Guia d’ús de les alertes

Les possibilitats de configuració de les alertes són nombroses, en part perquè es basen sense cap restricció en l’ús dels filtres disponibles a la interfície gràfica.

Per tant, l’objectiu d’aquesta guia és presentar alguns casos d’ús rellevants de les alertes per respondre a les necessitats de vigilància d’un SI. Evidentment, us en podeu inspirar per configurar alertes que s’ajustin millor a les necessitats de cada context.

Cal saber que a cada usuari se li assigna una alerta que indica les vulnerabilitats noves presents als actius i publicades com a mínim en un dels catàlegs reconeguts per Cyberwatch.

Configurar una alerta per detectar les CVE crítiques noves en un grup d’actius

Si l’objectiu és estar informat de l’evolució de les vulnerabilitats, podeu reutilitzar la plantilla d’integració de l’alerta per defecte. En aquest cas, per configurar una alerta només cal omplir el seu formulari de creació.

Per exemple, la configuració següent permet rebre una alerta quan es detecta una CVE crítica nova en un grup d’actius.

Configuració d'una alerta que detecta les CVE crítiques noves en un grup d'actius

La configuració d’aquesta alerta es basa en la integració SMTP - Alerta per defecte, present per defecte a Cyberwatch.

Camps que cal omplir:

Nom, per exemple amb el valor CVE crítiques noves detectades al grup <Nom del grup>
Ubicació, triant Enciclopèdia de vulnerabilitats
Filtre, seleccionant els filtres Gravetat: Crítica, Estat: Vulnerabilitat present, Grup: <Nom del grup>
Integració, triant SMTP - Alerta per defecte

Configurar una alerta per detectar la publicació de CVE noves d’una tecnologia

Si s’amplia encara més el filtratge, aquest mecanisme també es pot utilitzar per estar informat de la publicació d’una CVE nova sobre una tecnologia concreta. Aquest exemple permet fer el seguiment de les publicacions relatives a una tecnologia, tant si es detecta al SI com si no.

Configuració d'una alerta que detecta la publicació de CVE noves d'una tecnologia

La configuració d’aquesta alerta es basa en la integració SMTP - Alerta per defecte, present per defecte a Cyberwatch.

Camps que cal omplir:

Nom, per exemple amb el valor CVE noves detectades a la tecnologia <Nom de la tecnologia>
Ubicació, triant Enciclopèdia de vulnerabilitats
Filtre, seleccionant el filtre Tecnologia: <Nom de la tecnologia>
Integració, triant SMTP - Alerta per defecte

Configurar una alerta que llisti els actius nous d’un grup

Més enllà del tractament de les alertes lligades a l’evolució de les vulnerabilitats, modificar les ubicacions en què es basa el filtratge permet vigilar l’inventari.

En particular, això permet tenir visibilitat sobre els actius afegits a un grup.

Configuració d'una alerta que llista els actius nous d'un grup

La configuració d’aquesta alerta es basa en la integració SMTP - Informació d'actius, que es pot crear des de la pàgina Administració > Integracions, indicant-hi:

Integració SMTP com a protocol de la integració
SMTP - Informació d'actius com a nom
Cap com a ubicació de l’activador
Automàtic com a destinatari
Sí a l’opció d’utilitzar el disseny de correu electrònic de Cyberwatch
Informació d'actius com a assumpte del correu electrònic
El contingut del correu electrònic següent:

<p>
  Cet e-mail a été généré par l'alerte <i>{{ alert_name | escape }}</i> de l'instance <a href="{{ node_url | escape }}">{{ node_name | escape }}</a>.
  Cliquer <a href="{{ manage_link }}">ici pour gérer l'alerte</a>.
</p>

{% assign item_limit = 5 %}
{% for asset in assets limit: item_limit %}
  <strong><a href="{{ asset.url }}">{{ asset.name | default: 'Actif sans nom' | escape }}</a></strong><br />
  {% if asset.description != blank %}
    Description : {{ asset.description | truncate: 200 | escape }}<br />
  {% endif %}
  {% if asset.groups.size == 1 %}
    Groupe : {{ asset.groups[0].name | escape }}<br />
  {% elsif asset.groups.size > 0 %}
    Groupes : {{ asset.groups | map: 'name' | join: ', ' | escape }}<br />
  {% endif %}
  Nombre de CVE : {{ asset.cve_announcements_count }}<br />
  Nombre de CVE critiques : {{ asset.critical_cve_announcements_count }}<br />
  {% if asset.compliance_rules_count != 0 %}
    Nombre de règles de conformité : {{ asset.compliance_rules_count }}<br />
    Nombre de règles de conformité réussies : {{ asset.compliance_rules_succeed_count }}<br />
    Nombre de règles de conformité échouées : {{ asset.compliance_rules_failed_count }}<br />
    Nombre de règles de conformité en anomalie : {{ asset.compliance_rules_anomalies_count }}<br />
  {% endif %}
  Nombre de défauts de sécurité : {{ asset.security_issues_count }}<br /><br />
{% endfor %}
{% assign diff = assets_total | minus: item_limit %}
{% if diff == 1 %}
  et 1 autre.
{% elsif diff > 0 %}
  et {{ diff }} autres.
{% endif %}<br />

Després, en crear l’alerta, ompliu els camps:

Nom, per exemple amb el valor Actius nous detectats al grup <Nom del grup>
Ubicació, triant Inventari d'actius
Filtre, seleccionant el filtre Grup: <Nom del grup>
Integració, triant SMTP - Informació d'actius

Configurar una alerta que llisti els actius amb un sistema operatiu al final de la vida útil

Modificar les ubicacions també ens permet vigilar l’estat dels actius de l’inventari, per exemple mitjançant els problemes de seguretat.

Així, es pot rebre una alerta quan el sistema operatiu o alguna de les aplicacions d’un actiu arriba al final de la vida útil. Per fer-ho, cal filtrar, respectivament, pels problemes de seguretat Obsolete-OS o Obsolete-Application, tal com s’indica a continuació.

Configuració d'una alerta que llista els actius amb un sistema operatiu al final de la vida útil

La configuració d’aquesta alerta es basa en la integració SMTP - Informació d'actius, els passos de creació de la qual es detallen a la secció anterior Configuració d'una alerta que llista els actius nous d'un grup.

Camps que cal omplir:

Nom, per exemple amb el valor Actius nous amb un sistema operatiu al final de la vida útil
Ubicació, triant Inventari d'actius
Filtre, seleccionant el filtre Problema de seguretat: Obsolete-OS
Integració, triant SMTP - Informació d'actius

Configurar una alerta que llisti els actius amb el certificat TLS caducat o a punt de caducar

Modificar les ubicacions també ens permet vigilar l’estat dels actius de l’inventari, per exemple mitjançant els problemes de seguretat.

Així, es pot rebre una alerta quan un certificat TLS ha caducat o bé quan està a punt de caducar. Per fer-ho, cal filtrar pel problema de seguretat TLS_Certificate (about to expire) o bé TLS_Certificate (expired), tal com s’indica a continuació.

Configuració d'una alerta que llista els actius amb el certificat TLS caducat o a punt de caducar

La configuració d’aquesta alerta es basa en la integració SMTP - Informació d'actius, que es pot crear des de la pàgina Administració > Integracions, indicant-hi:

Integració SMTP com a protocol de la integració
SMTP - Informació d'actius com a nom
Cap com a ubicació de l’activador
Automàtic com a destinatari
Sí a l’opció d’utilitzar el disseny de correu electrònic de Cyberwatch
Informació d'actius com a assumpte del correu electrònic
El contingut del correu electrònic següent:

<p>
  Cet e-mail a été généré par l'alerte <i>{{ alert_name | escape }}</i> de l'instance <a href="{{ node_url | escape }}">{{ node_name | escape }}</a>.
  Cliquer <a href="{{ manage_link }}">ici pour gérer l'alerte</a>.
</p>

{% assign item_limit = 5 %}
{% for asset in assets limit: item_limit %}
  <strong><a href="{{ asset.url }}">{{ asset.name | default: 'Actif sans nom' | escape }}</a></strong><br />
  {% if asset.description != blank %}
    Description : {{ asset.description | truncate: 200 | escape }}<br />
  {% endif %}
  {% if asset.groups.size == 1 %}
    Groupe : {{ asset.groups[0].name | escape }}<br />
  {% elsif asset.groups.size > 0 %}
    Groupes : {{ asset.groups | map: 'name' | join: ', ' | escape }}<br />
  {% endif %}
  Nombre de CVE : {{ asset.cve_announcements_count }}<br />
  Nombre de CVE critiques : {{ asset.critical_cve_announcements_count }}<br />
  {% if asset.compliance_rules_count != 0 %}
    Nombre de règles de conformité : {{ asset.compliance_rules_count }}<br />
    Nombre de règles de conformité réussies : {{ asset.compliance_rules_succeed_count }}<br />
    Nombre de règles de conformité échouées : {{ asset.compliance_rules_failed_count }}<br />
    Nombre de règles de conformité en anomalie : {{ asset.compliance_rules_anomalies_count }}<br />
  {% endif %}
  Nombre de défauts de sécurité : {{ asset.security_issues_count }}<br /><br />
{% endfor %}
{% assign diff = assets_total | minus: item_limit %}
{% if diff == 1 %}
  et 1 autre.
{% elsif diff > 0 %}
  et {{ diff }} autres.
{% endif %}<br />

Després, en crear l’alerta, ompliu els camps:

Nom, per exemple amb el valor Actius nous amb el certificat TLS caducat o a punt de caducar
Ubicació, triant Inventari d'actius
Filtre, seleccionant el filtre Problema de seguretat: TLS_Certificate (expired/about to expire)
Integració, triant SMTP - Informació d'actius