Estrutura de dados de segurança (referência NRQL)

O Security RX armazena dados de vulnerabilidades e configurações incorretas no banco de dados da New Relic (NRDB), permitindo que sejam consultados usando NRQL. Este guia de referência explica os tipos de entidades, atributos e estrutura de dados que você pode usar para criar consultas, dashboards e alertas personalizados.

Tipos de entidade e evento

O Security RX utiliza os seguintes tipos de entidade e evento para armazenar dados de segurança:

Entidade SecurityFinding (Recomendado)

O SECURITY_FINDING é um tipo de entidade especializada que serve como um contêiner genérico para todos os problemas de segurança detectados pelo Security RX. Esta é a forma recomendada de consultar dados de segurança no New Relic.

Importante: SecurityFinding é consultado como um tipo de entidade, não como um evento tradicional:

FROM Entity
SELECT * WHERE type = 'SECURITY_FINDING'

Compreendendo o tipo de descoberta

O atributo findingType é o campo chave para distinguir a fonte de dados:

• findingType = 'VULNERABILITY': Indica uma descoberta de vulnerabilidades de fontes como agente APM, agente de infraestrutura ou scanners de terceiros (Snyk, Trivy, FOSSA)
• findingType = 'MISCONFIGURATION': Indica uma descoberta de gerenciamento de postura de segurança cloud (CSPM) do Security RX Cloud (por exemplo, do AWS Security Hub, GuardDuty ou Config)

Outros valores de findingType incluem: LIBRARY_VULNERABILITY, INFRASTRUCTURE_VULNERABILITY, APPLICATION_VULNERABILITY, SYSTEM_VULNERABILITY, SECURITY_EVENT e OTHER.

Campos principais da entidade

Campos de classificação

Campos de status e gravidade

Campos de referência CVE

Para informações sobre vulnerabilidades, o objeto cve contém informações detalhadas sobre CVEs:

Campos de configuração incorreta (Resultados na nuvem)

Para informações sobre erros de configuração, o objeto misconfiguration contém informações específicas da nuvem:

Campos da entidade afetados

O objeto impactedEntity identifica qual entidade do New Relic é afetada:

campos de carimbo de data/hora

interface e campos internos

exemplos de consulta para vulnerabilidades

Contabilizar vulnerabilidades críticas ativas por entidade:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND severity = 'CRITICAL'
FACET impactedEntity.name

Encontre a entidade afetada por uma CVE específica:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
  AND cve.id = 'CVE-2024-23944'
FACET impactedEntity.name

Encontre vulnerabilidades CVE com campanhas de ransomware ativas:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.exploitKnown IS true
FACET impactedEntity.name, cve.id

Identificar vulnerabilidades provavelmente exploráveis (pontuação EPSS alta):

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND cve.epssPercentile > '0.95'
FACET cve.id

Encontre fontes de informação para suas descobertas:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
FACET source

entidade com elevado limite de vulnerabilidades:

SELECT impactedEntity
FROM (
  SELECT count(*) AS vulnerableCount
  FROM Entity
  WHERE type = 'SECURITY_FINDING'
    AND severity IN ('CRITICAL', 'HIGH')
  FACET impactedEntity.name AS impactedEntity, severity
)
WHERE (severity = 'HIGH' AND vulnerableCount > 10)
   OR (severity = 'CRITICAL' AND vulnerableCount > 5)

exemplos de consulta para configurações incorretas cloud

Contabilizar configurações incorretas únicas por status:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET status

Os 10 tipos de erros de configuração mais comuns:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.issueTitle
LIMIT 10

Encontre as contas da AWS mais arriscadas:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity IN ('CRITICAL', 'HIGH')
FACET aparse(additionalInfo, '%"key":"cloudProviderAccountId","values":["*"]%') AS 'AWS Account ID'
LIMIT 10

Contabilizar configurações incorretas por tipo de recurso:

FROM Entity
SELECT uniqueCount(misconfiguration.issueTitle)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
FACET misconfiguration.normalizedResourceType

Encontre recursos essenciais e de acesso público:

FROM Entity
SELECT name, impactedEntity.name, misconfiguration.misconfigurationType
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
  AND internalState.active = true
  AND severity = 'CRITICAL'
  AND misconfiguration.misconfigurationType LIKE 'Effects/Data Exposure'
SINCE 1 day ago

NrAiIncident (legado)

Tipo de evento legado que armazena descobertas de vulnerabilidades e seu status atual. Este tipo de evento ainda é suportado para compatibilidade com versões anteriores, mas recomendamos o uso de SecurityFinding para novas consultas.

Uso primário: consulta vulnerabilidades que afetam sua entidade

Atributo chave:

Exemplo de consulta:

FROM NrAiIncident
SELECT count(*)
WHERE conditionName LIKE '%Security RX%'
FACET priority, state

Vulnerabilidades (evento personalizado)

Armazena metadados detalhados sobre vulnerabilidades, incluindo informações sobre CVEs, pontuações de gravidade e orientações para correção.

Uso principal: Análise detalhada das vulnerabilidades e metadados.

Atributo chave:

Exemplo de consulta:

FROM Vulnerability
SELECT count(*)
WHERE severity = 'CRITICAL'
AND activeRansomware = true
FACET affectedPackage

NrAiIncidentTimeline

Monitora as mudanças de status e os eventos do ciclo de vida das vulnerabilidades.

Uso principal: Auditar o histórico de vulnerabilidades e acompanhar o progresso da correção.

Atributo chave:

Exemplo de consulta:

FROM NrAiIncidentTimeline
SELECT timestamp, event, previousState, newState, changedBy
WHERE event = 'STATUS_CHANGED'
SINCE 7 days ago

Atributo comum a todos os tipos de eventos

Esses atributos aparecem em vários tipos de eventos:

Identificação da entidade

Carimbo de data/hora

Rastreamento de origem

Relações de dados

Entender como os tipos de dados se relacionam entre si:

Abordagem moderna (recomendada)

SecurityFinding Entity (type = 'SECURITY_FINDING')
    ↓ contains
    ├─ findingType (VULNERABILITY or MISCONFIGURATION)
    ├─ cve (CVE details for vulnerabilities)
    ├─ misconfiguration (Cloud security details)
    └─ impactedEntity (Affected New Relic entity)

abordagem legada (Compatibilidade com versões anteriores)

Entity (Application/Host)
    ↓ has many
NrAiIncident (Active vulnerabilities)
    ↓ references
Vulnerability (CVE details)
    ↓ has many
NrAiIncidentTimeline (Status history)

Padrões de consulta

Padrões de consulta modernos

Para padrões modernos de consulta usando a entidade SecurityFinding, consulte as seções de exemplos de consulta acima.

padrões de consulta legados

Esses padrões utilizam os tipos de evento legados:

Unir dados de entidade com vulnerabilidades (legado)

FROM NrAiIncident
SELECT entity.name, count(*) as 'Vulnerability Count'
WHERE conditionName LIKE '%Security RX%'
AND state = 'OPEN'
FACET entity.name
SINCE 1 day ago

Equivalente moderno:

FROM Entity
SELECT impactedEntity.name, count(*) as 'Vulnerability Count'
WHERE type = 'SECURITY_FINDING'
  AND status = 'AFFECTED'
FACET impactedEntity.name
SINCE 1 day ago

Calcular janelas de exposição (legado)

FROM Vulnerability
SELECT entity.name,
       cveId,
       (max(timestamp) - min(timestamp)) / 86400 as 'Days Exposed'
WHERE severity IN ('CRITICAL', 'HIGH')
FACET entity.name, cveId
SINCE 30 days ago

Equivalente moderno:

FROM Entity
SELECT impactedEntity.name,
       cve.id,
       (max(findingUpdatedAt) - min(firstDetected)) / 86400 as 'Days Exposed'
WHERE type = 'SECURITY_FINDING'
  AND severity IN ('CRITICAL', 'HIGH')
FACET impactedEntity.name, cve.id
SINCE 30 days ago

Velocidade de remediação da pista (legado)

FROM NrAiIncidentTimeline
SELECT count(*) as 'Vulnerabilities Resolved'
WHERE event = 'STATUS_CHANGED'
AND newState = 'CLOSED'
FACET weekOf(timestamp)
SINCE 90 days ago

Tipos e formatos de atributos

Valores de gravidade

CRITICAL - CVSS 9.0-10.0
HIGH     - CVSS 7.0-8.9
MEDIUM   - CVSS 4.0-6.9
LOW      - CVSS 0.1-3.9
INFO     - CVSS 0.0

Valores do Estado

OPEN      - Vulnerability currently active
CLOSED    - Vulnerability resolved or fixed
AFFECTED  - Entity is confirmed affected
IGNORED   - Marked as not applicable
NO_LONGER_DETECTED - No longer seen in scans

Valores de origem

APM_AGENT            - Detected by New Relic APM agent
INFRASTRUCTURE       - Detected by Infrastructure agent
SNYK                 - Imported from Snyk
AWS_SECURITY_HUB     - Imported from AWS Security Hub
DEPENDABOT           - Imported from GitHub Dependabot
FOSSA                - Imported from FOSSA
TRIVY                - Imported from Trivy
SECURITY_DATA_API    - Sent via API

Dicas para fazer consultas

Filtrar por gravidade (abordagem moderna)

Os resultados são priorizados com base na gravidade:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND severity IN ('CRITICAL', 'HIGH')
  AND status = 'AFFECTED'
FACET impactedEntity.name

Filtrar por tipo de busca

Separar vulnerabilidades de configurações incorretas:

-- Vulnerabilities only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'VULNERABILITY'
FACET impactedEntity.type

-- Misconfigurations only
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND findingType = 'MISCONFIGURATION'
FACET misconfiguration.normalizedResourceType

Filtrar por tipo de entidade

Separe o aplicativo das vulnerabilidades de infraestrutura:

-- Application vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%APPLICATION%'
FACET impactedEntity.name

-- Infrastructure vulnerabilities
FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND impactedEntity.type LIKE '%HOST%'
FACET impactedEntity.name

Filtrar por fonte de detecção

resultados da consulta de integração específica:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND source = 'Snyk'
FACET severity

Filtragem baseada no tempo

Encontre as descobertas detectadas recentemente:

FROM Entity
SELECT count(*)
WHERE type = 'SECURITY_FINDING'
  AND firstDetected > ago(7 days)
FACET cve.id, severity

Construindo dashboards personalizados

Utilize a entidade SecurityFinding para criar um dashboard de segurança abrangente:

1. Dashboard executivo - Métricas de segurança de alto nível para todos os tipos de achados.

   FROM Entity
   SELECT count(*)
   WHERE type = 'SECURITY_FINDING'
     AND status = 'AFFECTED'
   FACET severity, findingType

   Copiar

2. tendências de vulnerabilidades - Rastreie a detecção de vulnerabilidades ao longo do tempo

   FROM Entity
   SELECT count(*)
   WHERE type = 'SECURITY_FINDING'
     AND findingType = 'VULNERABILITY'
   FACET weekOf(firstDetected)
   SINCE 90 days ago

   Copiar

3. Postura de segurança na nuvem - Monitore configurações incorretas cloud

   FROM Entity
   SELECT uniqueCount(misconfiguration.issueTitle)
   WHERE type = 'SECURITY_FINDING'
     AND findingType = 'MISCONFIGURATION'
   FACET misconfiguration.cloudProvider, severity

   Copiar

4. Postura de segurança da entidade - Visualizações de segurança por entidade

   FROM Entity
   SELECT count(*) AS 'Findings'
   WHERE type = 'SECURITY_FINDING'
     AND status = 'AFFECTED'
   FACET impactedEntity.name, severity

   Copiar

Para mais exemplos de consulta, veja Exemplos de consulta de dados de segurança.

Abordagens legadas dashboards

Para compatibilidade com versões anteriores, você ainda pode usar os tipos de evento legados (NrAiIncident, Vulnerability, NrAiIncidentTimeline), mas recomendamos migrar para a entidade SecurityFinding para o novo dashboard.

Qual é o próximo?