Quelles sont les métriques utilisées pour déterminer le jeu de règles par défaut pour chaque stratégie Firepower Intrusion Base ?

Introduction

Cisco Talos publie les mises à jour des règles Snort (SRU) pour répondre aux dernières menaces et vulnérabilités. Une nouvelle version SRU peut contenir des ensembles de règles mis à jour pour chaque stratégie de base. Ce document explique le processus utilisé par les Talos pour décider comment les règles sont affectées à chaque stratégie de base d'intrusion pour les périphériques Firepower.

Intention de stratégie de base Talos définie dans les métadonnées de règle

Les stratégies de base sont gérées par des métadonnées au sein des unités de gestion des ressources (SRU) elles-mêmes. L'état de n'importe quelle règle d'attribution dans l'une des stratégies par défaut est défini dans la partie métadonnées du corps de la règle. Exemple :

alert tcp $HOME_NET any -> $EXTERNAL_NET any (msg:"MALWARE-CNC 1.php outbound connection attempt"; sid:38753; gid:3; rev:1; classtype:trojan-activity; metadata:engine shared, soid 3|38753, policy balanced-ips drop, policy security-ips drop, impact_flag red; )

Notez que dans l'exemple de règle ci-dessus, la section des métadonnées contient policy balance-ips drop, policy security-ips drop.Cela indique que cette règle 1:38753 est activée et définie pour tomber dans la stratégie de sécurité et de connectivité équilibrée ainsi que la stratégie de sécurité sur connectivité.

Mesures utilisées pour déterminer le jeu de règles par défaut

• La mesure principale utilisée est le score CVSS (Common Vulnerability Scoring System) attribué à chaque vulnérabilité qui pourrait être couverte par une règle.
• La deuxième mesure est basée sur le temps et concerne l'âge d'une vulnérabilité particulière.
• La métrique finale correspond à la zone de couverture particulière de la règle. Ainsi, par exemple, les règles d'injection SQL sont considérées comme suffisamment importantes pour avoir une influence lors de leur inclusion dans les politiques.

Note: Les vulnérabilités couvertes par les règles de ces catégories sont considérées comme importantes, quel que soit leur âge. 

Connectivité sur stratégie de base de sécurité

Note: La stratégie de connectivité est spécifiquement conçue pour favoriser les performances des périphériques par rapport aux contrôles de sécurité de la stratégie. Il doit permettre à un client de déployer l'un de nos périphériques avec un minimum de faux positifs et des performances complètes dans la plupart des déploiements réseau. En outre, cette stratégie doit détecter les menaces les plus courantes et les plus répandues que nos clients rencontreront.

1. Le score CVSS doit être égal à 10

2. La vulnérabilité vient des deux dernières années (inclusivement).  Exemple : 

• Année en cours (2019, par exemple)
• L'année dernière (2018 dans cet exemple)
• Année précédente (2017 dans cet exemple)

3. Catégorie de règle

• Non utilisé pour cette stratégie

Stratégie de base équilibrée

Note: La stratégie équilibrée est la stratégie par défaut recommandée pour les déploiements initiaux. Cette politique tente d'équilibrer les besoins de sécurité et les caractéristiques de performance de nos systèmes. Les clients doivent pouvoir commencer avec cette politique et obtenir un très bon taux de blocage avec les outils d'évaluation publics, et un taux de performance relativement élevé avec les outils d'évaluation et de test. En outre, cette stratégie doit fonctionner à 80 % de la capacité nominale du périphérique dans des conditions normales de mise en réseau sauvages. La principale chose à garder à l'esprit avec la politique d'équilibre est que c'est le point de départ des clients, s'ils ont une mauvaise expérience avec des faux positifs, une détection limitée ou des performances médiocres, la plupart des clients étudieront d'autres périphériques à déployer dans leur infrastructure. Il s'agit de l'état d'expédition par défaut du jeu de règles Snort Subscriber Set pour Open-Source Snort vendu sur Snort.org.

1. Score CVSS 9 ou supérieur

2. La vulnérabilité vient des deux dernières années (inclusivement).  Exemple : 

• Année en cours (2019, par exemple)
• L'année dernière (2018 dans cet exemple)
• Année précédente (2017 dans cet exemple)

3. Catégorie de règle

• Malware-CnC
• Liste noire
• Injection SQL
• kit d'exploits

4. Si la règle figure dans la stratégie de connectivité

Stratégie de base de sécurité sur connectivité

Note: La politique de sécurité est conçue pour le petit segment de notre clientèle qui se préoccupe exceptionnellement de la sécurité de l'entreprise. Les clients déploient cette stratégie dans des réseaux protégés, qui ont des besoins en bande passante plus faibles, mais des exigences de sécurité beaucoup plus élevées. En outre, les clients se soucient moins des faux positifs et des signatures bruyantes. Le contrôle des applications et l'utilisation verrouillée du réseau sont également des préoccupations pour les clients qui déploient cette stratégie. Il doit fournir une protection maximale et un contrôle des applications, mais ne doit pas interrompre le réseau.

1. Score CVSS 8 ou supérieur

2. La vulnérabilité provient des trois dernières années (inclusivement).  Exemple :

• Année en cours (2019, par exemple)
• L'année dernière (2018 dans cet exemple)
• Année précédente (2017 dans cet exemple)
• Année précédente (2016 dans cet exemple)

3. Catégorie de règle

• Malware-CnC
• Liste noire
• Injection SQL
• kit d'exploits

4. Si la règle figure dans la stratégie Équilibre et connectivité

Stratégie de base Max-Detect (Maximum Detection) :

Note: Le jeu de règles Maximum Detection est destiné à être utilisé dans les environnements de test et n'est donc pas optimisé pour les performances. Faux On tolère et/ou on s'attend à ce que bon nombre des règles de cette politique soient positives et les enquêtes du FP ne seront normalement pas menées.

1. La couverture est requise pour les essais sur le terrain.

2. Inclut des règles dans les ensembles de règles Sécurité, Équilibré et Connectivité.

3. Inclut toutes les règles actives au-dessus de Sid : 10000, sauf indication contraire.

Fréquence des mises à jour de stratégie

Toutes les nouvelles règles sont placées dans les politiques en fonction de ces critères. Chaque année, les politiques seront réévaluées et les règles des années précédentes, à mesure que les vulnérabilités vieillissent, seront supprimées de la politique pour maintenir la politique conforme à nos critères de sélection temporelle.

Si le score CVSS change pour une vulnérabilité particulière couverte par une règle, sa présence dans une stratégie basée sur la métrique CVSS est réévaluée.

Les politiques ne cessent de croître. En dehors d'un rééquilibrage majeur pour les aligner sur un objectif spécifique, des baisses majeures des règles des politiques ne se produisent pas toujours si nous sommes satisfaits du nombre de règles et de la performance de la politique sur le produit

Note: Les politiques de base peuvent s'étendre en dehors du rééquilibrage annuel majeur pour les aligner sur un objectif spécifique. Des baisses majeures des règles des politiques ne se produisent pas toujours si Talos est satisfait du nombre de règles et des performances de la politique sur le produit dans des conditions normales de réseau. Les règles des stratégies répertoriées sont évaluées en fonction des règles. Il y aura des règles plus anciennes et non dans les critères ci-dessus qui seront dans les stratégies par défaut. Les critères ci-dessus sont les critères de sélection des règles par défaut et sont toujours sujets à des modifications en fonction du paysage des menaces.

Remarque : les règles des stratégies répertoriées sont évaluées en fonction d'une règle par règle. Il y aura des règles plus anciennes et non dans les critères ci-dessus qui seront dans les stratégies par défaut. Les critères ci-dessus sont les critères de sélection des règles par défaut et sont toujours sujets à modification en fonction du paysage des menaces