Fer una cerca

Cyberwatch us permet filtrar informació en funció de diversos criteris.

Es poden definir parelles amb el format paraula clau:valor que s’utilitzaran per filtrar els resultats abans de mostrar-los.

Cyberwatch compara el valor dels filtres amb la informació que conté la base de dades mitjançant ‘SQL Like’. Es conserva qualsevol cadena que contingui el valor cercat. Així, una cerca de «cve:2019» retornarà totes les CVE el codi CVE de les quals contingui «2019», és a dir, CVE-2019-0001, però també CVE-2017-2019.

Cercar un actiu

La barra de cerca que hi ha a l’angle superior dret us permet visualitzar una llista d’actius en funció dels caràcters que conté el seu nom.

Quan la cerca només retorna un resultat, redirigeix a la pàgina que conté els detalls de l’actiu corresponent. Quan diversos actius poden correspondre al criteri, la cerca redirigeix a la llista dels actius corresponents.

Cercar actius des del Tauler

Feu clic a la pestanya Tauler.

Una cerca sense paraula clau filtra els resultats en funció del nom d’amfitrió (hostname).

La barra de cerca ofereix l’autocompleció de les paraules clau que es poden utilitzar.

A continuació teniu totes les paraules clau disponibles:

  • Grup: permet filtrar els actius en funció del nom del grup del qual formen part
  • Priorització: permet filtrar els actius segons la política de priorització que tenen assignada
  • Categoria: permet filtrar els actius segons la seva categoria
  • Descobriment: permet filtrar els actius que pertanyen a un descobriment
  • Estat de planificació de l’anàlisi: permet filtrar els actius segons el seu estat de planificació de l’anàlisi (anàlisi planificada / anàlisi no planificada)
  • Mode d’escaneig: permet filtrar els actius segons el seu mode d’escaneig o connector
  • Estat de comunicació: permet filtrar els actius segons el seu estat de comunicació amb Cyberwatch (pèrdua de comunicació / comunicants)
  • Problema de seguretat: permet filtrar els actius afectats per un problema de seguretat
  • Exploit públic:Disponible: permet filtrar els actius que tenen almenys una CVE amb un exploit públic disponible
  • Política d’anàlisi: permet filtrar els actius segons la política d’anàlisi que tenen assignada
  • Marc de conformitat: permet filtrar els actius segons els marcs de conformitat que tenen assignats
  • Nom de la regla: permet filtrar els actius en què s’ha verificat la regla de conformitat seleccionada pel seu nom
  • Referència de la regla: permet filtrar els actius en què s’ha verificat la regla de conformitat seleccionada per la seva referència
  • Aplicació:nom[:versió]: permet filtrar els actius en funció del nom i de la versió d’una aplicació detectada a l’actiu (el camp versió és opcional)
  • Port: permet filtrar els actius en funció dels ports oberts detectats pels escanejos
  • Metadada:clau[:valor]: permet filtrar els actius en funció de la clau i del valor d’una metadada detectada a l’actiu (el camp valor és opcional)
  • Servei:nom:estat: permet filtrar els actius en funció dels serveis detectats
  • Adreça: permet filtrar els actius en funció de les seves adreces de xarxa (cal una adreça IP completa)
  • Interval d’adreces IP: permet filtrar els actius amb una adreça IP que pertany a l’interval d’adreces IP (cal un interval d’adreces IP amb el format 127.0.0.0/8)
  • Sistema operatiu: permet filtrar els actius en funció del seu sistema operatiu
  • Política de desplegament: permet filtrar els actius en funció de la política de desplegament que tenen assignada
  • Política de reinici: permet filtrar els actius en funció de la política de reinici que tenen assignada
  • Exclusió automàtica: permet filtrar els actius en funció de la política d’exclusió automàtica que tenen assignada
  • Estat dels pedaços: permet filtrar els actius en funció de l’estat de planificació dels seus pedaços (pedaços planificats / pedaços no planificats)
  • Estat de reinici: permet filtrar els actius en funció de si s’han de reiniciar o no (reinici necessari / reinici no necessari)

Per obtenir la llista dels actius del grup server_asia que tenen instal·lat el paquet apache versió 2.1, que tenen el port 80 detectat com a obert i el nom d’amfitrió dels quals conté «dsi», seleccioneu les paraules clau a la barra de cerca d’aquesta manera:

dsi Grup:server_asia Aplicació:apache:2.1 Port:80

Cercar actius des de l’Inventari

Les cerques que es poden fer a l’inventari d’actius són molt semblants a les que es poden fer des del Tauler.

Tanmateix, la barra de cerca de l’inventari ofereix paraules clau addicionals i manté el funcionament de les paraules clau antigues que s’han utilitzat històricament a l’aplicació.

A continuació teniu totes les paraules clau que la barra de cerca ofereix amb autocompleció per limitar els actius que es mostren:

  • Grup: permet mostrar els actius en funció del nom del grup del qual formen part

Amb la paraula clau Grup es poden fer filtres combinatoris. Quan seleccioneu el filtre Grup, teniu a la vostra disposició uns operadors:

  • ||: permet mostrar els actius que tenen almenys un dels grups indicats
  • =: permet mostrar els actius que tenen com a mínim tots els grups indicats
  • !=: permet mostrar els actius que no tenen els grups indicats

Per exemple, aquesta cerca:

(Grup || Windows) (Grup || Ubuntu) (Grup = Admin) (Grup = Web) (Grup != Up_To_Date)

mostrarà els actius que tenen necessàriament els grups Admin i Web, que tenen almenys el grup Windows o Ubuntu, però que no tenen el grup Up_To_Date.

  • Política de priorització: permet mostrar els actius segons la política de priorització que tenen assignada
  • Categoria: permet mostrar els actius segons la seva categoria
  • Descobriment: permet filtrar els actius que pertanyen a un descobriment
  • Estat de planificació de l’anàlisi: permet mostrar els actius segons el seu estat de planificació de l’anàlisi (anàlisi planificada / anàlisi no planificada)
  • Mode d’escaneig: permet mostrar els actius segons el seu mode d’escaneig o connector
  • Estat de comunicació: permet mostrar els actius segons el seu estat de comunicació amb Cyberwatch (pèrdua de comunicació / comunicants)
  • Problema de seguretat: permet mostrar els actius afectats per un problema de seguretat
  • Exploit públic:Disponible: permet mostrar els actius que tenen almenys una CVE amb un exploit públic disponible
  • Política d’anàlisi: permet mostrar els actius segons la política d’anàlisi que tenen assignada
  • CVE: permet mostrar els actius en què s’ha detectat la CVE seleccionada
  • Estat de les vulnerabilitats: permet mostrar els actius en funció de la presència de vulnerabilitats (vulnerabilitats presents / vulnerabilitats prioritàries / sense CVE detectades)
  • Marc de conformitat: permet mostrar els actius segons els marcs de conformitat que tenen assignats
  • Nom de la regla: permet mostrar els actius en què s’ha verificat la regla de conformitat seleccionada pel seu nom
  • Referència de la regla: permet mostrar els actius en què s’ha verificat la regla de conformitat seleccionada per la seva referència
  • Aplicació:nom[:versió]: permet mostrar els actius en funció del nom i de la versió d’una aplicació detectada a l’actiu (el camp versió és opcional)
  • Port: permet mostrar els actius en funció dels ports oberts detectats pels escanejos
  • Metadada:clau[:valor]: permet mostrar els actius en funció de la clau i del valor d’una metadada detectada a l’actiu (el camp valor és opcional)
  • Servei:nom:estat: permet mostrar els actius en funció del nom dels serveis detectats i del seu estat (el camp estat és opcional)
  • Adreça: permet mostrar els actius en funció de les seves adreces de xarxa (cal una adreça IP completa; no es pot cercar per interval d’IP)
  • Sistema operatiu: permet mostrar els actius en funció del seu sistema operatiu
  • Política de desplegament: permet mostrar els actius en funció de la política de desplegament que tenen assignada
  • Política de reinici: permet mostrar els actius en funció de la política de reinici que tenen assignada
  • Exclusió automàtica: permet mostrar els actius en funció de la política d’exclusió automàtica que tenen assignada
  • Estat dels pedaços: permet mostrar els actius en funció de l’estat de planificació dels seus pedaços (pedaços planificats / pedaços no planificats)
  • Estat de reinici: permet mostrar els actius en funció de si s’han de reiniciar o no (reinici necessari / reinici no necessari)

A continuació teniu les paraules clau que s’han utilitzat històricament i que encara es mantenen en la data de redacció d’aquesta documentació:

  • target_package:nom:version: permet mostrar els actius en funció del nom i de la versió d’un pedaç que cal instal·lar

Aquestes paraules clau s’han d’escriure senceres a la barra de cerca; no s’ofereix cap autocompleció.

Cercar des de la pàgina d’un actiu

Cercar vulnerabilitats

Des de la pestanya Vulnerabilitats de la fitxa d’un actiu, una cerca sense paraula clau filtra els resultats en funció del codi de la CVE.

La paraula clau techno permet filtrar les vulnerabilitats que afecten la mateixa tecnologia.

Per anar directament a la CVE-2019-1365, escriviu a la barra de cerca:

CVE-2019-1365

Per visualitzar la llista de les CVE el codi de les quals conté «2019» i el títol del pedaç de les quals conté el terme «forticlient», escriviu a la barra de cerca:

2019 techno:forticlient

Cercar una aplicació

Aquesta cerca es fa des de la pestanya «Tecnologies» de la fitxa d’un actiu.

Per visualitzar la llista de totes les aplicacions java, escriviu a la barra de cerca:

java

Cercar pedaços

Aquesta cerca es fa des de la pestanya «Gestió de pedaços» de la fitxa d’un actiu.

Una cerca sense paraula clau filtra els resultats en funció del nom de la tecnologia corregida.

La paraula clau cve permet filtrar els pedaços en funció d’una CVE que corregeixen.

Per trobar els pedaços de la CVE 2019-1365, que s’aplica a la tecnologia «libsqlite», escriviu a la barra de cerca:

libsqlite cve:2019-1365

Cercar metadades

Aquesta cerca es fa des de la pestanya «Metadades» de la fitxa d’un actiu.

Una cerca sense paraula clau filtra els resultats en funció de la clau de la metadada.

La paraula clau «valor» permet filtrar els resultats en funció del valor de la metadada cercada.

Per exemple, per cercar una versió específica de la BIOS, escriviu a la barra de cerca:

bios-version valor:6

Cercar serveis

Aquesta cerca es fa des de la pestanya «Serveis» de la fitxa d’un actiu.

Una cerca sense paraula clau filtra els resultats en funció del nom del servei.

La paraula clau «estat» permet filtrar els resultats en funció del tipus d’inici dels serveis.

Per exemple, per cercar el servei de l’agent de Cyberwatch amb un tipus d’inici automàtic, escriviu a la barra de cerca:

CyberwatchService estat:auto

Cercar vulnerabilitats a l’enciclopèdia

Les cerques des de l’enciclopèdia de vulnerabilitats funcionen de la mateixa manera que a l’Inventari.

Una cerca sense paraula clau filtra els resultats en funció del nom de la CVE.

A continuació teniu totes les paraules clau disponibles que s’ofereixen amb autocompleció:

  • Gravetat: permet filtrar les vulnerabilitats en funció de la seva gravetat
  • Nivell dels exploits: permet filtrar les vulnerabilitats
  • Vector d’atac: permet filtrar les vulnerabilitats segons els seus vectors d’atac (Físic / Local / Xarxa adjacent / Xarxa)
  • Estat: permet filtrar segons l’estat de presència de les vulnerabilitats als actius (Vulnerabilitats presents / Vulnerabilitats prioritàries)
  • Actiu: permet filtrar les vulnerabilitats en funció del nom d’un actiu que afecten
  • CVE: permet filtrar les vulnerabilitats en funció del seu codi CVE
  • CWE: permet filtrar les CVE relacionades amb una CWE
  • Grup: permet filtrar les vulnerabilitats detectades com a presents als actius del grup especificat (cal utilitzar-lo amb el filtre Estat:Vulnerabilitats presents)
  • Tecnologia: permet filtrar les vulnerabilitats en funció de les tecnologies o de les tecnologies per proveïdor afectades
  • Tècnica d’atac: permet filtrar les CVE relacionades amb una tècnica d’atac
  • Patró d’atac: permet filtrar les CVE relacionades amb un patró d’atac (CAPEC)
  • Programari d’atac: permet filtrar les CVE relacionades amb un programari d’atac
  • Referència: permet filtrar les CVE relacionades amb una referència (més detalls a la secció «Cercar per referència» d’aquesta pàgina)
  • Catàleg: permet filtrar les CVE relacionades amb un catàleg com, per exemple, el CISA KEV
  • SSVC: permet filtrar les CVE amb la decisió SSVC especificada en almenys un actiu
  • Detectades des de (N): permet filtrar les vulnerabilitats detectades en els últims N dies
  • Detectades fins a (N): permet filtrar les vulnerabilitats detectades abans dels últims N dies
  • Fins a (N): permet filtrar les vulnerabilitats publicades fins a un cert nombre de dies enrere
  • Des de (N): permet filtrar les vulnerabilitats publicades des d’un cert nombre de dies enrere

Per mostrar la llista de les CVE que afecten els actius el nom dels quals conté «win» i que formen part del grup «production», relacionades amb l’SMB proporcionat per Microsoft i vinculades a un butlletí de seguretat el codi del qual conté «MS17-010», seleccioneu a la barra de cerca:

Tecnologia:microsoft:server_message_block Estat:Vulnerabilitats presents Actiu:win Grup:production Referència:MS17-010

De la mateixa manera que a l’inventari, algunes paraules clau es mantenen i encara es poden utilitzar, sense autocompleció; són aquestes:

  • days_from:N: permet filtrar les vulnerabilitats que es van publicar fa menys de N dies
  • days_to:N: permet filtrar les vulnerabilitats que es van publicar fa més de N dies

Cercar per referència

El filtre Referència permet cercar CVE segons l’identificador de les alertes de seguretat o de les referències relacionades amb les vulnerabilitats.

A continuació teniu la llista dels tipus d’identificadors d’alertes de seguretat possibles.

  • ADV: per a Microsoft Security Advisory (exemple: ADV200002)
  • ALAS: per a Amazon Linux AMI Security Advisory (exemple: ALAS-2020-1376)
  • APSB: Adobe Security Bulletin (exemple: APSB20-13)
  • ASA: per a Arch Linux (exemple: ASA-202005-7)
  • CESA: per a CentOS (exemple: CESA-2020:2050)
  • CERTA: per a l’ANSSI (exemple: CERTA-2013-AVI-198)
  • CERTFR: per a l’ANSSI (exemple: CERTFR-2020-AVI-338)
  • CISCO-SA: per a Cisco Security Advisory (exemple: cisco-sa-asr920-ABjcLmef)
  • CPU: per a Critical Patch Update advisory d’Oracle (exemple: CPUApr2020_14)
  • DSA: per a Debian (exemple: DSA-4683-1)
  • DLA: per a Debian LTS (exemple: DLA-2233-1)
  • ELSA: per a Oracle (exemple: ELSA-2020-2103)
  • FG-IR: per a FortiGuard (exemple: FG-IR-18-230)
  • GPCON: per a Cisco (exemple: GPCON-551)
  • HT: per a Apple (exemple: HT211168)
  • HUAWEI-SA: per a Huawei (exemple: huawei-sa-20200415-01-oob)
  • ICSMA: per a CISA ICS (exemple: icsma-22-277-01)
  • MAU: per a Microsoft Auto Update (exemple: MAU)
  • MFSA: per a Mozilla (exemple: MFSA2020-15)
  • MS: per a Microsoft (exemple: MS16-148)
  • PAN: per a Cisco (exemple: PAN-100415)
  • PAN-SA: per a Palo Alto Network Security Advisories (exemple: PAN-SA-2019-0038)
  • PHSA: per a Photon OS (exemple: PHSA-2020-3.0-0089)
  • RHSA: per a Red Hat (exemple: RHSA-2020:2291)
  • SEVD: per a Schneider Electric (exemple: SEVD-2021-222-01)
  • SSA: per a Siemens (exemple: SSA-997732)
  • SUSE-SU: per a Suse Security Update (exemple: SUSE-SU-2020:1289)
  • USN: per a Ubuntu (exemple: USN-4371-1)
  • VDE: per a VDE (exemple: VDE-2021-001)
  • VMSA: per a VMware (exemple: VMSA-2020-0011_CVE-2020-3957)
  • VU#: per a Carnegie Mellon University (exemple: VU#914124)
  • ZDI: per a Zero Day Initiative Advisory Details (exemple: ZDI-20-675)

Per llistar totes les vulnerabilitats esmentades en butlletins de seguretat publicats per Arch Linux, seleccioneu a la barra de cerca:

Referència:ASA

Filtrar els actius associats des de la fitxa d’una vulnerabilitat

Aquestes cerques es fan sobre els actius presents a la secció Actius associats de la fitxa d’una vulnerabilitat.

Una cerca sense paraula clau permet filtrar els actius pel seu nom.

Feu clic a «Enciclopèdia de vulnerabilitats» i, a continuació, al codi d’una CVE.

La paraula clau grup permet filtrar els actius en funció del nom del grup especificat.

Per visualitzar la llista de tots els actius el nom dels quals conté la paraula «srv_prd», escriviu a la barra de cerca:

srv_prd

Cercar des de la llista de problemes de seguretat

Des de la llista de problemes de seguretat, una cerca sense paraula clau mostra els problemes de seguretat la fitxa dels quals conté la cadena cercada.

De la mateixa manera que a l’enciclopèdia de vulnerabilitats, la barra de cerca ofereix paraules clau amb autocompleció:

  • Gravetat: permet filtrar els problemes de seguretat en funció de la seva puntuació de gravetat
  • Estat: permet mostrar només els problemes de seguretat presents
  • CVE: permet mostrar els problemes de seguretat relacionats amb una CVE
  • Tecnologia: permet mostrar els problemes de seguretat relacionats amb una tecnologia
  • Grup: permet filtrar els problemes de seguretat presents als actius que pertanyen al grup especificat
  • Referència de la regla: permet filtrar els problemes de seguretat per la seva referència, que és un camp únic que permet identificar un problema de seguretat
  • Des de (dies enrere): permet filtrar els problemes de seguretat publicats des d’un cert nombre de dies enrere
  • Fins a (dies enrere): permet filtrar els problemes de seguretat publicats fins a un cert nombre de dies enrere

Per mostrar la llista dels problemes de seguretat el títol dels quals conté «POODLE», associats a la vulnerabilitat «CVE-2014-3566», als actius que formen part del grup «production» i en què una de les tecnologies afectades per les CVE associades és «netbsd», seleccioneu a la barra de cerca:

POODLE CVE:CVE-2014-3566 Grup:production Tecnologia:netbsd

Ancoratge de les cerques

Normalment, les cerques són infixes per defecte: se seleccionen totes les entrades que contenen els termes de cerca. Podeu restringir la coincidència amb ancoratges:

  • Un terme que comença per ^ es converteix en una cerca de prefix: només es conserven les entrades que comencen pel valor cercat. Per exemple, Aplicació:^apache només conserva les aplicacions el nom de les quals comença per «apache».
  • Un terme que acaba en $ es converteix en una cerca de sufix: només es conserven les entrades que acaben en el valor cercat. Per exemple, Aplicació:gcc$ només conserva les aplicacions el nom de les quals acaba en «gcc».
  • Si es combinen els dos ancoratges (^valor$), s’obté una cerca exacta: només es conserven les entrades que corresponen exactament al valor, sense tenir en compte les majúscules i minúscules ni els accents.

Quan un terme conté un separador com : que delimita diverses parts, els ancoratges s’apliquen a cada part individualment. Per exemple, Aplicació:gcc$:15 cerca les aplicacions el nom de les quals acaba en «gcc» i la versió de les quals comença per «15». Cal tenir en compte que la cerca de versió és de prefix per defecte.

Índex