Gli avvisi sugli eventi
Conservare i log non basta: bisogna accorgersi quando succede qualcosa. Gli avvisi sugli eventi di CSP (Central Syslog) leggono i log nuovi della subscription ogni 3 minuti e vi scrivono quando c'è qualcosa che vale la pena guardare: tentativi di indovinare una password, un accesso all'amministrazione di un firewall di notte, una configurazione cambiata, un attacco sopra la norma. Non dovete scrivere regole: quelle predefinite sono già accese.
È anche un aiuto per la direttiva NIS2, che chiede di rilevare gli incidenti, non solo di conservare i log.
La tessera Avvisi sugli eventi c'è se il piano della subscription comprende il servizio. Per vedere la pagina basta poter vedere i log; per cambiare regole ed eccezioni serve un ruolo che permetta di gestire gli apparati.
Gli episodi
Gli eventi di una stessa regola che riguardano la stessa cosa (un indirizzo, un utente, un apparato, un'ora) e che si susseguono formano un episodio. Per esempio, 34 accessi falliti in 10 minuti dallo stesso indirizzo sono un episodio, non 34 avvisi.
- Ricevete un'email quando l'episodio inizia, e al massimo una all'ora finché continua.
- L'episodio finisce quando i suoi eventi smettono.
- Episodi degli ultimi 30 giorni li elenca, con quelli In corso e un collegamento ai loro log.
- Gli episodi del periodo compaiono anche nei report (vedi Report e analisi).
Chi riceve le email lo decide il vostro fornitore nelle notifiche (vedi Le notifiche).
Le regole
In Regole ogni regola si accende o si spegne (Accesa). Quelle con una soglia hanno una Sensibilità: Bassa scrive solo per molti eventi, Alta già per pochi, Media è il valore predefinito. I numeri di ogni regola sono nella sua descrizione.
| Regola | Quando scrive |
|---|---|
| Accessi falliti ripetuti | Molti accessi falliti in 10 minuti dallo stesso indirizzo o per lo stesso utente: qualcuno prova a indovinare una password |
| Accesso riuscito dopo molti falliti | Un accesso riuscito subito dopo un episodio di falliti: il tentativo potrebbe aver funzionato |
| Accesso all'amministrazione di un apparato | Un accesso a un firewall o a un router fuori dall'orario di lavoro (dal lunedì al venerdì, dalle 8 alle 19) o da un indirizzo mai visto negli ultimi 30 giorni. Con Ogni accesso, ogni accesso |
| Configurazione cambiata | Una configurazione di un apparato cambiata, con chi e da dove |
| Firmware aggiornato | Un aggiornamento del firmware di un apparato di rete |
| Account creati o cambiati | Un utente creato, eliminato, bloccato o aggiunto a un gruppo, una password cambiata |
| Registro di controllo cancellato o criteri cambiati | Su Windows, il registro di sicurezza cancellato o i criteri di controllo cambiati |
| Comandi con sudo | Un comando eseguito con sudo su un server Linux. Di solito è normale: è spenta per default |
| Attacchi bloccati sopra la norma | Gli eventi bloccati dal firewall in un'ora, molte volte più della stessa ora nei 14 giorni prima |
| Attacco dalla rete interna | Molti eventi bloccati da un indirizzo privato della vostra rete: un computer infetto o un dispositivo compromesso |
| VPN instabile | Una VPN che fallisce molte volte in un'ora. Un'email anche quando torna stabile |
Premete Salva dopo le modifiche.
Che cosa serve perché funzionino
Le regole si basano sugli eventi che i profili riconoscono nei log dei vostri apparati (vedi Gli apparati e la quarantena).
- Un apparato senza profilo, o letto dal profilo generico a parole, non dà avvisi.
- I log importati, o arrivati con più di 15 minuti di ritardo, non danno avvisi.
Le vostre regole
In Le tue regole potete aggiungere regole vostre, quante ne permette il piano. Ogni regola ha:
| Campo | Che cosa scegliere |
|---|---|
| Nome | Un nome per voi |
| Apparato | Un apparato, o Tutti gli apparati |
| Condizione | Il testo del log contiene, Il tipo di evento è, L'utente è, L'indirizzo di origine è o La porta di destinazione è |
| Parole o valore | Il testo o il valore da cercare |
| Più di (volte in 10 minuti) | Vuoto: al primo evento. Con un numero, l'avviso parte quando gli eventi superano quel numero in 10 minuti |
Poi Aggiungi la regola.
Il testo si cerca senza maiuscole, anche come parte di una parola: "admin" trova "Administrator". Una soglia conta gli eventi di ogni apparato per conto suo. A differenza delle regole predefinite, le vostre guardano anche i log che nessun profilo legge.
Il modo più rapido per creare una regola è partire da un log: nella pagina Log, Avvisami se si ripete apre il modulo già compilato con il testo di quel log.
Esempi
- Un avviso a ogni accesso dell'utente
adminsu un apparato: condizione L'utente è, valoreadmin, soglia vuota. - Un avviso quando un NAS segnala un disco in errore: apparato il NAS, condizione Il testo del log contiene, parole come appaiono nel log del vostro NAS.
Le eccezioni
Un'eccezione è un indirizzo, una rete o un utente che le regole non considerano, per una regola o per tutte. Serve per i falsi allarmi conosciuti: lo scanner di vulnerabilità dell'ufficio, l'utente che fa i backup e accede di notte.
Da un episodio, Non considerare questo indirizzo aggiunge l'eccezione per quella regola in un clic.
Un'eccezione nasconde alla regola gli eventi di quell'indirizzo, rete o utente per sempre. I log restano conservati e si possono cercare. Usatele con giudizio: un'eccezione troppo larga nasconde anche gli attacchi veri.