Elastic Security a rendu public son référentiel de règles de détection. Notre but : développer des règles de façon ouverte avec l'aide de la communauté. Votre contribution est la bienvenue ! Mettons en commun nos connaissances en matière de sécurité.

Chez Elastic, nous croyons en la <a href="/fr/about/why-open-source">puissance de l'open source</a> et en l'importance de la communauté. En accordant toute notre attention à la communauté, nous veillons à créer le meilleur produit possible pour nos utilisateurs. Avec Elastic&nbsp;Security, nous répondons à <a href="/fr/security">deux de nos principaux objectifs</a>&nbsp;: bloquer les menaces à grande échelle et équiper chaque analyste comme il faut. Aujourd'hui, nous rendons public un nouveau référentiel GitHub, <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>. Ceci, dans le but de travailler aux côtés de la communauté spécialisée dans la sécurité pour bloquer les menaces à plus grande échelle.
Avec le lancement du <a href="/fr/blog/elastic-siem-detections">moteur de détection</a> d'Elastic&nbsp;Security, nous avons pu automatiser la détection des menaces dans la Suite&nbsp;Elastic. Depuis, l'équipe Elastic Security Intelligence & Analytics a ajouté plus de 50&nbsp;règles supplémentaires. Cela a permis d'améliorer la visibilité sur les techniques employées par les utilisateurs malveillants sur les systèmes d'exploitation Linux, macOS et Windows. Nous continuons à augmenter la couverture pour multiplier les possibilités de détection, notamment dans de nouveaux domaines comme les services cloud et le comportement des utilisateurs.
Dans les versions précédentes, nous utilisions un référentiel interne pour gérer les règles du moteur de détection. Aujourd'hui, nous avons amélioré nos procédures de test de manière itérative en ajoutant des tests automatisés sur les nouvelles contributions. Ces tests permettent de valider la syntaxe du langage de requête de Kibana (KQL), l'utilisation de schémas et d'autres métadonnées. Nous avons évolué dans la façon dont nous développons les règles. Nous pouvons donc avancer plus rapidement sans nuire au travail accompli.
En rendant public notre référentiel GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, Elastic&nbsp;Security va développer des règles de manière ouverte avec l'aide de la communauté. Votre contribution est la bienvenue&nbsp;! Il s'agit d'une occasion idéale de mettre en commun nos connaissances en matière de sécurité, d'apprendre les uns et des autres et d'avoir plus d'impact en unissant nos forces.
 <h2>Qu'y a-t-il dans ce nouveau référentiel&nbsp;?</h2>Dans le référentiel GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, vous trouverez des règles écrites pour Elastic&nbsp;Security, couvrant de nombreuses techniques <a href="https://attack.mitre.org/">MITRE ATT&CK</a>®. Notre logique de règles actuelle est principalement rédigée en <a href="/guide/en/kibana/master/kuery-query.html">KQL</a>. Grâce à <a href="/guide/en/ecs/current/index.html">Elastic Common Schema (ECS)</a>, nous n'avons besoin d'écrire une règle qu'une seule fois. En utilisant les champs définis et les catégories d'ECS, les règles fonctionnent automatiquement avec les logs Beats et d'autres sources de données qui se mappent correctement à ECS.
Dans le dossier <a href="https://github.com/elastic/detection-rules/tree/main/rules">rules/</a>, les règles sont stockées au format TOML et regroupées par plateforme. Nous avons privilégié la simplicité en mettant en place une organisation horizontale. Le but&nbsp;: que vous puissiez trouver facilement une règle et en ajouter. Si vous recherchez des règles applicables à Windows uniquement, accédez au sous-dossier <a href="https://github.com/elastic/detection-rules/tree/main/rules/windows">rules/windows</a>. Si, malgré cela, vous peinez à trouver une règle ou si vous souhaitez effectuer une recherche globale, vous pouvez utiliser notre interface en ligne de commande et exécuter la commande <code>python -m detection_rules rule-search</code>. Celle-ci renverra alors les fichiers dont les métadonnées correspondent.
Chaque règle contient plusieurs champs de métadonnées en plus de la requête en tant que telle. Ces champs fournissent différentes informations comme le titre, la description, le niveau de bruit, les mappages ATT&CK, les balises, ou encore l'intervalle de programmation. D'autres champs supplémentaires aident les analystes à faire le tri, par exemple en décrivant les faux positifs connus ou en indiquant les étapes utiles pour une analyse. Pour plus d'informations sur les métadonnées appartenant aux règles, consultez le <a href="/guide/en/siem/guide/current/rules-ui-create.html#create-rule-ui">guide de création de règles de Kibana</a> ou notre <a href="https://github.com/elastic/detection-rules/blob/main/CONTRIBUTING.md#rule-metadata">récapitulatif des métadonnées de règles</a> dans le guide des contributions.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt683eae32569f7543/5efb61e38304ac0dbc4a5a0e/detection-rules-repo-blog-msbuild.png" data-sys-asset-uid="blt683eae32569f7543" alt="detection-rules-repo-blog-msbuild.png">
<figcaption>Aperçu du fichier définissant la règle "MsBuild Making Network Connections"
</figcaption> 
<h2>Comment ces règles sont-elles gérées dans mon moteur de détection&nbsp;?</h2>Si vous utilisez notre <a href="/fr/cloud/">service géré Elastic&nbsp;Cloud</a> ou la distribution par défaut de la Suite&nbsp;Elastic incluant l'<a href="/fr/subscriptions">ensemble complet de fonctionnalités gratuites</a>, vous obtiendrez les versions les plus récentes des règles la première fois que vous accéderez au moteur de détection. Ensuite, lorsque vous ferez une mise à niveau, le moteur de détection reconnaîtra les règles ayant été ajoutées ou modifiées, puis vous <a href="/guide/en/siem/guide/current/rules-ui-create.html#load-prebuilt-rules">invitera</a> à décider si vous souhaitez (ou non) que ces règles soient mises à niveau. Après la mise à niveau, suivez les étapes indiquées et vous obtiendrez la dernière version des règles.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1ca938b9d35957ee/5efb6250f715ab0f6bc3dea1/detection-rules-repo-blog-msbuild-network-connections.png" data-sys-asset-uid="blt1ca938b9d35957ee" alt="detection-rules-repo-blog-msbuild-network-connections.png">
<figcaption>La même règle — “MsBuild Making Network Connections” — chargée dans le moteur de détection
</figcaption> 
<h2>Qui utilisera ce référentiel&nbsp;?</h2>C'est dans ce référentiel que l'équipe Elastic Security Intelligence & Analytics développera des règles, créera des tickets, gèrera des requêtes d'extraction et ciblera les versions en voie d'être lancées. En rendant ce référentiel public, nous invitons tous les contributeurs externes à participer à ce workflow. Les contributeurs auront ainsi une bonne visibilité sur notre processus de développement ainsi qu'un accès clair aux règles à publier avec le moteur de détection.
Vous vous sentez prêt à contribuer&nbsp;? Merci de signer le <a href="/fr/contributor-agreement">contrat de licence pour contributeur (CLA)</a>. C'est une étape incontournable pour l'ensemble des référentiels GitHub Elastic. Ce contrat entérine le fait que nous puissions distribuer librement votre code aux utilisateurs Elastic.
 <h2>Quelle approche adopter en matière de détection des menaces&nbsp;?</h2>En général, nous avons tendance à privilégier les détections qui ciblent les comportements malveillants, ce qui signifie que nous nous concentrons habituellement sur les techniques ATT&CK. Avant de créer une règle, nous devons déterminer comment une technique fonctionne. Nous consacrons donc un certain temps et une certaine énergie à faire des recherches. Néanmoins, cette approche nous permet d'atteindre un résultat optimal en détectant et en bloquant les attaques d'aujourd'hui et de demain, et pas seulement celles d'hier.
Lorsque nous optons pour une approche comportementale, nous avons besoin de différents types de règles. Certaines peuvent détecter des événements atomiques, d'autres peuvent nécessiter d'agréger plusieurs événements ou d'examiner l'écart par rapport à un seuil. Avec l'<a href="https://eql.readthedocs.io">Event Query Language (EQL)</a>, nous pourrons écrire des règles qui étudieront des séquences de comportement couvrant plusieurs événements.
Bien sûr, nous avons conscience qu'il n'est pas toujours aisé pour les utilisateurs de détecter une technique d'un point de vue comportemental. Dans ce cas, n'hésitez pas à ajouter une règle "signature" par nature, écrite pour un comportement ou un outil spécifique.
Pour poursuivre la discussion sur ce qui caractérise une détection "mature", découvrez la philosophie <a href="https://github.com/elastic/detection-rules/tree/main/PHILOSOPHY.md">du référentiel de règles de détection</a>.
 <h2>Pourquoi avons-nous besoin d'un nouveau référentiel&nbsp;?</h2>Si vous avez déjà eu l'occasion de partager des règles publiques, vous connaissez probablement d'autres référentiels GitHub populaires, comme <a href="https://github.com/mitre-attack/car">Cyber Analytics Repository (CAR)</a> de MITRE, <a href="https://github.com/Neo23x0/sigma">Sigma</a> ou même <a href="https://eqllib.readthedocs.io">EQL Analytics Library</a> qui se base sur l'EQL d'Elastic. Vous vous posez peut-être les questions suivantes&nbsp;: Pourquoi avons-nous besoin d'un autre référentiel&nbsp;? Pourquoi ne pas utiliser ceux qui existent déjà&nbsp;?
Sans surprise, la meilleure réponse à ces questions est une autre question&nbsp;: Pourquoi les autres référentiels existent-ils&nbsp;? Les référentiels CAR et Sigma s'adaptent tous deux, à dessein, à différents langages, plateformes, parfois même sources de données. À l'inverse, EQL Analytics Library a été écrit avec un langage spécifique en tête.
Avec notre nouveau référentiel de règles de détection, la finalité que nous recherchons est légèrement différente. Notre objectif est de donner aux utilisateurs d'Elastic&nbsp;Security les meilleures détections possible fonctionnant sur différentes sources de données. Nous utilisons ECS pour homogénéiser les schémas. L'avantage, c'est que nous pouvons écrire une règle applicable à plusieurs sources de données en une seule fois.
La Suite&nbsp;Elastic prend en charge plusieurs langages. De fait, il doit en aller de même pour nos règles. Les langages de requête sont généralement développés pour résoudre différents types de problèmes. Nous ne devons pas contraindre les développeurs de règles à utiliser un langage spécifique si un autre langage s'avère plus adapté. Actuellement, dans le référentiel, nous avons des règles <a href="/guide/en/kibana/master/kuery-query.html">KQL</a> et <a href="/guide/en/kibana/current/lucene-query.html">Lucene</a>, ainsi que des règles qui utilisent les tâches de <a href="/guide/en/machine-learning/6.8/ml-jobs.html">détection des anomalies par Machine&nbsp;Learning</a>. Nous <a href="https://github.com/elastic/elasticsearch/issues/49581">travaillons dur</a> pour intégrer l'<a href="https://eql.readthedocs.io">EQL</a> dans la Suite&nbsp;Elastic et dans notre référentiel.
Nous pouvons également vérifier que les bonnes pratiques sont respectées afin que les performances d'Elasticsearch soient optimales. Par exemple, si nous effectuons une recherche sur <code>process.path:*\\cmd.exe</code>, il est nécessaire de faire un contrôle des caractères génériques, ce qui est plus coûteux qu'un simple contrôle des mots-clés. Au lieu d'effectuer une recherche contenant des caractères génériques, nous vous recommandons d'utiliser <code>process.name:cmd.exe</code>, qui donnera de meilleures performances et renverra des résultats plus précis. Dans la même veine, ECS contient aussi le champ <code>process.args</code>, qui correspond à une version analysée de <code>process.command_line</code>. Nous vous recommandons d'utiliser plutôt le champ analysé, car celui-ci offre de meilleures performances, avec un nombre inférieur de <a href="https://github.com/elastic/detection-rules/blob/main/PHILOSOPHY.md#does-a-rule-have-trivial-evasions">caractères blancs insignifiants ou d'évasions basées sur des citations</a>. C'est gagnant-gagnant&nbsp;!
 <h2>Puis-je ajouter des règles venant d'un autre référentiel&nbsp;?</h2>Dans votre environnement, vous pouvez tout à fait ajouter des règles à votre propre moteur de détection, à partir du moment où votre rôle Kibana dispose des droits appropriés. Si vous souhaitez ajouter des règles au référentiel <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, vous vous doutez probablement de ce que nous allons vous répondre&nbsp;: <a href="/fr/blog/it-depends">Ça dépend...</a>. Tant qu'une règle peut être concédée sous licence dans le cadre de la licence Elastic, c'est possible. La plupart du temps, les exigences sont plutôt simples&nbsp;: conserver le nom des auteurs d'origine dans le tableau <code>rule.author</code> et mettre à jour le fichier <code>NOTICE.txt</code> en conséquence pour attribuer la règle aux auteurs d'origine. Nous ne voulons pas être récompensés pour le travail de quelqu'un d'autre. Aussi, aidez-nous à être rigoureux&nbsp;!
Pour en savoir plus sur notre approche en matière de licences dans le référentiel, consultez la section <a href="https://github.com/elastic/detection-rules#licensing">Licensing</a> (Licences) du fichier README.
 <h2>Comment puis-je apporter ma contribution&nbsp;?</h2>Vous avez hâte de partager votre logique de règles&nbsp;? Accédez au référentiel <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> sur GitHub. Nous y avons détaillé des instructions sur l'utilisation du référentiel, sur le forking et le clonage, ainsi que sur la création d'une règle. Nous mettons aussi à votre disposition une interface de ligne de commande pour faciliter la modification de fichiers par lot et la création de règles. Lorsque vous êtes prêt à ajouter une nouvelle règle au référentiel, exécutez <code>python -m detection_rules create-rule</code>. Vous serez ensuite invité à entrer les métadonnées requises. Nous vous recommandons de privilégier l'utilisation de l'interface de ligne de commande, car elle limite le nombre d'erreurs de copier-coller qui surviennent lors de la réutilisation de contenus venant d'un fichier TOML d'une autre règle ou d'un autre modèle.
Lorsque votre règle est correcte, vous pouvez exécuter la commande <code>python -m detection_rules test</code> pour tester des unités de façon locale afin de valider la syntaxe, l'utilisation du schéma, etc. Créez ensuite la requête d'extraction. Un membre de l'équipe Intelligence & Analytics passera votre contribution en revue. Si des modifications s'avèrent nécessaires, nous regarderons avec vous ce qu'il faut modifier pour les appliquer.&nbsp;
Vous avez une idée de règle, mais vous souhaitez collaborer avec nous pour la mettre en place ou pour avoir un retour&nbsp;? N'hésitez pas à créer un ticket <a href="https://github.com/elastic/detection-rules/issues/new/choose">New Rule</a> (Nouvelle règle). Nous avons hâte de vous aider et de travailler avec vous&nbsp;!
Pour plus d'informations, consultez notre guide des <a href="https://github.com/elastic/detection-rules/tree/main/CONTRIBUTING.md">contributions</a>.
 <h2>Et ensuite&nbsp;?</h2>Bienvenue dans notre nouveau référentiel (et workflow) de règles&nbsp;! N'hésitez pas à nous soumettre vos contributions. Nous avons hâte de voir votre nom dans le champ <code>rule.author</code>. Le référentiel de règles de détection va continuer à évoluer, tout comme Elastic&nbsp;Security, et nous sommes impatients d'aller de l'avant.
Si vous souhaitez suivre le développement de l'EQL dans la suite, abonnez-vous à ce <a href="https://github.com/elastic/elasticsearch/issues/49581">ticket GitHub</a>. Ou jetez un œil à notre <a href="/guide/en/elasticsearch/reference/master/eql.html">documentation</a> pour voir sur quoi travaille l'équipe Elasticsearch.
Si vous avez des retours à nous transmettre ou des questions à nous poser concernant l'écriture des règles ou l'accès à notre nouveau référentiel GitHub de <a href="https://github.com/elastic/detection-rules">règles de détection</a>, veuillez <a href="https://github.com/elastic/detection-rules/issues/new/choose">créer un ticket</a> dans GitHub, nous contacter sur le <a href="https://discuss.elastic.co/c/security">forum de discussion</a> avec la balise detection-rules ou communiquer avec nous sur la chaîne #detection-rules de la <a href="http://ela.st/slack">communauté Slack Elastic</a>.

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic Security opens public detection rules repo

Elastic Security rend public son référentiel de règles de détection

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Senior Security Research Engineer

Ross Wolf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/elastic-cloud-account-terms" target="_self">Conditions générales d'utilisation</a>, et vous acceptez de recevoir les <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">types de notification sélectionnés</a> à l'adresse que vous avez fournie plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.

GDPR Text + Google Cloud

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/serverless-preview-terms" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

En envoyant votre demande d'inscription, vous acceptez les <a href="/fr/agreements/global/cloud-services-monthly" rel="nofollow">conditions générales d'utilisation d'Elastic Cloud</a>. Vos données personnelles seront traitées conformément à la <a href="/fr/legal/privacy-statement">déclaration de confidentialité d'Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/terms-of-use" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

Explore similar demos

Overview

You'll also receive an email with related content.

You'll also receive an email with related content

Nous vous enverrons plus de contenu susceptible de vous intéresser.

Speakers

Close

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

Le contenu de cette page n'est pas disponible dans la langue sélectionnée. Chez Elastic, nous mettons tout en œuvre pour vous proposer du contenu dans différentes langues. En attendant, nous vous remercions de votre patience !

See more insights

Articles by

Author

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Voir à quelle heure débute le webinar dans mon fuseau horaire

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Si vous ne pouvez pas vous libérer le jour J, inscrivez-vous et nous vous enverrons l'enregistrement. Vous recevrez aussi un e-mail contenant des ressources connexes.

Small image for

On-demand webinar

Featured webinar

Register to Attend

Share on Facebook

Reset all

Upcoming webinar

View more posts

Print

Hosted by

Sign In to Attend

View next

Follow us on Facebook

Share

Highlights

Read less

Thank you for registering. We will send you a confirmation email soon.

Nous vous remercions de votre inscription. Vous allez recevoir un e-mail de confirmation.

Author

Articles by Ross Wolf

Senior Security Research Engineer, Elastic

Elastic Security rend public son référentiel de règles de détection