Import Rules

Người dùng có thể import Detection Rules từ tệp YAML. Hệ thống kiểm tra tất cả Rule trong lượt import trước khi nhập; nếu có lỗi, không có Rule nào được import.

Các bước thực hiện

1. Tại màn hình Detections → Rule, nhấn Import Yaml. Hệ thống hiển thị popup Import Yaml.
2. Nhấn Download sample để tải tệp mẫu cấu trúc Rule.
3. Dựa theo cấu trúc trong tệp mẫu, khai báo các Rule cần import. Mỗi Rule là một tài liệu YAML riêng; nếu tệp có nhiều Rule, phân cách từng Rule bằng dòng ---.
4. Tải tệp .yaml hoặc .yml lên popup bằng cách nhấn Click to upload hoặc kéo thả tệp vào vùng tải lên.
5. Nhấn Import. Hệ thống kiểm tra các Rule trước khi import.
6. Nếu hệ thống hiển thị lỗi, chỉnh sửa tệp YAML theo thông báo lỗi rồi tải tệp lên và import lại.
7. Khi import thành công, các Rule được tạo ở trạng thái Inactive trong tab Custom.

Nguyên tắc import

• Tất cả hoặc không có gì: hệ thống kiểm tra toàn bộ Rule trước khi lưu. Nếu có một Rule không hợp lệ, không Rule nào được tạo và hệ thống liệt kê toàn bộ lỗi.
• Rule mới ở trạng thái Inactive: Sources thuộc về môi trường của bạn nên không nằm trong tệp. Cần chọn Sources rồi mới kích hoạt Rule.
• Rule thuộc về người import: mỗi Rule được tạo là Rule của người dùng, nằm trong nhóm Default, có ID mới và tác giả là người import. Số Rule import được tính vào hạn mức Rule (quota) và được kiểm tra trước khi lưu.
• Loại Rule hỗ trợ: Streaming (Sigma), Threshold Correlation và Custom Correlation. Không hỗ trợ Sequence Correlation.
• Quyền hạn: người dùng cần có quyền chỉnh sửa Rule.

Cấu trúc tệp YAML

Mỗi Rule là một tài liệu YAML riêng. Nếu tệp có nhiều Rule, phân cách bằng dòng chỉ chứa ---. Có thể trộn Streaming và Correlation Rule trong cùng một tệp, theo thứ tự bất kỳ.

# Có thể ghi chú ở bất kỳ đâu
title: Suspicious cmd execution
logsource:
  product: windows
  category: process_creation
detection:
  selection:
    process.name: cmd.exe
  condition: selection
level: high
---
title: Brute force login
detection_mode: correlation
correlation_type: threshold
# ... phần còn lại của Correlation Rule

Hệ thống cũng chấp nhận: dòng --- ở đầu hoặc cuối tệp (tài liệu rỗng được bỏ qua), tệp chỉ có một Rule và không có ---, hoặc tệp là một danh sách YAML (list) các Rule.

Loại Rule được xác định bởi detection_mode và correlation_type:

Các trường chung

Áp dụng cho mọi loại Rule.

MITRE ID phải tồn tại trong dữ liệu ATT&CK của hệ thống và thuộc đúng attack_matrix đã chọn. Ví dụ: không thể dùng technique của Enterprise với attack_matrix: mobile.

Streaming Rule (Sigma)

Streaming Rule dùng cấu trúc Sigma chuẩn. Tệp Sigma chuẩn có thể import trực tiếp, với điều kiện tên trường (field) có tồn tại trong môi trường của bạn.

Quy tắc cho detection:

• Cần ít nhất một selection có tên và một condition.
• Tên selection chỉ gồm chữ cái, chữ số và _, và phải bắt đầu bằng chữ cái hoặc _.
• Tên trường phải tồn tại trong môi trường, ví dụ process.name, host.name.
• Modifier hỗ trợ: contains, startswith, endswith, re, gt, gte, lt, lte.
• Ngày giờ có thể viết không có dấu nháy (2026-03-11 10:28:02); hệ thống giữ nguyên dưới dạng văn bản.

title: Suspicious cmd execution
version: v1.0.0
status: test
description: Detects cmd.exe started outside trusted hosts
references:
  - https://example.com/cmd
tags:
  - attack.execution
attack_matrix: enterprise
tactic_techniques:
  - tactic_id: TA0002
    technique_id: T1059.003
logsource:
  product: windows
  category: process_creation
detection_mode: streaming
detection:
  selection:
    process.name|endswith: cmd.exe
  filter:
    host.name: trusted-host
  condition: selection and not filter
falsepositives:
  - Admin scripts
level: high

Correlation Rule

Correlation Rule chạy theo lịch trên một khoảng thời gian nhìn lại (lookback). Cả hai loại Correlation dùng chung các trường sau:

Time Settings

Thời lượng gồm một số và đơn vị m (phút), h (giờ) hoặc d (ngày), ví dụ 5m, 1h, 1d.

Threshold Rule

Threshold Rule lọc sự kiện bằng detection theo kiểu Sigma, sau đó nhóm và đếm các sự kiện khớp.

Quy tắc detection của Streaming Rule cũng áp dụng cho Threshold Rule.

title: Brute force login
version: v1.0.0
sigma_status: experimental
description: Detects many failed logins from one source
attack_matrix: enterprise
tactic_techniques:
  - tactic_id: TA0006
    technique_id: T1110.001
logsource:
  product: windows
  service: security
detection_mode: correlation
correlation_type: threshold
detection:
  failed_logins:
    event.action:
      - logon-failed
      - authentication_failure
  condition: failed_logins
threshold_config:
  group_result_by:
    fields:
      - source.ip
    operator: greater_than
    value: 10
  count_unique:
    target_field: user.name
    operator: greater_than_or_equals
    value: 3
time_settings:
  frequency: 5m
  lookback_window: 15m
  suppression: 30m
falsepositives:
  - Service accounts with expired credentials
level: high

Custom Rule

Custom Rule dùng truy vấn SQL riêng thay cho logic Sigma.

• detection phải có sql_query và condition: sql_query.
• Không được khai báo threshold_config.
• Truy vấn chỉ được đọc từ bảng events. Có thể viết câu SELECT đầy đủ hoặc chỉ điều kiện WHERE.
• Chỉ chấp nhận truy vấn chỉ đọc (read-only). Truy vấn khác sẽ báo lỗi Invalid sql query.

title: Rare agent activity
version: v1.0.0
sigma_status: experimental
attack_matrix: enterprise
tactic_techniques:
  - tactic_id: TA0009
    technique_id: T1005
logsource:
  product: linux
detection_mode: correlation
correlation_type: custom
detection:
  sql_query: "select `agent.name` as agent_name, `event.id` from events where `agent.name` = 'agent-1' and `event.id` = '12345'"
  condition: sql_query
time_settings:
  frequency: 5m
  lookback_window: 15m
level: low

Các trường bị bỏ qua

Trường không nhận diện được sẽ bị bỏ qua, nên metadata Sigma chuẩn không gây lỗi. Các giá trị do hệ thống quản lý không bao giờ được đọc từ tệp.

Sau khi import

1. Chọn Sources: mở từng Rule vừa import và chọn Sources (nguồn dữ liệu) cho Rule.
2. Kích hoạt Rule: chuyển Rule sang Active từ danh sách Rule. Correlation Rule bắt đầu chạy theo lịch ngay khi được kích hoạt.

Xử lý lỗi khi import

Khi import thất bại, không Rule nào được tạo. Hệ thống liệt kê mọi lỗi kèm tên tệp, vị trí Rule trong tệp (tính từ 1) và tiêu đề Rule, ví dụ:

rules.yaml · Rule #2 · Brute force login: time_settings is required for correlation rules
other.yml: invalid YAML: yaml: line 7: did not find expected key

Export Rules

Tại màn hình Detections → Rule, người dùng có thể xuất Rule ra tệp YAML. Nút Export thay đổi theo trạng thái chọn Rule:

Các bước thực hiện

1. Từ thanh menu bên trái, chọn Detections → Rule.
2. Nếu muốn xuất một số Rule cụ thể, tick checkbox tương ứng với các Rule cần xuất. Nếu không chọn Rule nào, hệ thống sẽ xuất toàn bộ Rule.
3. Nhấn nút Export. Hệ thống tải tệp YAML chứa các Rule theo phạm vi đã chọn.

Tệp xuất có thể chứa nhiều Rule YAML; mỗi Rule là một tài liệu riêng, phân cách bằng dòng ---.