Bits Security Analyst

Esta traducción no está actualizada. Para consultar la última versión en inglés, haz clic aquí
Este producto no es compatible con el sitio Datadog seleccionado. ().

Descripción general

Bits Security Analyst es un agente de IA autónomo que investiga señales de Cloud SIEM de principio a fin. Consulta señales y registros de seguridad, y utiliza razonamiento basado en datos para ayudar a los ingenieros de seguridad a investigar alertas de amenazas y hacer una recomendación sobre el veredicto de cada señal de alerta. Al reducir el esfuerzo manual y la fatiga del analista, Bits Security Analyst hace que las operaciones de seguridad sean más fluidas y eficientes.

Capacidades clave

Las investigaciones de Bits Security Analyst son autónomas. Si una regla de detección está habilitada, Bits AI investiga de forma autónoma las señales asociadas a ella.

En el Cloud SIEM Signals Explorer, puede hacer clic en la pestaña Bits Security Analyst para mostrar solo las señales que Bits AI investigó. En la columna Severity, un estado de Bits AI aparece como Investigating, hasta que marca la señal como Benign o Suspicious.

El explorador de señales de Cloud SIEM, en la pestaña Bits Security Analyst

Cuando hace clic en una fila con una investigación de Bits AI, se abre el panel lateral Bits AI Investigation:

Ejemplo de detección de Bits Security Analyst, titulada 'Okta phishing detection with FastPass origin verificación'.

En el panel lateral, puede ver los hallazgos de investigación de Bits AI, que incluyen:

  • Conclusión general
  • Evidencia clave utilizada para llegar a esa conclusión
  • Siguientes pasos sugeridos para remediar el problema o suprimir reglas de detección con atributos específicos
  • Pasos de investigación que muestran las consultas de datos de Bits AI, incluidos resultados integrados y enlaces a consultas completas
  • Análisis de cada paso de la investigación

También puede realizar pasos adicionales directamente desde el panel lateral:

  • Crear un elemento de trabajo con resultados de investigación de Bits AI precargados
  • Ejecutar un flujo de trabajo con un plano de SOAR
  • Declarar un incidente
  • Agregar una supresión de regla
  • Archivar la señal o visualizar la señal con la interfaz habitual de Cloud SIEM
  • Dar retroalimentación a Bits AI sobre su análisis

Además, cuando utiliza las notificaciones de Cloud SIEM para enviar nuevas alertas de señales a Slack o Jira, Bits AI actualiza automáticamente esas notificaciones. Incluye respuestas que muestran la conclusión de la investigación de Bits AI, con un enlace a la investigación completa.

Fuentes admitidas

Bits AI puede ejecutar investigaciones en las siguientes fuentes de registro de Security:

  • Amazon GuardDuty, donde los tipos de hallazgos admitidos cubren:
    • Credenciales de IAM anómalas y comprometidas
    • Exfiltración y uso indebido de credenciales de EC2 y recursos
    • Cambios en el registro de Bedrock, invocación anómala de modelos, recopilación de costos e inyección directa de prompts
    • secuencias de ataque a clústeres de EKS y ECS comprometidos
    • Acceso a credenciales de Kubernetes, comportamiento anómalo, ejecución, escalada de privilegios, persistencia, cambios de políticas y llamadores malintencionados
    • Comportamiento anómalo de S3, exposición de datos, llamadores malintencionados y actividad de pruebas de penetración
    • Evasión de defensa de CloudTrail o S3
    • Secuencias de ataque que correlacionan el compromiso de credenciales IAM y datos de S3
  • AWS CloudTrail
  • Azure
  • Cloudflare
  • CrowdStrike
  • GCP
  • Kubernetes
  • Microsoft Entra ID
  • Okta
  • Google Workspace
  • Microsoft 365
  • GitLab
  • GitHub
  • JumpCloud
  • Salesforce
  • Slack
  • Snowflake
  • SentinelOne
  • Windows
  • Correo electrónico de phishing

Configurar Bits Security Analyst

Requisitos previos

Para usar Bits Security Analyst:

  • Asegúrese de que su organización esté utilizando una versión no heredada de Cloud SIEM. Si necesita asistencia, comuníquese con soporte de Datadog.
  • Para configurar Bits Security Analyst, necesita el Bits Security Analyst Config Write permission.
  • Para visualizar las investigaciones, debe tener 14 días o más de historial de registros. Si tiene un historial de registros más corto, aún puede configurar Bits Security Analyst, pero no verá ninguna investigación hasta que tenga esa cantidad de historial.

Configuración

Cuando habilita Bits Security Analyst, Datadog analiza sus reglas, incluidas las reglas personalizadas, para determinar si puede investigar con confianza las señales asociadas a ellas. Para todas las reglas elegibles por encima de una gravedad media, comienza a investigar señales de forma autónoma.

La elegibilidad de las reglas depende de si Datadog ha desarrollado la capacidad de investigación para la fuente de registros y de si el Agent puede investigar la regla específica. Si tiene nuevas reglas personalizadas para evaluar o desea consultar sobre una regla que no se hizo elegible, comuníquese con soporte de Datadog.

  1. En Datadog, vaya a Security > Settings > Bits Security Analyst > Analyst Configuration.

  2. Active el interruptor para Enable Bits Security Analyst. Aparecerán configuraciones adicionales.

  3. (Opcional) Configure para qué reglas y qué niveles de gravedad desea que Bits Security Analyst investigue señales automáticamente. Hay dos formas de hacerlo:

    • Haga clic en Rule Settings para configurar las investigaciones de reglas individuales. Puede cambiar la gravedad mínima para que las señales sean investigadas y habilitar o deshabilitar reglas individuales para la investigación.
    • Haga clic en Query Filter para escribir un filtro de consulta de señales, de modo que Bits Security Analyst solo investigue las señales que coincidan con su filtro.

  4. Algunas fuentes de registro requieren credenciales para ejecutar o mejorar las investigaciones mediante el acceso a registros, telemetría u otros datos que no están en Datadog. Para agregar credenciales, haga clic en Edit credentials. En la ventana Select or Add Connection que se abre, siga las instrucciones para seleccionar una conexión existente del Catálogo de acciones o agregue una conexión. Datadog almacena y restringe de forma segura todas las credenciales mediante el Catálogo de acciones.

    Algunas fuentes de registro requieren una configuración adicional para que pueda crear conexiones HTTP. Aquí hay algunos ejemplos:

    1. En SentinelOne, asegúrese de tener permiso para crear un token de API. Cree un usuario de servicio de API de S1, luego asigne el rol Viewer a ese usuario.
    2. En Datadog, en la ventana Select or Add Connection, en el menú desplegable, seleccione New Connection, luego haga clic en el mosaico HTTP.
    3. Agregue la siguiente información:
      • En el campo Description, Datadog recomienda agregar la fecha de vencimiento de su token para que sea fácilmente accesible.
      • En el campo Base URL, ingrese la URL de su consola de administración de SentinelOne.
      • En Token Auth:
        1. Ingrese un nombre para su token en el campo Token Name y su token de API en el campo Token Value.
        2. En la pestaña Headers, bajo Request Headers, haga clic en Add a Header. Agregue los siguientes dos encabezados:
          NombreValor
          AuthorizationBearer seguido de un espacio, luego inserte el Token Name que definió
          Content-Typeapplication/json
    4. Haga clic en Next, Confirm Access para verificar su conexión.

    1. En CrowdStrike, vaya a Support and resources, luego haga clic en API clients and keys.
    2. Haga clic en Create API client.
    3. Seleccione los contextos para el cliente de API:
      • Establezca todos los contextos en Read Only, excepto NGSIEM.
      • Establezca el contexto de NGSIEM en Lectura y escritura. La consulta de NGSIEM requiere solicitudes POST, que CrowdStrike clasifica como una acción de escritura.
    4. Después de crear el cliente de API, guarde de forma segura el ID de cliente, el Secreto y la URL base. El secreto solo se muestra una vez, y la URL base debe coincidir con su región de CrowdStrike.
    5. En Datadog, en la ventana Select or Add Connection, en el menú desplegable, seleccione New Connection, luego haga clic en el mosaico HTTP.
    6. Agregue la siguiente información:
      • En el campo Base URL, ingrese su URL de administración de CrowdStrike.
      • Para Authentication Type, seleccione 2 Step Auth.
    7. En Query your access token:
      • Para Secret Type, seleccione Token Auth, luego agregue dos tokens:
        Nombre del tokenValor del token
        secretSu secreto de CrowdStrike
        clientidSu ID de cliente de CrowdStrike
      • En el campo Request URL, ingrese {your_base_url}/oauth2/token (por ejemplo, https://api.crowdstrike.com/oauth2/token).
      • En el campo Body, agregue su client_id y client_secret. El tipo de contenido debe ser application/x-www-form-urlencoded.
    8. En Get Access Token from Response:
      • Establecer Variable Path to Access Token en body.access_token.
      • Establecer Refresh Interval en 1700.
      • En Request Headers, agregue los siguientes dos encabezados:
        NombreValor
        AuthorizationBearer seguido de un espacio, luego {{accessToken}}
        Acceptapplication/json
    9. Haga clic en Next, Confirm Access para verificar su conexión.

Agregue fuentes de conocimiento

Puede proporcionar contexto adicional para Bits Security Analyst, como detalles sobre las reglas de autorización, políticas y entorno de su organización, lo que permite a Bits producir investigaciones más precisas adaptadas a las necesidades de su organización.

Para agregar conocimiento, en Datadog, vaya a Security > Settings > Bits Security Analyst > Knowledge Sources. Allí, puede agregar dos tipos de conocimiento:

  • Contexto general de la organización (Bits.md): Instrucciones a nivel de organización que Bits Security Analyst debe aplicar a todas las investigaciones.
    1. Haga clic en Editar para que el campo sea editable y pueda realizar sus cambios.
    2. Haga clic en Guardar.
  • Contexto situacional: Hechos específicos de la investigación que Bits Security Analyst debe aplicar en situaciones específicas. Puede buscar y filtrar la tabla de entradas de contexto, y elegir visualizar las entradas caducadas, para obtener una descripción general del contexto existente.
    1. Haga clic en Crear entrada de contexto. En la ventana que se abre, ingrese:
      1. Título: Un título breve para su entrada.
      2. Descripción del contexto: La información que desea que Bits Security Analyst tome en cuenta.
      3. Estado: Elija habilitar esta pieza de contexto o guardarla sin habilitarla.
      4. Fecha de vencimiento (opcional): Una fecha para que Bits Security Analyst deje de tomar en cuenta esta pieza de contexto.
    2. Haga clic en Crear entrada. La ventana se cierra y su contexto aparece en la tabla.

Recibir notificaciones de investigaciones completadas

Puede crear reglas de notificación de seguridad para recibir una notificación cuando Bits Security Analyst complete una investigación. Para hacerlo, siga las instrucciones en Crear reglas de notificaciones. Al especificar las etiquetas y atributos que deben estar presentes para que se active la regla de notificación, agregue la etiqueta @workflow.bits_investigator.state:*.

Deshabilitar Bits Security Analyst

  1. En Datadog, vaya a Security > Settings > Bits Security Analyst > Analyst Configuration.
  2. Desplácese hasta la parte inferior de la página. En Disable Bits Security Analyst, desactive el interruptorEnabled.
    Deshabilitar Bits Security Analyst restablece permanentemente todos los ajustes de configuración.

Lecturas adicionales

Documentación, enlaces y artículos útiles adicionales:

Automatice las investigaciones de Cloud SIEM con Bits AI Security AnalystBLOG more more Novedades en Cloud SIEM: investigaciones impulsadas por IA, inteligencia de amenazas mejorada y operaciones de seguridad escalablesBLOG more more Cómo investigar el compromiso de credenciales en la nube con Bits Security AnalystBLOG more more Evalúe, optimice y asegure su pila de IA de Google Cloud con DatadogBLOG more more