यह लेख समझाता है कि वेबहुक्स और अन्य सूचनाओं का उपयोग कैसे करें XOps प्रतिक्रिया नीति के साथ जो परिभाषित करता है कि जब आपको नई और अपडेटेड XOps कहानियों के लिए सूचित किया जाता है, और जब घटनाएँ उत्पन्न होती हैं।
अधिक जानकारी के लिए XOps कहानियों, देखें कहानियों वर्कबेंच में Detection & Response XOps कहानियों की समीक्षा
सारांश
प्रतिक्रिया नीति आपको XOps कहानियों की निगरानी करने में मदद करती है यह परिभाषित करके कि एडमिन और विश्लेषकों को कहानियों के लिए सूचनाएं कब भेजी जाती हैं, और कहानियों के लिए घटनाएं कब उत्पन्न होती हैं। आप नियम बना सकते हैं जो सूचनाएं भेजने और घटनाएं उत्पन्न करने के लिए कहानी मानदंड को निर्धारित करते हैं, और यह कॉन्फ़िगर करने के लिए सदस्यता समूह, मेलिंग सूची, और तीसरे पक्ष के एकीकरण का उपयोग कर सकते हैं कि कौन से प्रबंधनकर्ता सूचनाएं प्राप्त करते हैं।
उदाहरण के लिए, आप ऐसे नियम बना सकते हैं जो सूचनाएं भेजें:
यदि कहानी की गंभीरता उच्च है
जब किसी विशेष स्रोत (जैसे कि साइट या आईपी रेंज) के लिए नई कहानियां बनाई जाती हैं
जब कहानी लक्ष्य अपडेट होते हैं
विशिष्ट हमले के संकेत के साथ सुरक्षा कहानियों के लिए
साइट संचालन के लिए विशेष समस्याएं, जैसे कि कोई साइट या लिंक डाउन है
Note:
डिफ़ॉल्ट रूप से, साइट ऑपरेशन्स जो म्यूट की गई कहानियां नियम से मेल खाते हैं, उनके लिए नोटिफिकेशन नहीं भेजे जाते।
XOps कहानियों के लिए घटनाएं उत्पन्न करना और तृतीय-पक्ष सेवाओं को निर्यात करना
डिफ़ॉल्ट रूप से, XOps कहानी घटनाएं उत्पन्न नहीं होती हैं। घटनाएं केवल विन्यस्त किए गए नियमों के अनुसार उत्पन्न होती हैं। जब आप XOps कहानियों के लिए घटनाओं का निर्माण करने वाले नियमों को परिभाषित करते हैं, तो आप उन्हें इवेंट्स पृष्ठ पर देख सकते हैं, अधिक जानकारी के लिए देखें अपने नेटवर्क में इवेंट्स का विश्लेषण करना।
आप XOps कहानियों के लिए घटनाओं को मौजूदा थर्ड-पार्टी सेवाओं और कार्यप्रवाहों के साथ भी एकीकृत कर सकते हैं।
Cato घटनाओं के लिए विक्रेता-समर्थित एकीकरण की सूची के लिए, देखें Cato Data: थर्ड-पार्टी समर्थित इंटीग्रेशन
तिर्वांस्टोरी डेटा को एक तृतीय-पक्ष संग्रहण खाता (जैसे कि AWS या Azure) तक पहुँच भेजने के बारे में अधिक जानकारी के लिए, इवेंट इंटीग्रेशन अनुभाग में आलेख देखें
घटनाएं पृष्ठ प्रति घटना एक निर्धारित संख्या में फ़ील्ड्स दिखाता है। पूर्ण कहानी डेटा तक पहुँचने के लिए, इसे अतिरिक्त_डेटा फ़ील्ड में उपलब्ध JSON फ़ाइल के रूप में निर्यात करें। आप केवल आवश्यक डेटा को निर्यात करने के लिए एक फ़िल्टर भी बना सकते हैं। XOps घटना फ़ील्ड्स के बारे में अधिक जानकारी के लिए, नीचे देखें XOps कहानी घटनाओं के लिए Cato घटना और API फ़ील्ड्स।
XOps प्रतिक्रिया नीति में नियम जोड़ना
जब आप प्रतिक्रिया नीति में एक नियम जोड़ते हैं, तो यह परिभाषित करने के लिए कि अधिसूचना भेजने या घटना उत्पन्न करने की शर्तें आवश्यक हैं, नियम के प्रत्येक अनुभाग को कॉन्फ़िगर करें।
उदाहरण के लिए, यदि आप हर XOps कहानी के लिए एक घटना उत्पन्न करना चाहते हैं जो बनाया गया या अद्यतन किया गया है, तो एक नियम कॉन्फ़िगर करें जिसके स्रोत को कोई भी, और ट्रिगर को कहानी बनाई या अद्यतन किया गया के रूप में कॉन्फ़िगर करें।
Note:
एमडीआर ग्राहकों के लिए, कृपया अपने खाते के लिए प्रतिक्रिया नीति नियमों को परिभाषित करने के लिए
<mdr@catonetworks.com>पर संपर्क करें। इसे एक शर्त के रूप में चुन कर ओवरराइड किया जा सकता है।
प्रतिक्रिया नीति नियम सेटिंग
एक प्रतिक्रिया नीति नियम में निम्नलिखित अनुभाग हैं:
नियम का नाम - नियम के लिए आप जो नाम असाइन करते हैं
नियम के विवरण
स्रोत - आपके नेटवर्क पर ट्रैफ़िक का स्रोत जो कहानी में शामिल है। उदाहरण के लिए: साइट, आईपी पता, या उपयोगकर्ता
किसी नियम के लिए स्रोत आइटम्स के बारे में अधिक जानकारी के लिए देखें रूल ऑब्जेक्ट्स के लिए संदर्भ।
मापदंड - नियम से मेल खाने के लिए कहानी की विशेषताएँ। जब आप मापदंड जोड़ते हैं, तो मापदंड प्रकार, मान, और ऑपरेटर का चयन करें जो मापदंड और मान के बीच के संबंध को निर्धारित करता है। उदाहरण: गंभीरता | से अधिक | 6.
अनुकूलन योग्य कहानी मानदंडों में निम्नलिखित शामिल हैं: गंभीरता, संकेत, विश्लेषक का निर्णय, उत्पादक, जोड़े गए लक्ष्य, और स्थिति। इन कहानी मानदंडों के बारे में अधिक जानकारी के लिए देखें कहानियों वर्कबेंच में Det & Resp XOps कहानियों की समीक्षा
उत्पादक वह इंजन है जो कहानी उत्पन्न करता है। साइट ऑपरेशन्स के बारे में अधिक जानकारी के लिए, देखें साइट ऑपरेशन्स कहानियों की समीक्षा। XOps इंजन और उनके आवश्यक लाइसेंस प्रकारों के बारे में अधिक जानकारी के लिए देखें संकेत कैटलॉग का उपयोग करना
आप निम्नलिखित मानदंडों के लिए बहुविकल्पीय मान कॉन्फ़िगर कर सकते हैं: संकेत, विश्लेषक का निर्णय, गंभीरता, और उत्पादक। जब आप एक ही मापदंड प्रविष्टि में कई मान जोड़ते हैं, तो उनके बीच एक या संबंध होता है।
ट्रिगर - परिभाषित करता है कि जब प्रतिक्रिया नीति इंजन कहानी के नियम से मेल होने की जांच करता है। सेटिंग्स में शामिल हैं:
कहानी बनाई गई - प्रतिक्रिया नीति इंजन तब नियम से मेल की जांच करता है जब एक नई कहानी बनाई जाती है। मौजूदा कहानियाँ जो अपडेट की जाती हैं वे नियम से मेल की जांच नहीं होतीं।
कहानी बनाई गई या अपडेट की गई - प्रतिक्रिया नीति इंजन तब नियम से मेल की जांच करता है जब एक नई कहानी बनाई जाती है या जब एक मौजूदा कहानी अपडेट होती है। अपडेट में कहानी की स्थिति, विश्लेषक फैसला, गंभीरता, और लक्ष्य में परिवर्तन शामिल हो सकते हैं।
प्रतिक्रिया - चुनें जब नियम मेल खाता है उसके लिए प्रतिक्रिया। प्रतिक्रियाओं में एक इवेंट उत्पन्न करना और अधिसूचनाएं शामिल हो सकती हैं जिन्हें सब्सक्रिप्शन ग्रुप, मेलिंग लिस्ट, या Webhook Integration द्वारा परिभाषित किया गया है।
नई प्रतिक्रिया नीति नियम बनाना
नया प्रतिक्रिया नीति नियम बनाएं और कहानी सूचनाएं कब भेजी जाती है, यह परिभाषित करने के लिए नियम का कॉन्फ़िगरेशन करें।
नया प्रतिक्रिया नीति नियम बनाने के लिए:
नेविगेशन मेनू से, होम > डिटेक्शन & प्रतिक्रिया नीति पर क्लिक करें।
प्रतिक्रिया नीति टैब का चयन करें।
नया पर क्लिक करें। प्रतिक्रिया नीति में जोड़ें पैनल खुलता है।
नियम का नाम दर्ज करें।
स्रोत अनुभाग में, प्रकार का चयन करें (उदाहरण: होस्ट, IP रेंज, साइट) और फिर इस नियम के लिए स्टोरी स्रोत के लिए एक या अधिक वस्तुओं का चयन करें (या आप एक आईपी पता दर्ज कर सकते हैं)।
डिफ़ॉल्ट स्रोत मान कोई भी है।
(वैकल्पिक) मानदंड परिभाषित करें जो बताता है कि कहानी का नियम के साथ मिलान करने के लिए क्या विशेषताएँ होनी चाहिए।
नियम के लिए ट्रिगर चुनें। आप कॉन्फ़िगर कर सकते हैं कि जब कहानी बनाई जाए, अपडेट की जाए, या दोनों हो, तब ट्रिगर होना चाहिए।
प्रतिक्रिया चुनें। यदि आप सूचना भेजें चुनते हैं, तो सदस्यता समूह, मेलिंग सूची, या एकीकरण को विधिवत करें जो अधिसूचना प्राप्त करेगा।
क्लिक करें सहेजें। नियम नीति में जोड़ा गया है।
Webhook एकीकरण बनाना
XOps कहानियों से डेटा को तृतीय-पक्ष को एक वेबहुक एकीकरण का उपयोग करते हुए भेजने के लिए, आपको आवश्यकता है:
CMA में तीसरे पक्ष के एकीकरण को कॉन्फ़िगर करें
प्रतिक्रिया नीति में आवश्यक नियम बनाएं
चरण 1: तीसरे पक्ष के एकीकरण को कॉन्फ़िगर करें
आप तीसरे पक्ष के प्लेटफार्म जैसे ServiceNow, Jira, और Slack को अलर्ट भेजने और अलर्ट-आधारित स्वचालन फ़्लो बनाने के लिए वेबहुक इंटीग्रेशन को परिभाषित कर सकते हैं। Cato के वेबहुक्स कस्टमाइज़ेबल HTTP हेडर्स और संदेशों का समर्थन करते हैं जिन्हें आपके संगठन की विशेष जरूरतों को पूरा करने के लिए अलर्ट में समायोजित किया जा सकता है। अधिक जानकारी के लिए, देखें वेबहुक के माध्यम से CMA नोटिफिकेशन भेजना।
चरण 2: आवश्यक नियम बनाएं
तीसरे पक्ष के एकीकरण को परिभाषित करने के बाद, प्रतिक्रिया नीति में एक नियम बनाएं।
तीसरे पक्ष के एकीकरण के लिए एक नियम बनाने के लिए:
नई प्रतिक्रिया नीति नियम बनाना में चरण 1-7 का पालन करें।
प्रतिक्रिया अनुभाग में, सूचना भेजें चुनें।
सूचना भेजने को ड्रॉप-डाउन में, एकीकरण चुनें।
एकीकरण ड्रॉप-डाउन में, उस एकीकरण का चयन करें जिसे आप नियम में उपयोग करना चाहते हैं।
क्लिक करें सहेजें। नियम नीति में जोड़ा गया है।
काटो इवेंट और API फ़ील्ड्स के लिए XOps स्टोरी इवेंट्स
इवेंट्स पृष्ठ आपके खाते के लिए उत्पन्न सभी XOps स्टोरी इवेंट्स दिखाता है। आप पृष्ठ को फिल्टर कर सकते हैं ताकि इवेंट्स केवल इवेंट प्रकार Detection and Response का उपयोग कर दिखाई दें।
नीचे स्टोरी इवेंट्स के लिए प्रासंगिक फील्ड्स दिए गए हैं। Cato API के eventsFeed क्वेरी में इन फील्ड्स में XOps स्टोरीज का डेटा इवेंटफील्डनेम प्रकार के लिए दिखता है।
API एनेम मान | इवेंट फ़ील्ड | टिप्पणियाँ |
|---|---|---|
user_display_name | उपयोगकर्ता का नाम प्रदर्शित करें | |
analyst_verdict | विश्लेषक का निर्णय | |
criticality | गंभीरता | |
उपकरण_नाम | डिवाइस का नाम | |
event_count | इवेंट गिनती | XOps स्टोरीज के लिए, इवेंट्स अपने आप संग्रहीत नहीं होते हैं, इसलिए इवेंट गिनती का मान आमतौर पर 1 होगा। |
sub-type | उप-प्रकार | |
event_type | इवेंट प्रकार | XOps स्टोरी इवेंट्स के लिए, इवेंट प्रकार Detection and Response होता है। |
indication | संकेत | |
event_internal_id | इवेंट आंतरिक ID | |
producer | प्रोड्यूसर | इंजन जिसने कहानी उत्पन्न की। संभावित मान: खतरे की रोकथाम, खतरा शिकार, उपयोग विसंगति, इवेंट्स विसंगति, Microsoft Endpoint चेतावनी। |
rule | डीएनएस नीति | प्रतिक्रिया नीति का नियम का नाम जिसने इवेंट उत्पन्न किया। |
source_ip | स्रोत IP | |
source_is_site_or_sdp_user | स्रोत साइट या उपयोगकर्ता है | |
source_site | स्रोत साइट | |
स्थिति | स्थिति | |
story_id | स्टोरी ID | |
threat_name | खतरे का नाम | |
threat_type | खतरे का प्रकार | |
time | समय | |
vendor | विक्रेता | संभवित मान: Microsoft (Microsoft Endpoint चेतावनी स्टोरीज के लिए), Cato। |
additional_data | N/A | स्टोरी डेटा जो अन्य इवेंट फील्ड्स में शामिल नहीं है। यह फ़ील्ड निर्यात किए गए इवेंट्स में शामिल है, लेकिन इवेंट्स पृष्ठ में नहीं दिखाई जाती है। नोट: यह फ़ील्ड कच्चे पार्स न किए गए डेटा के रूप में निर्यात की जाती है, और इसमें एस्केप कैरेक्टर्स हो सकते हैं। यह प्रारूप बदलने के अधीन है। |