Sophos XDR Custom Detection en Suppression Rules beheren

Onder Security Operations > Rules worden eigen detectionregels en Suppression Rules beheerd. Detectionregels maken nieuwe detections uit genormaliseerde events; suppressionregels markeren passende detections al vroeg als onderdrukt. Beide veranderen het lopende onderzoek en vereisen een goedgekeurde, nauw begrensde voorwaarde en een eigenaar.

De handleiding voor Cases en Classic-regels legt de nog steeds afwijkende Classic-weergave uit. De Super Admin-, aantal- of 20-minutenvereisten daarvan worden niet naar Security Operations overgezet.

Voordat een eigen regel wordt gemaakt

Bepaal eerst doel, databron, schema, verwachte matches en bewust uitgesloten gevallen. Controleer met passende historische events in Data Lake Search of de voorwaarde inhoudelijk zinvol is. Een goedgekeurde test gebruikt een apart account of andere geautoriseerde testgegevens; er wordt geen echte kwaadaardige activiteit opgewekt.

Een match in een historische zoekactie bewijst niet hetzelfde gedrag in een actieve regel. Zoek- en regelengines verschillen; sommige verrijkte velden ontstaan pas later. Acceptatie bevat daarom zowel een verwachte match als een verwachte niet-match. Leg vóór een wijziging query, naam, beschrijving, severity, activeringsstatus en eerdere matches vast.

Een Custom Detection Rule maken

Maak eerst een geschikte Advanced Search-query in Security Operations > Data Lake Search. Die moet genormaliseerde events van een passend schema selecteren. Daarna:

1. Kopieer de gecontroleerde query en open Security Operations > Rules.
2. Kies Create Rule boven de tabel Custom Rules.
3. Plak de query in Rule Criteria.
4. Vul een duidelijke Name, passende Mitre Attack Categories en een begrijpelijke Description in.
5. Kies een onderbouwde severity en maak de regel met Create Rule.

Een nieuwe Custom Rule staat na aanmaken aan. Goedkeuring en eigenaar moeten daarom vooraf vaststaan. Dit is een andere standaard dan bij een nieuwe Custom Parser. Activeer geen onbegrensde zoekvoorwaarde in productie om te experimenteren.

Streaming is geen opgeslagen zoekactie

Custom Rules verwerken streamingdata. Primitieve velden krijgen daar niet automatisch de standaardwaarden die later in het Data Lake aanwezig kunnen zijn. NULL-voorwaarden moeten dus werkelijk ontbrekende waarden meenemen. Globpatronen worden niet ondersteund; regexconstructies zoals backreferences, recursieve patronen, willekeurige look-aroundachtige zero-width assertions en ingebedde code zijn eveneens beperkt. Presenteer een werkende Search-expressie niet ongecontroleerd als gegarandeerd werkende regel.

Logische velden zoals @user kunnen binnen het gekozen schema naar de velden daarvan uitbreiden. Een regel matcht slechts één schema. Bepaalde later toegevoegde velden zijn niet beschikbaar: bijvoorbeeld hostname, geo-/blacklistverrijkingen voor auth/netflow/dns_query en WHOIS bij het DNS-schema. Controleer de werkelijk benodigde velden in de huidige regelcontext, zonder ze door gelijknamige Search-velden te vervangen.

Circuit breaker en klantverantwoordelijkheid

Custom Rules mogen maximaal 5.000 detections per uur of 100.000 binnen 24 uur maken. Bij overschrijding schakelt de circuit breaker de regel uit en mailt Sophos de auteur. Verklein daarna de scope; schakel de ongewijzigde regel niet opnieuw in. Een gestopte alarmstroom kan dus een uitgeschakelde regel betekenen en bewijst geen opgeloste risico’s.

Cases die automatisch uit klantregels ontstaan, zijn customer-managed en starten geen automatisch MDR-onderzoek. De schema’s Antivirus, Email, NIDS en Thirdparty beschrijven daarnaast is_custom_alert=true: zulke Custom Alerts gaan ter afhandeling naar de tenant in plaats van de MDR-servicewachtrij; de severity verandert niet. Dit sluit niet elk Custom Parser-record in het algemeen van MDR uit. Parsers maken en valideren beschrijft de voorafgaande normalisatie.

Suppression bewust beperkt houden

Suppression is bedoeld voor bevestigde legitieme herhalingen, niet om onverklaarde activiteit te verbergen. Tenantregels gelden alleen in de eigen tenant; Global-regels worden door Sophos beheerd en zijn alleen-lezen. Leg vragen over zo’n globale regel vast en verduidelijk ze via het normale supportpad.

Een onderdrukte detection krijgt de betreffende status vroeg, voordat die downstream geautomatiseerde response kan starten. Daardoor kunnen bijvoorbeeld playbooks of hostisolatie achterwege blijven. Vooraf moet vaststaan welke legitieme activiteit wordt gematcht en welke beveiligingsreactie bewust wordt voorkomen.

Suppression via een query maken

1. Controleer de voorwaarde op bestaande detections in Data Lake Search.
2. Kies Create Rule onder Security Operations > Rules > Suppression Rules.
3. Vul de voorwaarde in Rule Criteria in.
4. Gebruik See potential matches with current data als plausibiliteitspreview.
5. Stel naam, beschrijving en gewenste resolutionstatus in en maak aan met Create Rule.

Nieuwe suppressionregels staan eveneens standaard aan. Scope, goedkeuring en terugweg moeten dus vóór Create Rule vaststaan.

Open als alternatief een specifieke detection en Actions > Create Suppression Rule. Kies vooringevulde entities bewust; meerdere voorwaarden worden met AND verbonden. Escape handmatig ingevoerde bijzondere regextekens correct. Leid geen universele suppression af uit één verwachte match.

Waarom preview en actieve regel kunnen verschillen

De preview gebruikt Advanced Search op voltooide, verrijkte detections. Suppression draait terwijl deze worden gevormd. Velden zoals enrichment_details, status en case zijn niet beschikbaar; gebruik voor waarden van derden het thirdparty-eventschema in plaats van third_party_details. Alle criteria moeten op het suppressionmoment samen waar zijn. Een voltooid record kan voorwaarden combineren die eerder alleen afzonderlijk waar waren.

See potential matches garandeert daarom geen effect. Wacht na aanmaken, wijzigen, activeren of deactiveren minstens tien minuten voordat het resultaat wordt beoordeeld. Detections van direct na de wijziging testen de nieuwe toestand niet betrouwbaar.

IPv4-CIDR werkt in suppression, hoewel Detection Search zelf geen CIDR-zoekactie ondersteunt. Controleer de query eerst zonder bereik en pas die daarna voor de regel aan. IPv6-adressen kunnen genormaliseerd worden vergeleken; IPv6-CIDR en IPv4-mapped IPv6 worden momenteel niet ondersteund voor suppression. Neem firewallsyntax voor netwerkbereiken niet ongecontroleerd over.

Effect controleren, documenteren en terugdraaien

Een klik op de regelnaam toont voorwaarden en details. Bij matches in de laatste zeven dagen verschijnen aantal, laatste match en verloop. Suppression toont ook wijzigingen onder History. Ontbrekend verloop kan simpelweg betekenen dat het passende event niet is opgetreden.

Neem detections uit Custom Rules mee via Custom Detections in de detectionlijst. Onderdrukte, al getriageerde detections worden met Triaged Detections zichtbaar; vanuit de regeldetails kan een passende zoekactie worden geopend. Controleer verwachte matches, verwachte niet-matches, schema/bron en gewenste of bewust afwezige response.

Enabled zet een regel aan of uit. Archive schakelt uit en verwijdert uit de standaardlijst. Open een gearchiveerde regel met Showing Archived Rules; Restore zet deze uitgeschakeld terug. Activeer een herstelde regel niet zonder hernieuwde acceptatie. Houd bij suppression ook bij uitschakelen rekening met de gedocumenteerde vertraging.

Mislukt de acceptatie, schakel dan alleen de eigen betrokken regel uit en controleer de eerder vastgelegde situatie. Reeds gemaakte Cases, exports of onderdrukte detections verdwijnen daardoor niet automatisch. Onderdrukte detections kunnen zo nodig aan Cases worden toegevoegd en hun label kan worden gewijzigd. Schakel geen globale bescherming of regel van iemand anders uit om de eigen test te laten slagen.

Bij overdracht horen bron/schema, criteria en versie, auteur, goedkeuring, bewijs van matches/niet-matches, severity/resolution, activeringsstatus, circuit-breakermonitoring en een reviewdatum. Integratieacceptatie blijft noodzakelijk: een stille regel herstelt geen ontbrekende databron.