Datos declarativos

Los datos declarativos permiten declarar explícitamente información relacionada con un activo.

Sirven para crear un activo air gap o para modificar la información de un activo ya presente en Cyberwatch para adaptar los resultados de los análisis.

La información a completar debe respetar la sintaxis descrita a continuación.

Modificar los datos declarativos de un activo

  1. Hacer clic en Inventario
  2. Seleccionar un activo
  3. Desde la página dedicada al activo correspondiente, pestaña «Análisis», hacer clic en el botón de edición delante de «Datos declarativos»
  4. Completar la información relativa al activo, respetando la sintaxis
  5. Validar haciendo clic en el botón «Actualizar»

Sintaxis del lenguaje

Cada propiedad del lenguaje está compuesta por un par clave/valor, cuya sintaxis es:

KEY:value

Precisiones sobre la sintaxis

  • Las claves están compuestas exclusivamente por letras mayúsculas y underscores (guiones bajos):

     bad_key: → error de sintaxis
 BAD-KEY: → error de sintaxis
 GOOD_KEY:

  • Las líneas que no respetan el formato clave:valor también generan errores de sintaxis

    Cabe señalar que los errores de sintaxis nunca son fatales, simplemente la propiedad no será tenida en cuenta en el análisis.

  • Los comentarios comienzan al inicio de la línea con el carácter #, y se extienden a toda la línea. Como los valores pueden contener el carácter #, no es posible comentar solo una parte de la línea

  • Se aceptan valores en varias líneas para ciertas propiedades. Deben tener una indentación mayor que la propiedad que los define:

     KEY:start
    ...
    end

Prohibicion de un valor

Puede prohibir un valor para que no sea tenido en cuenta por Cyberwatch, anteponiendo a la sintaxis anterior un guion:

-KEY1:value1

Todas las ocurrencias de KEY1:value1 que sigan a -KEY1:value1 serán ignoradas.

El guion debe ir seguido de la línea exacta reportada durante el análisis.

Tipos de propiedades

Existen dos tipos de propiedades:

  • Las propiedades simples que solo pueden ser definidas una vez y solo aceptan un único valor. Si la propiedad se redefine, el segundo valor se ignora:

     HOSTNAME:server-1
 HOSTNAME:server-2 → ignorada

  • Las propiedades múltiples que pueden ser completadas varias veces en el script. Permiten construir una lista de elementos:

     # Añade 2 paquetes:
 PACKAGE:coreutils|8.32-1
 PACKAGE:bash|5.1.004-1

Tenga en cuenta que al modificar la información de un activo, las propiedades simples pueden ser reescritas directamente. Así reemplazarán la información reportada durante los análisis:

   HOSTNAME:server-1 → reemplaza el valor reportado

Por el contrario, las propiedades múltiples no pueden ser reescritas directamente. Para que un valor reportado durante los análisis sea reemplazado, debe prohibirse y añadir una propiedad con el nuevo valor.

Ejemplo de caso de uso:

   # Reemplazar la versión de un paquete
   -PACKAGE:coreutils|8.31
   PACKAGE:coreutils|8.32

Lista de propiedades principales

Información del sistema

KEYImpactoEjemplo KEY:valueSimple/Múltiple
HOSTNAMEDefine el nombre del activoHOSTNAME:serverSimple
KERNEL_VERSIONDefine la versión del núcleo del SOKERNEL_VERSION:5.4.0-42-genericSimple
OS_NAMEDefine el nombre del sistema operativo del activoOS_NAME:UbuntuSimple
OS_VERSIONDefine la versión del sistema operativoOS_VERSION:20.04.1 LTSSimple
OS_PRETTYNAMEDefine el sistema operativo y su versiónOS_PRETTYNAME:Ubuntu 20.04.1 LTSSimple
ARCHDefine la arquitectura bajo la que se ejecuta el activoARCH:x86_64Simple

Estado del sistema

KEYImpactoEjemplo KEY:valueSimple/Múltiple
REBOOTPermite la definición del estado en Reinicio necesarioREBOOT:falseSimple
BOOT_TIMEDefine la hora y fecha de arranqueBOOT_TIME:2021-03-18T07:38:59+0000Simple

Servicios

KEYImpactoEjemplo KEY:valueSimple/Múltiple
SERVICEAñade una línea en la pestaña ServiciosSERVICE:ssh|enabledMúltiple

Paquetes/aplicaciones instalados

KEYImpactoEjemplo KEY:valueSimple/Múltiple
PACKAGEAñade un paquete a las tecnologías del activoPACKAGE:firefox|80.0.1+build1-0ubuntu0.20.04.1Múltiple
APPLICATIONAñade una aplicación a las tecnologías del activoAPPLICATION:Microsoft Office 365 ProPlus - en-us|16.0.11328.20512Múltiple
NVD_APPLICATIONAñade una aplicación de terceros a partir de un CPE conocido de la base NVDNVD_APPLICATION:cpe:/a:elastic:kibana:7.0.0Múltiple
METAAñade una línea a la pestaña MetadatosMETA:processor-version|Intel(R) Core(TM) i7-10700 CPU @ 2.90GHzMúltiple

Información de red

KEYImpactoEjemplo KEY:valueSimple/Múltiple
IPDefine las direcciones IP del activo con o sin máscara de subredIP:127.0.0.1 o IP:127.0.0.1/8 o IP:127.0.0.1/255.0.0.0Múltiple
TCPAñade un puerto TCP a la pestaña PuertosTCP:22 o TCP:22|opensshMúltiple
UDPAñade un puerto UDP a la pestaña PuertosUDP:53Múltiple

Propiedades especificas de Windows

KEYImpactoEjemplo KEY:valueSimple/Múltiple
OS_BUILDDefine el build de WindowsOS_BUILD:17763.1158Simple
WUAVERSIONDefine la versión del Windows Update AgentWUAVERSION:10.0.17763.1Simple
CAB_FILENAMEDefine el nombre del archivo oficial de Microsoft utilizado para este análisisCAB_FILENAME:dcdb9e78484667695627acea9213897eaf.cabSimple

Equipos moviles

KEYImpactoEjemplo KEY:valueSimple/Múltiple
FIRMWAREEspecifica el código CPE del firmware de un equipo móvilFIRMWARE:cpe:/o:google:android:2022-08-15
FIRMWARE:cpe:/o:apple:iphone_os:14.3		Múltiple

Propiedades especificas de SAP

KEYImpactoEjemplo KEY:valueSimple/Múltiple
SAP_NOTEAñade una nota SAP al activoSAP_NOTE:3119365Múltiple

Defectos de seguridad

KEYImpactoEjemplo KEY:valueSimple/Múltiple
SECURITY_ISSUEAñade una línea en la pestaña Defectos de seguridadSECURITY_ISSUE:
   sid: WSTG-CRYP-04 (low)
   cipher: TLS_RSA_WITH_AES_128_CBC_SHA
   grade: A
   port: 443		Múltiple
sidEspecifica la referencia del defecto de seguridad asociadoSECURITY_ISSUE:
   sid: WSTG-ATHN-02		Simple
cipherDefine el cifrado no conformeSECURITY_ISSUE:
   sid: WSTG-CRYP-04 (low)
   cipher: TLS_RSA_WITH_AES_256_CBC_SHA		Simple
portDetalla el puerto asociado al defecto de seguridadSECURITY_ISSUE:
   sid: WSTG-CRYP-04 (low)
   port: 443		Simple
infoEspecifica información complementariaSECURITY_ISSUE:
   sid: WSTG-CONF-07
   path: "/login.php"
   method: GET
   info: HttpOnly flag is not set in the cookie : language 		Simple
methodEspecifica el método de petición HTTPSECURITY_ISSUE:
   sid: WSTG-CONF-07
   path: "/login.php"
   method: GET 		Simple
pathEspecifica la ruta de accesoSECURITY_ISSUE:
   sid: WSTG-CONF-07
   path: "/login.php"		Simple
parameterDefine el parámetro vulnerableSECURITY_ISSUE:
   sid: WSTG-INPV-01
   info: XSS vulnerability found via injection in the parameter id
   parameter: id		Simple
http_requestEspecifica la petición HTTP asociadaSECURITY_ISSUE:
   sid: WSTG-INPV-01
   path: "/login.php"
   parameter: id
   http_request: |−
      GET /login.php HTTP/1.1
      host: website.test 		Simple
curl_commandInforma del comando curl equivalenteSECURITY_ISSUE:
   sid: WSTG-CONF-07
   curl_command: curl "<https://website.test/login.php>" 		Simple
descriptionDescripción del defecto de seguridadSECURITY_ISSUE:
   sid: WSTG-CONF-07
   description: HTTP Strict Transport Security		Simple
protocolDefine el protocolo no conformeSECURITY_ISSUE:
   sid: Telnet-port
   protocol: TCP		Simple

Equipos de red

KEYImpactoEjemplo KEY:valueSimple/Múltiple
FIRMWAREEspecifica el código CPE del firmware de un equipoFIRMWARE:cpe:/o:stormshield:stormshield_network_security:3.8.1Múltiple
HARDWAREEspecifica el código CPE del hardware del equipoHARDWARE:cpe:2.3:h:sonicwall:nssp_15700Múltiple

Volver arriba

English Français Español