3. Cyber Intelligence¶
La ricerca serve quando si sa cosa cercare. La Cyber Intelligence fa il contrario: sorveglia i log mentre arrivano e reagisce da sola quando compare un evento che hai indicato come rilevante.
La pagina si raggiunge da Gestione → Cyber Intelligence e si intitola Cyber threat intelligence.
Il dispositivo deve già inviare log
La funzione lavora su ciò che l'appliance riceve. Il dispositivo da sorvegliare deve essere già replicato, tramite configurazione syslog o con l'Endpoint Client installato.
3.1 Come è organizzata la funzione¶
La configurazione si articola su tre oggetti distinti, e conviene averlo chiaro prima di iniziare perché corrispondono a tre schermate diverse.
| Oggetto | Cosa contiene |
|---|---|
| Criterio | Il contenitore: quando valutare, quali condizioni, con quale frequenza, quali azioni eseguire |
| Condizione | Un singolo test su un campo del log |
| Azione | La reazione da eseguire |
Condizioni e azioni sono riutilizzabili: una volta create si possono richiamare in più criteri. Questo evita di riscrivere ogni volta lo stesso test, ma comporta che modificarne una si ripercuota su tutti i criteri che la usano.
3.2 Partire da un log reale¶
Il modo più affidabile di costruire un criterio è partire da un esempio vero dell'evento da intercettare. Provoca la condizione — per esempio un accesso fallito — e cerca il log corrispondente da Query → Ricerca Log, filtrando sul dispositivo. Il log ti dice quali valori assumono i campi in quella circostanza: livello, programma, testo del messaggio, ID evento.
3.3 L'elenco dei criteri¶
La scheda Elenco dei criteri di gruppo riporta etichetta, azienda e azioni collegate, con lo stato Attivato o Disattivato.
Un criterio senza azioni non viene mai valutato
Nell'elenco compare in rosso la dicitura Azione da definire. Finché non gli assegni almeno un'azione, l'appliance lo salta: le condizioni non vengono nemmeno verificate.
3.4 Creare un criterio¶
| Campo | Note |
|---|---|
| Nome Criterio | Obbligatorio, massimo 64 caratteri |
| Se l'azienda è | Solo su appliance multi-tenant: una azienda, Qualsiasi, o Template Condiviso |
| Nel seguente orario | Fascia oraria di validità, da 00:00 a 23:59 |
| Nei seguenti giorni | I giorni della settimana in cui il criterio è attivo |
| Quando si verificano tutte le seguenti condizioni | Le condizioni da soddisfare, valutate in AND |
| Frequenza | Quante volte, in quanti minuti |
| Esegui le seguenti azioni | Le azioni da eseguire |
| Descrizione | Testo libero, facoltativo |
Il pulsante Duplica crea una copia di un criterio esistente, comodo per varianti dello stesso controllo.
La scheda Cruscotto¶
Il secondo tab della scheda permette di rappresentare il criterio come grafico in una dashboard: tipo di grafico (lineare, radar, torta, barre), giorni da mostrare (fino a 180), posizione, dimensione, colore e dashboard di destinazione. I grafici radar, torta e barre possono includere più criteri sulla stessa figura.
3.5 Le condizioni¶
Le condizioni sono oggetti riutilizzabili¶
Una condizione non appartiene a un criterio: è un oggetto a sé, con un proprio nome, che vive indipendentemente e può essere richiamato in quanti criteri si vuole. Creata una volta la condizione il programma è uguale a LsaSrv, la si riusa ovunque serva senza riscriverla.
Quando apri il campo Quando si verificano tutte le seguenti condizioni, l'appliance propone l'elenco di tutte le condizioni già esistenti, da cui scegliere; il collegamento Aggiungi nuova condizione in cima all'elenco serve a crearne una nuova quando quella che ti occorre non c'è ancora.
Le condizioni già associate al criterio compaiono come etichette sopra l'elenco, e si possono togliere singolarmente.
Modificare una condizione cambia tutti i criteri che la usano
Essendo condivisa, una modifica si ripercuote ovunque sia richiamata. Se ti serve una variante per un solo criterio, creane una nuova invece di ritoccare quella esistente. Prima di cancellarne una, l'appliance mostra l'elenco dei criteri che ne verrebbero impattati.
Un criterio contiene più condizioni, tutte in AND¶
Un criterio può e in genere deve contenere più di una condizione: è la combinazione a descrivere l'evento con precisione sufficiente. E il legame fra loro è sempre e solo la congiunzione: l'azione scatta quando tutte le condizioni sono vere contemporaneamente, sullo stesso log.
Il criterio della schermata qui sopra, per esempio, si intitola Login amministrativo nel WE, è limitato ai giorni di sabato e domenica, e combina quattro condizioni: tutte devono risultare vere perché le azioni partano.
Una sola condizione produce quasi sempre troppi falsi positivi: il messaggio contiene "failed" corrisponde a mezzo archivio. Aggiungendo il programma, il livello e l'ID evento si restringe il campo all'evento cercato.
Se ti serve una alternativa, non una congiunzione
Fra condizioni diverse non esiste l'OR. Per esprimere «questo oppure quello» si usa il pulsante + Oppure dentro la singola condizione, che aggiunge valori alternativi allo stesso campo. Se le alternative riguardano campi diversi, servono due criteri separati.
Come è fatta una condizione¶
Una condizione è composta da una descrizione — che è anche il nome con cui la si richiama negli altri criteri, quindi conviene sceglierlo parlante — dal campo da esaminare, dall'operatore e dal valore.
Campi disponibili¶
| Campo | Cosa valuta |
|---|---|
| Il messaggio | Il testo del log |
| L'hostname | Il nome della macchina che ha generato il log |
| L'indirizzo IP | L'indirizzo del client |
| Il livello | La severità dell'evento |
| ID Evento | L'identificativo dell'evento, tipicamente su Windows |
| Il programma | L'applicazione o il servizio di origine |
| L'utilizzo della CPU | La percentuale di CPU dell'endpoint |
| L'utilizzo della RAM | La memoria usata, in GB |
| Il tempo di attività del disco | La percentuale di attività del disco |
| Lo spazio disco utilizzato | La percentuale di spazio occupato |
I valori del campo Il livello sono: Alert, Debug, Errori, Informazioni, Avvisi, Avvertimenti, Errori Critici.
Operatori¶
Sono disponibili È maggiore di, Contiene, Non contiene, È uguale a, Non è uguale a, Tra le ore, Non tra le ore, Sono e Non sono.
Gli operatori dipendono dal campo scelto
L'interfaccia propone solo quelli sensati: su Il messaggio e L'indirizzo IP compaiono contiene, non contiene, è uguale e non è uguale; su Il programma, Il livello e ID Evento contiene e non contiene; sui campi hardware — CPU, RAM, disco — l'unico operatore è È maggiore di.
Più valori per la stessa condizione¶
Il pulsante + Oppure aggiunge valori alternativi: la condizione è soddisfatta se almeno uno corrisponde.
Solo per il campo Il messaggio, e solo con l'operatore Contiene, compare anche l'opzione E anche: in quel caso tutti i termini indicati devono comparire contemporaneamente nello stesso messaggio.
Come detto, fra condizioni diverse dello stesso criterio vale sempre l'AND.
Le condizioni sui campi hardware seguono un'altra strada
CPU, RAM, attività e spazio disco non si valutano sui log ma sui dati di prestazione inviati dall'Endpoint Client. Senza agente installato e senza Performance Monitor attivo nel profilo, quelle condizioni non hanno dati su cui lavorare.
3.6 Le azioni¶
| Tipo | Cosa fa | Parametri principali |
|---|---|---|
| Invia un messaggio di alert, con oggetto preceduto dal nome dell'appliance e corpo che riporta la regola scattata e i dati dell'evento | Mittente, destinatario, oggetto (max 30 caratteri), messaggio | |
| Journal | Scrive l'evento nel registro, senza avvisare nessuno | Livello Default o Importante; con Importante l'evento è classificato come allarme. Nota predefinita facoltativa |
| Notifica Push | Notifica sull'app mobile GIGASYS | I dispositivi mobili registrati a cui inviarla |
| Webhook (API esterna) | Chiama un sistema esterno, per esempio un SOAR o una piattaforma di SOC management | URL, metodo, autenticazione (Bearer o API key), header aggiuntivi, timeout, tentativi, verifica TLS, firma HMAC, severità e categoria dell'evento |
| Conta | Nessuna notifica: l'evento viene solo conteggiato per le statistiche e i grafici del Cruscotto | — |
L'invio di email richiede lo smart host configurato in Rete → Smart Host; le notifiche push richiedono dispositivi già registrati in Gestione Mobile.
Quando scegliere Journal o Conta
Email e push interrompono qualcuno. Journal registra soltanto, ed è la scelta per gli eventi che vuoi poter ricostruire a posteriori senza essere avvisato ogni volta. Conta non registra nemmeno: serve quando l'evento interessa solo come numero su un grafico.
3.7 La frequenza e la protezione dal rumore¶
La frequenza stabilisce quante ripetizioni servono, e in quanti minuti, perché le azioni partano.
- 1 volta in 1 minuto: l'azione scatta alla prima corrispondenza.
- 10 volte in 5 minuti: adatta agli accessi falliti, dove un errore isolato è normale e una raffica no.
- 200 volte in 1 minuto: adatta alle operazioni sui file, dove il segnale non è la singola cancellazione ma il volume improvviso.
Il conteggio avviene su una finestra scorrevole: l'appliance guarda quante volte il criterio si è verificato negli ultimi minuti indicati.
Dopo uno scatto le azioni non si ripetono subito
Per lo stesso criterio sullo stesso host, le azioni non vengono rieseguite prima che sia trascorso l'intervallo impostato come frequenza. Serve a evitare valanghe di messaggi su un evento che si ripete. La scrittura sul Journal fa eccezione quando la frequenza è di 1 volta al minuto: viene registrata comunque, per non perdere eventi nel registro.
3.8 Come vengono valutati i criteri¶
La valutazione avviene in tempo reale su ogni log in arrivo, non a intervalli. Per ciascun log l'appliance verifica nell'ordine: che l'ora corrente rientri nella fascia impostata, che il giorno sia fra quelli previsti, che il criterio abbia almeno un'azione, che tutte le condizioni siano soddisfatte e infine che sia stata raggiunta la soglia di frequenza.
Una modifica può richiedere fino a un minuto
I criteri attivi sono tenuti in memoria per sessanta secondi. Dopo aver salvato una modifica, può passare fino a un minuto prima che diventi operativa: se stai facendo delle prove, attendi prima di concludere che non funzioni.
Protezione contro il sovraccarico
Se un asset supera la soglia di log al secondo prevista, la Cyber Intelligence viene disabilitata automaticamente per quell'asset per 24 ore, con il messaggio "Log rate eccessivo, CyberIntelligence disabilitata per oggi" e l'icona dell'host in rosso. È una protezione dell'appliance: se la incontri, la causa da cercare è il motivo per cui quella macchina produce così tanti log.
3.9 Provare un criterio prima di attivarlo¶
Il pulsante Test permette di sottoporre uno o più log di prova alle regole attive e vedere quali scattano. Permette di validare un criterio senza attendere che l'evento si presenti, evitando di scoprire mesi dopo che una condizione non corrispondeva a nulla.
3.10 La libreria di regole¶
La scheda Libreria regole raccoglie criteri già pronti, che si copiano nel proprio ambiente e restano poi modificabili. Il prodotto ne fornisce una trentina, fra cui:
- accessi: Login Fallita, Login Riuscita, Logout, Password brute force attack (preimpostato a 60 volte in 5 minuti), Login utente Administrator nel week end, Windows Account Locked;
- sistema e sicurezza Windows: Clean Windows Event Log, Windows Audit policy changes, Windows Firewall policy change, Windows new service installed, Windows NTLM (protocollo debole), Windows local account change;
- infrastruttura e applicazioni: Spazio disco quasi terminato, Agent LMService fermato, Errori WindowsUpdate, Windows errori disco, Crash App .NET, Errore DropBox, Fortinet Login, Login Sonicwall Admin;
- dati e supporti: Drive USB bloccato, FileAudit file modificato, Accesso alle share, Operazione su documenti Office.
I criteri copiati arrivano senza azione
I template della libreria non hanno azioni preassegnate. Dopo la copia devi aggiungere tu l'azione, altrimenti il criterio resta inerte e compare come Azione da definire.
3.11 Report giornaliero degli eventi importanti¶
In fondo alla pagina si abilita un report giornaliero per gli eventi importanti del Journal, con l'indirizzo a cui recapitarlo. È il complemento delle azioni di tipo Journal: gli eventi registrati senza avviso arrivano comunque, raccolti una volta al giorno in un unico messaggio.
L'impostazione è riservata agli amministratori di sistema.
3.12 Permessi e oggetti condivisi¶
La creazione e la modifica di criteri, condizioni e azioni richiedono almeno il livello di amministratore dell'azienda; il report giornaliero è riservato all'amministratore di sistema.
Gestori azienda e rivenditori possono modificare solo gli oggetti creati dalla propria organizzazione: sugli altri l'interfaccia avvisa che l'oggetto non è modificabile e può essere soltanto rimosso.
Prima di cancellare una condizione o un'azione
Essendo riutilizzabili, possono essere in uso in più criteri. L'appliance lo verifica e mostra l'elenco dei criteri che ne sarebbero impattati: leggilo prima di confermare.