Огляд
Інтеграція Datadog працює у двох напрямках. Виявлення Datadog може призначити вправу RansomLeak причетним людям, тож реакція включає навчання. А події навчання та людського ризику надходять у Datadog, тож дані обізнаності лежать поруч із сигналами, які ви вже відстежуєте.
Дві половини незалежні. Запускайте будь-яку окремо або обидві разом:
- Виявлення призначає урок через дію Workflow
- Події навчання надходять як логи й метрики
- Провали як події високого сигналу, плюс щогодинні показники ризику
- Навчання призначається протягом приблизно хвилини
Від виявлення до навчання
Коли виявлення спрацьовує на ризиковій активності користувача, дія Datadog Workflow викликає RansomLeak і призначає відповідну вправу причетній людині. Воно використовує assignment API, тож пасує до правил виявлення та плейбуків, які ви вже підтримуєте. Жоден агент на вашому боці не робить роботу; навчання — це наступний крок у робочому процесі.
-
У RansomLeak відкрийте Admin → Integrations і згенеруйте API-токен для assignment API.
-
У Datadog додайте Workflow Automation із HTTP-дією Send POST request, що викликає ендпоінт призначення RansomLeak із токеном у заголовку Bearer.
-
Зіставте тіло запиту із сигналом: вправу для призначення й пошту причетного користувача. RansomLeak визначає людину й призначає модуль протягом приблизно хвилини.
Той самий ендпоінт призначення живить наші інтеграції зі службою підтримки та SOAR, тож виявлення Datadog, тикет Jira або плейбук SOAR можуть завершуватися однаково: коротким уроком для причетної людини й проходженням, на яке можна зреагувати.
Потік подій навчання в Datadog
Встановіть інтеграцію RansomLeak у Datadog і один раз надайте доступ. RansomLeak створює один API key у вашій організації Datadog і використовує його лише для надсилання даних про навчання та людський ризик — як логи, метрики й події, позначені тенантом.
-
У Datadog відкрийте Integrations, знайдіть RansomLeak і натисніть Connect Accounts. Введіть свій піддомен RansomLeak і увійдіть.
-
Надайте доступ у Datadog. Ви повернетеся на Admin → Integrations → Datadog у RansomLeak зі статусом Connected.
-
Відкрийте дашборд RansomLeak Overview у Datadog. Щогодинні метрики надходять одразу, логи — коли люди проходять навчання.
Почати можна й у RansomLeak: оберіть сайт Datadog і натисніть Під'єднати через Datadog. Якщо не хочете використовувати OAuth, натисніть Використати API-ключ і вставте API key Datadog.
| Дані | Як надходять |
|---|---|
| Навчання завершено | Лог і метрика-лічильник, одразу. |
| Навчання провалено | Лог, метрика-лічильник і подія високого сигналу для алертів. |
| Навчальний шлях завершено | Лог, метрика-лічильник і подія. |
| Записи на навчання, рівень завершення, прострочене навчання, ризик команд | Щогодинні метрики ransomleak.* для дашборду й моніторів. |
Як це поєднується
Два напрямки замикають цикл. Виявлення в Datadog може запустити навчання, а результат цього навчання надходить назад у Datadog як дані, які ви можете відстежувати й на які можна налаштувати алерт.
- Виявлення спрацьовує на названому користувачі
- Урок призначається цьому користувачу
- Проходження надходить назад у Datadog
Події навчання та людського ризику також досягають будь-якого SIEM через той самий експорт і вебхуки, тож дані обізнаності не привʼязані до Datadog. Перегляньте огляд інтеграцій для повного переліку напрямків.
Дозволи та обробка даних
Потік подій просить у Datadog один дозвіл: створити API key у вашій організації. RansomLeak зберігає цей ключ зашифрованим і використовує лише для надсилання даних. Цикл «виявлення в навчання» використовує API-токен RansomLeak, який тримає ваш Workflow.
- API keys і токени зашифровані
- Лише ID користувачів і результати — без імен, пошти й вмісту навчання
- Видалення чи відключення зупиняє потік
Відключення в RansomLeak відкликає наш доступ. Datadog не дозволяє інтеграціям видаляти власний ключ, тож після цього відкличте ключ RansomLeak в Organization Settings → API Keys. Видалення плитки в Datadog також відкликає доступ. Про те, як RansomLeak обробляє дані, читайте в політиці конфіденційності та на сторінці безпеки й відповідності.
Поширені запитання
Чи інтегрується RansomLeak із Datadog?
Так, в обидва боки. Виявлення Datadog може призначити вправу RansomLeak причетним людям через дію Workflow, а події навчання та людського ризику надходять у Datadog, тож вони лежать у дашбордах і моніторах, які ваш SOC уже відстежує.
Як виявлення Datadog призначає навчання?
Ви додаєте Datadog Workflow Automation із HTTP-дією Send POST request, що викликає assignment API RansomLeak з API-токеном. Дія передає вправу й користувача за поштою із сигналу, і RansomLeak призначає відповідний модуль протягом приблизно хвилини. Ви будуєте це на правилах виявлення та плейбуках, які вже використовуєте.
Які дані навчання надходять у Datadog?
Кожна завершена чи провалена вправа надходить як лог (source:ransomleak) і метрика-лічильник, провали й завершені навчальні шляхи — також як події, а щогодини RansomLeak надсилає записи на навчання за статусом, рівень завершення, користувачів із простроченим навчанням і Human Risk Score за командами. Дашборд RansomLeak Overview і монітори входять до інтеграції.
Що потрібно, щоб це налаштувати?
Для потоку подій — встановіть плитку RansomLeak у Datadog і надайте доступ (або вставте API key Datadog). Для циклу «виявлення в навчання» — API-токен RansomLeak, який ваша дія Datadog Workflow використовує для виклику assignment API. Ці два незалежні, тож можна запустити будь-який або обидва.
Чи записується проходження назад у Datadog?
Події навчання та людського ризику надходять у Datadog безперервно, тож проходження зʼявляється там само собою. Якщо ваш Workflow передає колбек, RansomLeak також надсилає результат назад, коли вправу завершено, щоб плейбук міг на нього зреагувати.
Чи цикл «виявлення в навчання» — це функція в один клік?
Ні, і це навмисно. Вихідний потік подій — це підключення в один клік із плитки Datadog. Цикл «виявлення в навчання» — це Datadog Workflow, який ви налаштовуєте проти assignment API RansomLeak, той самий відкритий ендпоінт, що використовують наші інтеграції зі службою підтримки та SOAR, тож він пасує до плейбуків, які ви вже підтримуєте.
Потрібна допомога?
Напишіть нам на support@ransomleak.com — і ми допоможемо підключити Datadog до вашого тенанта.