Kom igång med säkerhet
Status200 hittar hot i data du redan har - dina loggar, säkerhetsverktygen du använder och allt du skickar till det -, samlar fynden i ärenden och svarar med playbooks. Två klick räcker för att sätta upp det, och det finns inget att installera.
Innan du börjar
För att sätta upp säkerhet krävs rollen Project Owner, Project Admin eller Security Admin. Rollerna Security Member och Security Viewer läser det som hittas; se Roller.
Sätt upp det
Slå på det som de flesta team behöver
Öppna Produkter → Security Events. Klicka på Slå på rekommenderat på Översikt. Det slår på tre saker samtidigt: Hitta säkerhetshändelser i dina loggar, de rekommenderade detektionsreglerna och Enrich New Cases, en playbook som kontrollerar varje nytt ärende mot hotunderrättelser och lämnar en checklista för triage i det.
Skicka en testattack
Klicka på Skicka en testattack. Ett dussin misslyckade inloggningar från en dokumentationsadress går igenom den riktiga bearbetningen: de lagras, brute force-regeln fångar dem och ett ärende öppnas. Ingen larmas, och inget SIEM tar emot dem.
Öppna ärendet
Klicka på Öppna ärendet. Så ser ett riktigt fynd ut: händelserna bakom det, adressen det gäller och vad Enrich New Cases hittade. Stäng det som ett test när du är klar.
Därefter öppnar Översikt på det som behöver någon, under Kräver uppmärksamhet: dina öppna ärenden, de som ingen har tagit och playbook-stegen som väntar på ett godkännande. När det inte finns några står det Allt är lugnt.
Så fungerar det
Från dina data till ett ärende
| Del | Var | Vad den gör |
|---|---|---|
| Källor | Connections | Dina loggar, säkerhetsprodukterna som Status200 hämtar från och allt du skickar |
| Detections | Detections | Sigma-regler och flöden med hotunderrättelser som letar efter hot i varje händelse |
| Säkerhetsärenden | Säkerhetsärenden | Det som hittades, grupperat efter användaren, värden eller adressen det gäller |
| Playbooks | Playbooks | Steg som körs på nya ärenden: berikar dem, meddelar, öppnar en incident eller begränsar |
Högst upp på Översikt, under det som behöver någon, visar varje del sina siffror: källorna och deras händelser de senaste 24 timmarna, reglerna som är påslagna, de öppna ärendena och playbooks som svarar. En del som inte är konfigurerad säger det och öppnar sidan där du konfigurerar den.
Hitta säkerhetshändelser i dina loggar
Kortet Dina loggar, högst upp på Connections, behöver ingen installation. Med Hitta säkerhetshändelser i dina loggar påslaget läser Status200 projektets nya loggar varje minut och gör raderna det känner igen till säkerhetshändelser:
| Loggar | Vad som blir en säkerhetshändelse |
|---|---|
| SSH-inloggningar | Misslyckade och lyckade SSH-inloggningar från en servers auth-logg, journal eller syslog |
| sudo | Kommandon som körs som en annan användare, fel sudo-lösenord och personer som inte får använda sudo |
| Kubernetes granskningsloggar | Ändringar i klustret, skal som öppnas i poddar, lästa hemligheter och nekade förfrågningar |
| AWS CloudTrail | Inloggningar i konsolen, ändringar i dina AWS-konton och anrop som AWS nekade |
| Webbattacker | Förfrågningar i en webbservers åtkomstlogg som försöker med SQL-injektion, path traversal eller Log4Shell |
Dina loggar förblir som de är. Bara raderna som spelar roll för säkerheten blir händelser: aldrig varje sida som en webbserver har levererat, eller varje läsning av ett API.
Skicka det Status200 hittar till ditt SIEM
Arbetar ditt team redan i ett SIEM skickar Status200 sina fynd dit också. Klicka på Lägg till mål under Connections → Skicka till ditt SIEM, fyll i region, instans och tjänstekontonyckel för din Google SecOps-instans och klicka på Skicka en testhändelse innan du sparar. Se Skicka säkerhetshändelser till Google SecOps.
Felsökning
Turn on recommended är nedtonad
Din roll får inte lägga till detektionsregler, playbooks eller loggkällan. Fråga en Project Owner, en Project Admin eller en Security Admin, eller be dem ge dig rollen Security Admin.
Turn on recommended kunde inte slå på allt
Kortet nämner allt det inte kunde slå på och varför: din roll, din plan eller ett fel hos Status200. Allt annat är på. Åtgärda det kortet nämner och klicka sedan på Försök igen: bara det som fortfarande saknas slås på, och inget läggs till två gånger.
Testattacken öppnade inget ärende
Ärendet öppnas oftast innan knappen svarar; när regeln fortfarande hämtar in säger den det, och ärendet öppnas inom en minut. Titta under Säkerhetsärenden igen och kontrollera under Detections att brute force-regeln är påslagen.
Inga säkerhetshändelser kommer från mina loggar
Kontrollera att Hitta säkerhetshändelser i dina loggar är påslaget och att kortet Dina loggar visar när det senast kontrollerades. Bara typerna av rader i tabellen ovan blir händelser: en server som inte skickar SSH-, sudo-, gransknings-, CloudTrail- eller åtkomstloggar har inget att hitta.
Översikt säger att den senaste säkerhetshändelsen kom för flera dagar sedan
Inget har nått Security sedan dess. Öppna Connections och kontrollera att Dina loggar och varje anslutning fortfarande är påslagna, och när var och en senast kontrollerade.
Kortet som slår på Security är borta
Någon stängde det med Stäng. Så länge inget bevakas efter hot ännu erbjuder Översikt Konfigurera Security, som tar tillbaka det.