Создание политики ответов для историй XOps

Эта статья объясняет, как использовать вебхуки и другие уведомления с Политикой Реагирования XOps, которая определяет, когда вы будете уведомлены о новых и обновленных историях XOps и когда генерируются события.

Для получения дополнительной информации об историях XOps, смотрите Просмотр Историй Обнаружения и Реакции XOps в Рабочей области Историй

Обзор

Политика Реагирования помогает следить за историями XOps, определяя, когда уведомления о историях отправляются администраторам и аналитикам, а также когда генерируются события для историй. Вы можете создать правила, которые определяют критерии истории для отправки уведомлений и генерации событий, и использовать группы подписки, списки рассылки и интеграции сторонних разработчиков для настройки получения уведомлений администраторами.

Например, вы можете создать правила, которые отправляют уведомления:

• Если критичность истории высокая

• Когда создаются новые истории для конкретного источника (например, сайт или диапазон IP)

• Когда обновляются цели истории

• Для истории безопасности с конкретным признаком атаки

• Для Site Operations при специфических проблемах, таких как неисправность сайта или канала

Заметка:

По умолчанию уведомления не отправляются для Операций Сайта, которые соответствуют правилу Отключенные Истории.

Генерация событий для историй XOps и экспорт в сторонние сервисы

По умолчанию события истории XOps не генерируются. События создаются только в соответствии с настроенными правилами. Когда вы определяете правила, которые генерируют события для историй XOps, вы можете просматривать их на странице События, для получения дополнительной информации, смотрите Анализ Событий в Вашей Сети.

Вы также можете интегрировать события для историй XOps с вашими существующими сторонними сервисами и рабочими процессами.

• Для списка интеграций, поддерживаемых поставщиками для событий Cato, смотрите Третьи стороны, поддерживающие интеграции для данных Cato

• Для получения информации об отправке событий в стороннюю учетную запись хранилища (например, AWS или Azure), см. статьи в разделе Интеграция событий

Страница События показывает определенное количество полей на событие. Чтобы получить доступ к полным данным истории, экспортируйте их в файл JSON, доступный в поле additional_data. Вы также можете создать фильтр для экспорта только необходимых данных. Для получения дополнительной информации о полях событий XOps, смотрите ниже Поля Событий и API Cato для Событий Историй XOps.

Добавление Правил в Политику Реагирования XOps

Когда вы добавляете правило в политику ответов, настройте каждый раздел в правиле, необходимый для определения условий отправки уведомления или генерации события.

Например, если вы хотите сгенерировать событие для каждой истории XOps, которая создана или обновлена, настройте правило с Источник как Любой, и Триггер как История Создана или Обновлена.

Заметка:

Для клиентов MDR, пожалуйста, свяжитесь с <mdr@catonetworks.com>, чтобы определить правила политики ответов для вашей учетной записи. Это можно изменить, выбрав его в качестве условия.

Настройки правил политики ответов

Правило политики ответов имеет следующие разделы:

• Имя - Имя, которое вы назначаете для правила

• Описание для правила

• Источник - Источник трафика вашей сети, участвующий в истории. Например: сайт, IP-адрес или пользователь

  Для получения дополнительной информации о Источник объектах для правила, см. Справочник по объектам правил.

• Критерии - Характеристики истории для соответствия правилу. Когда вы добавляете критерии, выберите тип критериев, значение и оператор, который определяет отношения между критериями и значением. Например: Критичность | Больше чем | 6.

  Настраиваемые критерии историй включают следующие: Критичность, Серьезность, Индикация, Вердикт аналитика, Производитель, Добавленные объекты и Статус. Для получения дополнительной информации о этих критериях историй, смотрите Просмотр Историй Обнаружения и Реакции XOps в Рабочей области Историй

  • Производитель — это движок, который генерирует историю. Для получения дополнительной информации об Операциях Сайта, см. Обзор Историй Операций Сайта . Для получения дополнительной информации о движках XOps и их требуемых типах лицензий, смотрите Использование Каталога Индикаций

  • Вы можете настроить несколько значений для следующих критериев: Индикация, Вердикт аналитика, Серьезность и Производитель. Когда вы добавляете несколько значений в одну запись критериев, между ними существует отношение ИЛИ.

• Триггер - Определяет, когда механизм политики ответов проверяет историю на соответствие правилу. Настройки включают:

  • История создана - Механизм политики ответов проверяет соответствие правилам, когда создается новая история. Существующие истории, которые обновлены, не проверяются на соответствие правилу.

  • История создана или обновлена - Механизм политики ответов проверяет соответствие правилам, когда создается новая история или обновляется существующая. Обновления могут включать изменения в статусе, мнении аналитика, серьезности и целях истории.

• Ответ - Выберите ответ для случая, когда правило соответствует. Ответы могут включать генерацию события и уведомления, определяемые Группа подписки, Подписка на рассылку или Интеграция Webhook.

Создание новых правил политики ответов

Создайте новое правило политики ответов и настройте параметры правила для определения, когда отправляется уведомление об истории.

Чтобы создать новое правило политики ответов:

1. В меню навигации нажмите Домашняя > Политика Обнаружения и Реагирования.

2. Выберите вкладку Политика Реагирования.

3. Нажмите Новое. Открывается панель Добавить в Политику Реагирования.

4. Введите Имя для правила.

5. В разделе Источник выберите тип (например: Хост, Диапазон IP, Сайт) и выберите один или несколько объектов для источника истории этого правила (или вы можете ввести IP-адрес).

   Значение по умолчанию Источник — это Любой.

6. (необязательно) Определите Критерии, которые указывают на характеристики, которыми должна обладать история, чтобы соответствовать правилу.

7. Выберите Триггер для правила. Вы можете настроить, должна ли активация происходить при создании истории, обновлении или обоих случаях.

8. Выберите Ответ. Если вы выбрали Отправить уведомление, то определите группу подписки, список рассылки или интеграцию для получения уведомления.

9. Нажмите Save. Правило добавлено к политике.

Создание интеграции вебхуков

Чтобы отправить данные из Историй XOps в стороннюю систему с использованием интеграции через Webhook, вам необходимо:

1. Настроить интеграцию стороннего разработчика в CMA

2. Создать необходимое правило в политике ответов

Поля события и API Cato для событий истории XOps

На странице событий отображаются все события истории XOps, сгенерированные для вашей учетной записи. Вы можете отфильтровать страницу, чтобы отображались события, использующие тип события Обнаружение и Ответ.

Ниже приведены соответствующие поля для событий истории. Запрос eventsFeed API Cato показывает данные для историй XOps в этих полях для типа eventFieldName.