Aan de slag met beveiliging
Status200 vindt bedreigingen in gegevens die u al hebt - uw logs, de beveiligingstools die u gebruikt en alles wat u stuurt -, bundelt wat het vindt in zaken en reageert met playbooks. Twee klikken zetten het op, en er hoeft niets geïnstalleerd te worden.
Voordat u begint
Voor het instellen van beveiliging is de rol Project Owner, Project Admin of Security Admin nodig. De rollen Security Member en Security Viewer lezen wat er gevonden wordt; zie Rollen.
Instellen
Inschakelen wat de meeste teams nodig hebben
Open Producten → Security Events. Klik op Overzicht op Aanbevolen inschakelen. Daarmee gaan drie dingen tegelijk aan: Beveiligingsgebeurtenissen in uw logboeken vinden, de aanbevolen detectieregels en Enrich New Cases, een playbook dat elke nieuwe zaak vergelijkt met dreigingsinformatie en er een checklist voor de beoordeling in achterlaat.
Een testaanval versturen
Klik op Testaanval sturen. Een dozijn mislukte aanmeldingen vanaf een documentatieadres gaat door de echte verwerking: ze worden opgeslagen, de brute-forceregel herkent ze en er wordt een zaak geopend. Niemand wordt opgeroepen en geen enkele SIEM ontvangt ze.
De zaak openen
Klik op Zaak openen. Zo ziet een echte bevinding eruit: de gebeurtenissen erachter, het adres waar het om gaat en wat Enrich New Cases heeft gevonden. Sluit de zaak als test wanneer u klaar bent.
Vanaf dan opent Overzicht met wat iemand nodig heeft, onder Vraagt aandacht: uw open zaken, de zaken die niemand heeft opgepakt en de playbookstappen die op goedkeuring wachten. Als die er niet zijn, staat er Alles rustig.
Hoe het werkt
Van uw gegevens naar een zaak
| Onderdeel | Waar | Wat het doet |
|---|---|---|
| Bronnen | Connections | Uw logs, de beveiligingsproducten die Status200 opvraagt en alles wat u stuurt |
| Detections | Detections | Sigma-regels en feeds met dreigingsinformatie die in elke gebeurtenis naar bedreigingen zoeken |
| Beveiligingszaken | Beveiligingszaken | Wat er gevonden is, gegroepeerd per gebruiker, host of adres waar het om gaat |
| Playbooks | Playbooks | Stappen die op nieuwe zaken draaien: ze verrijken, waarschuwen, een incident openen of indammen |
Boven aan Overzicht, onder wat iemand nodig heeft, toont elk onderdeel zijn cijfers: de bronnen en hun gebeurtenissen van de afgelopen 24 uur, de regels die aanstaan, de open zaken en de playbooks die reageren. Een onderdeel dat niet is ingesteld, zegt dat en opent de pagina waar u het instelt.
Beveiligingsgebeurtenissen in uw logs vinden
De kaart Uw logboeken, boven aan Connections, hoeft niet geïnstalleerd te worden. Met Beveiligingsgebeurtenissen in uw logboeken vinden aan leest Status200 elke minuut de nieuwe logs van het project en maakt van de regels die het herkent beveiligingsgebeurtenissen:
| Logs | Wat een beveiligingsgebeurtenis wordt |
|---|---|
| SSH-aanmeldingen | Mislukte en geslaagde SSH-aanmeldingen uit het authenticatielog, de journal of de syslog van een server |
| sudo | Opdrachten die als een andere gebruiker draaien, verkeerde sudo-wachtwoorden en mensen die sudo niet mogen gebruiken |
| Kubernetes-auditlogs | Wijzigingen aan het cluster, shells die in pods worden geopend, gelezen secrets en geweigerde verzoeken |
| AWS CloudTrail | Aanmeldingen bij de console, wijzigingen in uw AWS-accounts en aanroepen die AWS weigerde |
| Webaanvallen | Verzoeken in het toegangslog van een webserver die SQL-injectie, path traversal of Log4Shell proberen |
Uw logs blijven zoals ze zijn. Alleen de regels die voor beveiliging tellen, worden gebeurtenissen: nooit elke pagina die een webserver heeft geleverd, of elke leesactie op een API.
Wat Status200 vindt naar uw SIEM sturen
Werkt uw team al in een SIEM, dan stuurt Status200 wat het vindt ook daarheen. Klik onder Connections → Naar uw SIEM sturen op Bestemming toevoegen, vul de regio, de instantie en de serviceaccountsleutel van uw Google SecOps in en klik vóór het opslaan op Testgebeurtenis verzenden. Zie Beveiligingsgebeurtenissen naar Google SecOps sturen.
Problemen oplossen
Turn on recommended is grijs
Uw rol mag geen detectieregels, playbooks of de logbron toevoegen. Vraag het een Project Owner, een Project Admin of een Security Admin, of laat hen u de rol Security Admin geven.
Turn on recommended kon niet alles inschakelen
De kaart noemt alles wat niet kon worden ingeschakeld, en waarom: uw rol, uw abonnement of een fout aan de kant van Status200. Al het andere staat aan. Los op wat de kaart noemt en klik daarna op Opnieuw proberen: alleen wat nog ontbreekt wordt ingeschakeld, en niets wordt twee keer toegevoegd.
De testaanval heeft geen zaak geopend
Meestal is de zaak al open voordat de knop antwoordt; loopt de regel nog achter, dan meldt hij dat en opent de zaak binnen een minuut. Kijk opnieuw bij Beveiligingszaken en controleer onder Detections of de brute-forceregel aanstaat.
Uit mijn logs komt geen beveiligingsgebeurtenis
Controleer of Beveiligingsgebeurtenissen in uw logboeken vinden aanstaat en of de kaart Uw logboeken laat zien wanneer er voor het laatst is gecontroleerd. Alleen de soorten regels uit de tabel hierboven worden gebeurtenissen: een server die geen SSH-, sudo-, audit-, CloudTrail- of toegangslogs stuurt, heeft niets te vinden.
Overzicht zegt dat de laatste beveiligingsgebeurtenis dagen geleden binnenkwam
Sindsdien heeft niets Security bereikt. Open Connections en controleer of Uw logboeken en elke verbinding nog aanstaan, en wanneer elk voor het laatst controleerde.
De kaart die Security inschakelt is weg
Iemand heeft hem weggezet met Sluiten. Zolang er nog niets op dreigingen wordt bewaakt, biedt Overzicht Security instellen aan, waarmee hij terugkomt.