Estrutura de dados de segurança (referência NRQL)

O Security RX armazena dados de vulnerabilidades e configurações incorretas no banco de dados da New Relic (NRDB), permitindo que sejam consultados usando NRQL. Este guia de referência explica os tipos de entidades, atributos e estrutura de dados que você pode usar para criar consultas, dashboards e alertas personalizados.

Tipos de entidade e evento

O Security RX utiliza os seguintes tipos de entidade e evento para armazenar dados de segurança:

Entidade SecurityFinding (Recomendado)

O SECURITY_FINDING é um tipo de entidade especializada que serve como um contêiner genérico para todos os problemas de segurança detectados pelo Security RX. Esta é a forma recomendada de consultar dados de segurança no New Relic.

Importante: SecurityFinding é consultado como um tipo de entidade, não como um evento tradicional:

FROM Entity
SELECT * WHERE type = 'SECURITY_FINDING'

Compreendendo o tipo de descoberta

O atributo findingType é o campo chave para distinguir a fonte de dados:

• findingType = 'VULNERABILITY': Indica uma descoberta de vulnerabilidades de fontes como agente APM, agente de infraestrutura ou scanners de terceiros (Snyk, Trivy, FOSSA)
• findingType = 'MISCONFIGURATION': Indica uma descoberta de gerenciamento de postura de segurança cloud (CSPM) do Security RX Cloud (por exemplo, do AWS Security Hub, GuardDuty ou Config)

Outros valores de findingType incluem: LIBRARY_VULNERABILITY, INFRASTRUCTURE_VULNERABILITY, APPLICATION_VULNERABILITY, SYSTEM_VULNERABILITY, SECURITY_EVENT e OTHER.

Campos principais da entidade

Campos de classificação

Campos de status e gravidade

Campos de referência CVE

Para informações sobre vulnerabilidades, o objeto cve contém informações detalhadas sobre CVEs:

Campos de configuração incorreta (Resultados na nuvem)

Para informações sobre erros de configuração, o objeto misconfiguration contém informações específicas da nuvem:

Campos da entidade afetados

O objeto impactedEntity identifica qual entidade do New Relic é afetada:

campos de carimbo de data/hora

interface e campos internos

exemplos de consulta para vulnerabilidades

Contabilizar vulnerabilidades críticas ativas por entidade:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND severity = 'CRITICAL'
FACET impactedEntity.name

Encontre a entidade afetada por uma CVE específica:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND cve.id = 'CVE-2024-23944'
FACET impactedEntity.name

Encontre vulnerabilidades CVE com campanhas de ransomware ativas:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.exploitKnown IS true
FACET impactedEntity.name, cve.id

Identificar vulnerabilidades provavelmente exploráveis (pontuação EPSS alta):

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.epssPercentile > '0.95'
FACET cve.id

Encontre fontes de informação para suas descobertas:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
FACET source

entidade com elevado limite de vulnerabilidades:

SELECT impactedEntity
FROM (
  SELECT count(*) AS vulnerableCount
  FROM Entity
  WHERE type = 'SECURITY_FINDING'
    AND severity IN ('CRITICAL', 'HIGH')
  FACET impactedEntity.name AS impactedEntity, severity
)
WHERE (severity = 'HIGH' AND vulnerableCount > 10)
   OR (severity = 'CRITICAL' AND vulnerableCount > 5)

exemplos de consulta para configurações incorretas cloud

Contabilizar configurações incorretas únicas por status:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET status

Os 10 tipos de erros de configuração mais comuns:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.issueTitle
LIMIT 10

Encontre as contas da AWS mais arriscadas:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity IN ('CRITICAL', 'HIGH')
FACET aparse(additionalInfo, '%"key":"cloudProviderAccountId","values":["*"]%') AS 'AWS Account ID'
LIMIT 10

Contabilizar configurações incorretas por tipo de recurso:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.normalizedResourceType

Encontre recursos essenciais e de acesso público:

FROM Entity
SELECT name, impactedEntity.name, misconfiguration.misconfigurationType
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity = 'CRITICAL'
  AND misconfiguration.misconfigurationType LIKE 'Effects/Data Exposure'
SINCE 1 day ago

Vulnerabilidades (evento personalizado)

Armazena metadados detalhados sobre vulnerabilidades, incluindo informações sobre CVEs, pontuações de gravidade e orientações para correção.

Uso principal: Análise detalhada das vulnerabilidades e metadados.

Atributo chave:

Exemplo de consulta:

FROM Vulnerability
SELECT count(*)
WHERE severity = 'CRITICAL'
AND activeRansomware = true
FACET affectedPackage

Atributo comum a todos os tipos de eventos

Esses atributos aparecem em vários tipos de eventos:

Identificação da entidade

Carimbo de data/hora

Rastreamento de origem

Relações de dados

Entender como os tipos de dados se relacionam entre si:

SecurityFinding Entity (type = 'SECURITY_FINDING')
    ↓ contains
    ├─ findingType (VULNERABILITY or MISCONFIGURATION)
    ├─ cve (CVE details for vulnerabilities)
    ├─ misconfiguration (Cloud security details)
    └─ impactedEntity (Affected New Relic entity)

Padrões de consulta

Para padrões de consulta que utilizam a entidade SecurityFinding, consulte as seções de exemplos de consulta acima.

Tipos e formatos de atributos

Valores de gravidade

CRITICAL - CVSS 9.0-10.0
HIGH     - CVSS 7.0-8.9
MEDIUM   - CVSS 4.0-6.9
LOW      - CVSS 0.1-3.9
INFO     - CVSS 0.0

Valores do Estado

OPEN      - Vulnerability currently active
CLOSED    - Vulnerability resolved or fixed
AFFECTED  - Entity is confirmed affected
IGNORED   - Marked as not applicable
NO_LONGER_DETECTED - No longer seen in scans

Valores de origem

APM_AGENT            - Detected by New Relic APM agent
INFRASTRUCTURE       - Detected by Infrastructure agent
SNYK                 - Imported from Snyk
AWS_SECURITY_HUB     - Imported from AWS Security Hub
DEPENDABOT           - Imported from GitHub Dependabot
FOSSA                - Imported from FOSSA
TRIVY                - Imported from Trivy
SECURITY_DATA_API    - Sent via API

Dicas para fazer consultas

Filtrar por gravidade (abordagem moderna)

Os resultados são priorizados com base na gravidade:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND severity IN ('CRITICAL', 'HIGH')
  AND status = 'AFFECTED'
FACET impactedEntity.name

Filtrar por tipo de busca

Separar vulnerabilidades de configurações incorretas:

-- Vulnerabilities only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'VULNERABILITY'
FACET impactedEntity.type

-- Misconfigurations only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET misconfiguration.normalizedResourceType

Filtrar por tipo de entidade

Separe o aplicativo das vulnerabilidades de infraestrutura:

-- Application vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%APPLICATION%'
FACET impactedEntity.name

-- Infrastructure vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%HOST%'
FACET impactedEntity.name

Filtrar por fonte de detecção

resultados da consulta de integração específica:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND source = 'Snyk'
FACET severity

Filtragem baseada no tempo

Encontre as descobertas detectadas recentemente:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND firstDetected > ago(7 days)
FACET cve.id, severity

Construindo dashboards personalizados

Utilize a entidade SecurityFinding para criar um dashboard de segurança abrangente:

1. Dashboard executivo - Métricas de segurança de alto nível para todos os tipos de achados.

   FROM Entity
   SELECT count(*)
   WHERE type = 'SECURITY_FINDING'
     AND status = 'AFFECTED'
   FACET severity, findingType

   Copiar

2. tendências de vulnerabilidades - Rastreie a detecção de vulnerabilidades ao longo do tempo

   FROM Entity
   SELECT count(*)
   WHERE type = 'SECURITY_FINDING'
     AND findingType = 'VULNERABILITY'
   FACET weekOf(firstDetected)
   SINCE 90 days ago

   Copiar

3. Postura de segurança na nuvem - Monitore configurações incorretas cloud

   FROM Entity
   SELECT uniqueCount(misconfiguration.issueTitle)
   WHERE type = 'SECURITY_FINDING'
     AND findingType = 'MISCONFIGURATION'
   FACET misconfiguration.cloudProvider, severity

   Copiar

4. Postura de segurança da entidade - Visualizações de segurança por entidade

   FROM Entity
   SELECT count(*) AS 'Findings'
   WHERE type = 'SECURITY_FINDING'
     AND status = 'AFFECTED'
   FACET impactedEntity.name, severity

   Copiar

Para mais exemplos de consulta, veja Exemplos de consulta de dados de segurança.

Abordagens legadas dashboards

Para compatibilidade com versões anteriores, você ainda pode usar o tipo de evento legado (Vulnerability), mas recomendamos migrar para a entidade SecurityFinding para o novo painel.

Qual é o próximo?