo úpravě detekčního pravidla v Knihovně je stále potřeba ho pro tenant povolit. Povolení říká LogMan.io, která pravidla mají běžet v produkci. Dokud pravidlo není povoleno, zůstává v Knihovně, ale nezpracovává živé události.

Tato stránka popisuje, jak povolit pravidla z obrazovky Detekce, co znamenají stavové štítky a metriky a jak nasazení souvisí s psaním pravidel v Knihovně.

Kdo to může dělat?

K otevření obrazovky Detekce potřebujete oprávnění lmio:detection:access. Pro zaškrtávání polí a kliknutí na Povolit také lmio:detection:edit. K otevření pravidla v Knihovně potřebujete asab:library:access.

Kde pracovat

Místo Co tam děláte
Knihovna Vytváření, úpravy a testování detekčních pravidel (YAML soubory)
Detekce Volba, která pravidla jsou pro tenant povolena
Discover Vyšetřování událostí a triggerů pro konkrétní pravidlo

Obrazovka Detekce se nazývá Přehled detekcí a korelací. Otevřete ji z hlavního menu (ikona brýlí). Strom zobrazuje pravidla ze dvou oblastí Knihovny:

  • Correlations — korelační pravidla (window, match, sigma a podobné typy)
  • Detections — detekční pravidla v širším stromu detections

Pravidla, která nejsou povolena, jsou ve stromu vidět, ale nemají zelený štítek povoleno.

Povolení pravidel krok za krokem

1. Projděte strom pravidel

Po načtení obrazovky LogMan.io zobrazí:

  • Všechna pravidla a složky z Knihovny
  • Která pravidla jsou aktuálně povolena (zelený štítek)
  • Živé metriky za poslední hodinu (pokud jsou k dispozici)

Vypnuté položky Knihovny jsou zešedlé. Pravidlo vypnuté v Knihovně nemůžete povolit, dokud ho administrátor nebo editor souboru znovu nezapne.

2. Vyberte, co má běžet

Použijte zaškrtávací políčka ve stromu:

  • Jedno pravidlo — zaškrtněte řádek jednoho YAML souboru
  • Složka — zaškrtněte složku a vyberete všechna pravidla uvnitř (včetně podsložek)
  • Zrušení výběru — odškrtněte pravidlo nebo složku

Tooltip u políčka říká Zaškrtnout pro nasazení.

Složky vs. jednotlivá pravidla

Celou složku můžete povolit, když mají běžet všechna pravidla uvnitř, nebo vybrat jednotlivé soubory, když potřebujete jen část složky. Kořenové úrovně Correlations a Detections nemají políčka. Vždy vybíráte složky nebo soubory pod nimi.

Speciální složky: Pravidla pod Detections → Parsec a Detections → Filters se spravují jinak. Ve stromu jsou vždy zobrazena jako povolená a z této obrazovky je nelze přepínat.

3. Klikněte na Povolit

Klikněte na tlačítko Povolit vpravo nahoře.

LogMan.io uloží celý výběr pro tenant. Zpráva Detekční pravidla byla úspěšně nasazena potvrzuje změnu. Strom se znovu načte a povolená pravidla mají zelený štítek.

Povolit nahrazuje celý seznam

Povolit vždy uloží kompletní sadu zaškrtnutých pravidel. Pokud pravidlo odškrtnete a znovu kliknete na Povolit, pravidlo se z produkce odstraní. Samostatné tlačítko Zakázat neexistuje.

4. Ověření v Discover (volitelné)

U povoleného pravidla klikněte na oblast metrik v řádku a otevřete Discover filtrovaný na to pravidlo (poslední hodina). Pomůže ověřit, že triggery nebo zásahy predikátu vypadají rozumně po nasazení.

Stav a metriky

Štítek povoleno

Zelený štítek povoleno na řádku znamená, že cesta pravidla je součástí nasazení tenantu. Pokud jste povolili složku, každý soubor pod ní zahrnutý ve výběru štítek zobrazí.

Metriky na každém řádku

Metriky se obnovují přibližně každých 60 sekund. Popisují poslední hodinu, pokud časový rozsah jinde nezměníte.

Popisek Význam
Trigger In (zvonek) Kolikrát pravidlo dosáhlo fáze trigger
Predicate Hit (šipka) Kolik událostí odpovídalo predikátu pravidla
Total time Čas zpracování pravidla (všechny fáze)
P / E / A / T Čas v Predicate, Evaluate, Analyze nebo Trigger (window pravidla)

Na řádku složky jsou čísla agregovaná ze všech podřízených pravidel. Řádky složek nevedou do Discover.

Zvýrazněné písmeno pod P / E / A / T ukazuje fázi s nejvyšším časem. Pokud je Total time vysoké, viz Sledování výkonu detekcí.

Typické postupy

Zapnutí nového pravidla, které jste napsali

  1. Uložte a otestujte pravidlo v Knihovně
  2. Otevřete Detekce
  3. Najděte soubor pravidla a zaškrtněte ho (nebo zaškrtněte nadřazenou složku)
  4. Klikněte na Povolit
  5. Počkejte na metriky a podle potřeby otevřete Discover z řádku pravidla

Vypnutí pravidla bez smazání

  1. Otevřete Detekce
  2. Odškrtněte pravidlo (nebo složku, pokud jste povolili celou složku)
  3. Klikněte na Povolit

Soubor pravidla zůstane v Knihovně. Jen přestane zpracovávat živé události.

Povolení mnoha pravidel najednou

  1. Zaškrtněte složku (např. složku dodavatele nebo use case pod Correlations)
  2. Zkontrolujte, že všechny soubory pod ní mají běžet
  3. Klikněte na Povolit

Administrátor může nastavit limity počtu pravidel na instanci correlatoru. Velmi velké složky platforma automaticky rozdělí. Z UI to nekonfigurujete.

Složky Sigma a instance correlatoru

Pravidla pod Detections → Sigma (/Detections/Sigma/) se seskupují do instancí correlatoru maximálně tři úrovně složek pod tím kořenem (např. /Detections/Sigma/windows/builtin/security/). Hlubší vnořené složky sdílejí stejnou instanci. Ostatní stromy Knihovny (např. Correlations) stále mapují jeden correlator na nejbližší vybranou složku. Operátoři to konfigurují v Tenant Rex; viz Tenant Rex.

Úprava pravidla, které už je povoleno

  1. Otevřete pravidlo ze stromu Detekce (název vede do Knihovny)
  2. Upravte a otestujte v Knihovně
  3. Uložte soubor

Pokud pravidlo zůstane zaškrtnuté na obrazovce Detekce, po reloadu correlatorů na platformě běží s aktualizovaným obsahem. Znovu klikat na Povolit nemusíte, pokud jste nezměnili, která pravidla jsou vybrána.

Jak to do sebe zapadá

flowchart LR
    LIB[Knihovna: psaní a test pravidel]
    DET[Detekce: výběr a Povolit]
    RUN[Correlatory spouštějí povolená pravidla]
    DIS[Discover: vyšetřování událostí]

    LIB --> DET
    DET --> RUN
    RUN --> DIS

Na pozadí LogMan.io Tenant Rex uloží výběr, aktualizuje konfiguraci correlatorů a restartuje služby correlatorů v clusteru. Servery z obrazovky Detekce nespravujete. Detaily pro operátory: Tenant Rex.

Oprávnění a řešení problémů

Problém Co zkontrolovat
Menu Detekce chybí Požádejte o lmio:detection:access
Políčka jsou neaktivní Požádejte o lmio:detection:edit
Nelze otevřít název pravidla Požádejte o asab:library:access
Pravidlo povoleno, ale bez metrik Počkejte jeden cyklus obnovy (~60 s); ověřte, že události odpovídají logsource
Pravidlo povoleno, ale v Discover žádné triggery Predikát může být příliš přísný; zkontrolujte event lane a časový rozsah
Pravidlo ve stromu zešedlé Soubor je vypnutý v Knihovně

Související čtení