O Elastic Security abriu seu repositório de regras de detecção para o mundo. Vamos desenvolver regras com a comunidade e estamos receptivos às suas detecções. Esta é uma oportunidade de compartilhar conhecimento coletivo sobre segurança.

Nós da Elastic acreditamos no <a href="/pt/about/why-open-source">poder do open source</a> e entendemos a importância da comunidade. Ao colocar a comunidade em primeiro lugar, nos certificamos de estar criando o melhor produto possível para os nossos usuários. Com o Elastic Security, <a href="/pt/security">dois dos nossos objetivos principais</a> são parar as ameaças em escala e dar recursos para todos os analistas. Hoje, estamos abrindo um novo repositório no GitHub, <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, para trabalhar junto com a comunidade de segurança, parando as ameaças em uma escala maior.
O lançamento do <a href="/pt/blog/elastic-siem-detections">mecanismo de detecção</a> no Elastic Security trouxe a detecção automatizada de ameaças para o Elastic Stack. Desde o lançamento inicial do mecanismo de detecção, a equipe de Elastic Security Intelligence & Analytics adicionou mais de 50 regras, aumentando a visibilidade das técnicas dos invasores nos sistemas operacionais Linux, macOS e Windows. Conforme continuarmos a expandir a cobertura, você verá uma maior amplitude nas detecções, abrangendo novos domínios, como serviços na nuvem e comportamento do usuário.
Nas últimas versões, usamos um repositório interno para gerenciar as regras do mecanismo de detecção. Melhoramos iterativamente nossos procedimentos de teste, adicionando testes automatizados para novas contribuições que validam a sintaxe da Kibana Query Language (KQL), o uso do esquema e outros metadados. Nosso desenvolvimento de regras amadureceu, então, podemos andar mais rápido sem quebrar as coisas.
Com a abertura do nosso repositório do GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, o Elastic Security desenvolverá regras abertamente junto com a comunidade, e estamos receptivos às suas detecções orientadas pela comunidade. Esta é uma oportunidade para todos nós compartilharmos nosso conhecimento coletivo, aprendermos uns com os outros e causarmos impacto trabalhando juntos.
 <h2>O que há nesse novo repositório?</h2>No repositório do GitHub <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, você pode encontrar regras escritas para o Elastic Security, com cobertura para muitas técnicas do <a href="https://attack.mitre.org/">MITRE ATT&CK</a>®. A lógica da nossa regra atual é escrita principalmente em <a href="/guide/en/kibana/master/kuery-query.html">KQL</a> e, aproveitando o <a href="/guide/en/ecs/current/index.html">Elastic Common Schema (ECS)</a>, só precisamos escrever as regras uma vez. Ao usar os campos definidos e as categorias no ECS, as regras funcionam automaticamente com os logs dos Beats e outras fontes de dados que mapeiam corretamente para o ECS.
Na pasta <a href="https://github.com/elastic/detection-rules/tree/main/rules">rules/</a>, as regras são armazenadas em arquivos TOML e agrupadas por plataforma. Tentamos manter a simplicidade com uma hierarquia plana para que seja mais fácil encontrar e adicionar novas regras. Se estiver procurando regras somente para Windows, navegue até <a href="https://github.com/elastic/detection-rules/tree/main/rules/windows">rules/windows</a>. Se ainda está com dificuldades para encontrar uma regra ou quer pesquisar em todas as regras, você pode usar nossa CLI executando o comando <code>python -m detection_rules rule-search</code>, que mostrará os arquivos com metadados correspondentes.
Cada regra contém vários campos de metadados, além da própria consulta. Isso captura informações como título, descrição, nível de ruído, mapeamentos do ATT&CK, tags e o intervalo de programação. Temos alguns campos adicionais para ajudar os analistas a realizar a triagem, descrevendo falsos positivos conhecidos ou etapas úteis para uma investigação. Para obter mais informações sobre os metadados que dizem respeito às regras, consulte o <a href="/guide/en/siem/guide/current/rules-ui-create.html#create-rule-ui">guia de criação de regras do Kibana</a> ou o <a href="https://github.com/elastic/detection-rules/blob/main/CONTRIBUTING.md#rule-metadata">resumo dos metadados das regras</a> (ambas as páginas em inglês) no guia de contribuição.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt683eae32569f7543/5efb61e38304ac0dbc4a5a0e/detection-rules-repo-blog-msbuild.png" data-sys-asset-uid="blt683eae32569f7543" alt="detection-rules-repo-blog-msbuild.png">
<figcaption>Prévia do arquivo por trás da regra “MsBuild Making Network Connections” (MsBuild criando conexões de rede)
</figcaption> 
<h2>Como essas regras chegam ao meu mecanismo de detecção?</h2>Se estiver usando o nosso <a href="/pt/cloud/">serviço gerenciado do Elastic Cloud</a> ou a distribuição padrão do software Elastic Stack que inclui o <a href="/pt/subscriptions">conjunto completo de recursos gratuitos</a>, você obterá as regras mais recentes na primeira vez que navegar até o mecanismo de detecção. Quando você atualiza, o mecanismo de detecção reconhece que as regras foram adicionadas ou alteradas e <a href="/guide/en/siem/guide/current/rules-ui-create.html#load-prebuilt-rules">solicita</a> que você decida se quer que essas regras sejam atualizadas. Siga as etapas após a atualização, e você obterá a cópia mais recente das regras.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt1ca938b9d35957ee/5efb6250f715ab0f6bc3dea1/detection-rules-repo-blog-msbuild-network-connections.png" data-sys-asset-uid="blt1ca938b9d35957ee" alt="detection-rules-repo-blog-msbuild-network-connections.png">
<figcaption>A mesma regra — “MsBuild Making Network Connections” — carregada no mecanismo de detecção
</figcaption> 
<h2>Quem usará esse repositório?</h2>Nesse repositório, a equipe de Elastic Security Intelligence & Analytics desenvolverá regras, criará ocorrências, gerenciará pull requests e direcionará os lançamentos. Ao tornar o repositório público, estamos convidando todos os colaboradores externos para este fluxo de trabalho. Isso dará aos colaboradores visibilidade do nosso processo de desenvolvimento e um caminho claro para as regras a serem lançadas com o mecanismo de detecção.
Quando estiver pronto(a) para contribuir, assine o <a href="/pt/contributor-agreement">contributor license agreement (CLA)</a> (acordo de licença do colaborador) da Elastic. Esse é um acordo padrão para todos os repositórios da Elastic no GitHub e significa que podemos distribuir o seu código gratuitamente aos usuários da Elastic.
 <h2>Como abordamos a detecção de ameaças?</h2>Em geral, tendemos a preferir detecções que se concentrem no comportamento do adversário. Isso geralmente significa que nos concentramos nas técnicas do ATT&CK. Pode significar que mais pesquisas e esforços serão necessários para descobrir como uma técnica funciona antes de criar uma regra. Porém, ao adotar essa abordagem, fazemos um trabalho melhor para detectar e parar os ataques de hoje e amanhã, em vez apenas dos ataques de ontem.
A adoção de uma abordagem comportamental também significa que precisamos de vários tipos de regras. Alguns podem detectar eventos atômicos, outros podem exigir a agregação de vários eventos ou a procura de desvios acima de um limite. Com a <a href="https://eql.readthedocs.io">Event Query Language (EQL)</a>, seremos capazes de escrever regras que procurem sequências de comportamento que abranjam vários eventos.
Naturalmente, entendemos que às vezes uma técnica pode ser difícil para todos os usuários detectarem comportamentalmente. Nesse caso, fique à vontade para adicionar uma regra que seja mais semelhante a uma assinatura por natureza e escrita para um comportamento ou ferramenta específico(a).
Para uma discussão mais longa sobre o que torna uma detecção madura, leia sobre a filosofia <a href="https://github.com/elastic/detection-rules/tree/main/PHILOSOPHY.md">do repositório de regras de detecção</a>.
 <h2>Por que precisamos de um novo repositório?</h2>Se você já compartilhou regras públicas antes, provavelmente conhece outros repositórios do GitHub como o <a href="https://github.com/mitre-attack/car">Cyber Analytics Repository (CAR)</a> da MITRE, o <a href="https://github.com/Neo23x0/sigma">Sigma</a> ou mesmo a <a href="https://eqllib.readthedocs.io">EQL Analytics Library</a> baseada na EQL da Elastic. Você pode estar se perguntando: Por que precisamos de outro repositório? Por que não usar os que já existem?
Não é nenhuma surpresa que a melhor resposta para essa pergunta comece com outra pergunta: Por que os outros repositórios existem? Tanto o CAR quanto o Sigma são propositadamente agnósticos quanto à linguagem ou à plataforma e, às vezes, à fonte de dados. Já a EQL Analytics Library foi escrita com uma linguagem específica em mente.
Com nosso novo repositório de regras de detecção, estamos tentando servir a um propósito ligeiramente diferente. Nosso objetivo é fornecer aos usuários do Elastic Security as melhores detecções possíveis que funcionem em várias fontes de dados. Usamos o ECS como o grande equalizador de esquemas, tornando possível escrever uma regra uma vez que se aplique a várias fontes de dados.
Como o Elastic Stack dá suporte a várias linguagens, nossas regras devem refletir isso. Normalmente, as linguagens de consulta são desenvolvidas para resolver diferentes tipos de problemas, e não devemos restringir os desenvolvedores de regras a uma única linguagem se existe outra que faz melhor o trabalho. Atualmente, temos regras em <a href="/guide/en/kibana/master/kuery-query.html">KQL</a> e <a href="/guide/en/kibana/current/lucene-query.html">Lucene</a>, junto com regras que usam tarefas de <a href="/guide/en/machine-learning/6.8/ml-jobs.html">detecção de anomalia com machine learning</a> no repositório. Estamos <a href="https://github.com/elastic/elasticsearch/issues/49581">trabalhando muito</a> para trazer a <a href="https://eql.readthedocs.io">EQL</a> para o Elastic Stack e para o nosso repositório.
Também podemos garantir que as práticas recomendadas estejam sendo seguidas para o desempenho ideal do Elasticsearch. Por exemplo, pesquisar por <code>process.path:*\\cmd.exe</code> requer a execução de uma verificação curinga, que é mais dispendiosa do que uma simples verificação de palavra-chave. Em vez de pesquisas contendo curingas no início, podemos recomendar o uso de <code>process.name:cmd.exe</code>, o que resultará em melhor desempenho e em resultados mais precisos. De maneira semelhante, o ECS também contém o campo <code>process.args</code>, que é uma versão analisada de <code>process.command_line</code>. Recomendamos usar o campo analisado porque nos dá melhor desempenho. Além disso, ficamos muito menos propensos a ter <a href="https://github.com/elastic/detection-rules/blob/main/PHILOSOPHY.md#does-a-rule-have-trivial-evasions">espaços em branco triviais ou evasões com uso de aspas</a>. Todo mundo sai ganhando.
 <h2>Posso adicionar regras de outro repositório?</h2>No seu próprio ambiente, você pode adicionar regras ao seu próprio mecanismo de detecção, desde que sua função do Kibana tenha as permissões corretas. Se você quer adicionar regras ao repositório <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a>, a resposta é: <a href="/pt/blog/it-depends">depende...</a> Contanto que uma regra possa ser sublicenciada sob a licença da Elastic, acho justo. Na maioria das vezes, os requisitos são bastante diretos — manter os autores originais na matriz <code>rule.author</code> e atualizar o arquivo <code>NOTICE.txt</code> para dar o devido crédito aos autores originais. Não queremos receber crédito pelo trabalho de outra pessoa, então, ajude-nos nesse cuidado!
Para obter mais informações sobre como abordamos o licenciamento no repositório, consulte a seção <a href="https://github.com/elastic/detection-rules#licensing">Licensing</a> (Licenciamento) do README.
 <h2>Como posso contribuir?</h2>Está ansioso(a) para compartilhar sua lógica de regra? Vá para <a href="https://github.com/elastic/detection-rules">elastic/detection-rules</a> no GitHub. Lá temos instruções detalhadas para navegar no repositório, criar regras, variantes e clones. Incluímos uma ferramenta de linha de comando para edição em massa dos arquivos e para tornar mais fácil a criação de novas regras. Quando estiver pronto(a) para adicionar uma nova regra ao repositório, execute <code>python -m detection_rules create-rule</code> e forneça os metadados necessários. Recomendamos usar a CLI quando possível, porque ela reduz os erros de copiar e colar que acontecem ao reutilizar o conteúdo de um arquivo TOML de outra regra ou modelo.
Quando sua regra estiver em um bom estado, você poderá executar o comando <code>python -m detection_rules test</code> para realizar testes de unidade localmente, que validam a sintaxe, o uso do esquema etc. Em seguida, crie a pull request, e alguém da equipe de Intelligence & Analytics analisará a contribuição. Se solicitarmos alguma alteração, trabalharemos com você para fazer as alterações recomendadas.&nbsp;
Se você tem uma boa ideia para uma regra, mas quer colaborar conosco na ideia ou obter feedback, fique à vontade para criar uma ocorrência de <a href="https://github.com/elastic/detection-rules/issues/new/choose">New Rule</a> (nova regra). Estamos ansiosos para ajudar e fazer um brainstorming com você!
Para obter mais informações, consulte o guia de <a href="https://github.com/elastic/detection-rules/tree/main/CONTRIBUTING.md">contribuição</a>.
 <h2>O que vem a seguir?</h2>Bem-vindo(a) ao nosso novo repositório e fluxo de trabalho de regras! Incentivamos você a contribuir e esperamos ver seu nome no campo <code>rule.author</code>. O repositório de regras de detecção continuará a evoluir junto com o resto do Elastic Security, e estamos animados com o que vem por aí.
Se você quer acompanhar o desenvolvimento da EQL na stack, inscreva-se nesta <a href="https://github.com/elastic/elasticsearch/issues/49581">ocorrência do GitHub</a>. Ou dê uma olhada na <a href="/guide/en/elasticsearch/reference/master/eql.html">documentação em andamento</a> para ver o que a equipe do Elasticsearch está fazendo.
Se tiver algum feedback ou dúvida ao escrever regras ou navegar em nosso novo repositório de <a href="https://github.com/elastic/detection-rules">regras de detecção</a> no GitHub, <a href="https://github.com/elastic/detection-rules/issues/new/choose">crie uma ocorrência</a> no GitHub, entre em contato no <a href="https://discuss.elastic.co/c/security">fórum de discussão</a> com a tag detection-rules ou encontre-nos no canal #detection-rules da <a href="http://ela.st/slack">comunidade da Elastic no Slack</a>.

blog-gears-steel-banner.jpg

blog-gears-steel-thumb.jpg

Elastic Security opens public detection rules repo

Elastic Security abre repositório público de regras de detecção

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Senior Security Research Engineer

Ross Wolf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/elastic-cloud-account-terms" target="_self">Termos de Serviço</a> e também concorda em receber <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">comunicações especiais</a> por meio dos dados de contato que forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/serverless-preview-terms" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

Ao enviar, você concorda com os <a href="/pt/agreements/global/cloud-services-monthly" rel="nofollow">Termos de Serviço do Elastic Cloud</a>. Seus dados pessoais serão tratados de acordo com a <a href="/pt/legal/privacy-statement">Declaração de Privacidade da Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

Ao enviar a confirmação, você reconhece que leu e concorda com nossos <a href="/pt/legal/terms-of-use" target="_self">Termos de Serviço</a> e que a Elastic pode <a href="/pt/legal/privacy-statement#how-we-use-the-information" target="_self">entrar em contato com você</a> para divulgar nossos produtos e serviços relacionados usando os dados que você forneceu acima. Consulte a <a href="/pt/legal/privacy-statement/" target="_self">Declaração de Privacidade da Elastic</a> para saber mais detalhes ou para cancelar a qualquer momento.

Explore similar demos

Explore outras demonstrações semelhantes

Overview

Load More

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

O conteúdo desta página não está disponível no idioma selecionado. A Elastic está trabalhando para garantir que o conteúdo esteja disponível em vários idiomas.Agradecemos a compreensão.

Author

Articles by

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Consultar a hora de início do webinar no meu fuso horário

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Não vai conseguir participar? Inscreva-se e nós lhe enviaremos a gravação. Você também receberá um email com conteúdo relacionado.

Author

Articles by Ross Wolf

Senior Security Research Engineer, Elastic

Elastic Security abre repositório público de regras de detecção