SIEM सहसंबंध नियम: खतरे का पता लगाने की क्षमता को बढ़ाना

लॉग आपके उद्यम के हर एक कोने की वास्तविक समय की गतिविधियों का प्रतिनिधित्व करते हैं। प्रत्येक ऑडिट लॉग में उपयोगकर्ता की गतिविधि, पैरामीटर, संसाधन और समय की जानकारी होती है, जो उन्हें डेटा की एक वास्तविक सोने की खान बनाती है। उद्यमों की सुरक्षा के लिए इनका उपयोग करने के लिए केवल डेटा से अधिक की आवश्यकता होती है: लॉग को एक साथ जोड़ने और सुरक्षित या दुर्भावनापूर्ण के रूप में पहचानने की आवश्यकता होती है - यह सब हमलावर द्वारा पेलोड तैनात करने या डेटा चुराने में सक्षम होने से पहले होता है। यहीं पर सहसंबंध नियम चमकते हैं।

एनालिटिक्स में, सहसंबंध दो तत्वों के बीच किसी भी संबंध या जुड़ाव को दर्शाता है - प्रत्येक लॉग डेटा के बीच संबंध को मैप करके और बनाकर SIEM सहसंबंध नियम, आपके SIEM यह प्रत्येक डेटापॉइंट की परस्पर निगरानी करने में सक्षम है। अंततः, इस डेटा पर नियम जोड़कर इन अनुक्रमों को सुरक्षित या संभावित रूप से दुर्भावनापूर्ण के रूप में पहचाना जाता है। अच्छे ट्रैफ़िक को अनुमति दी जाती है, जबकि खराब या संदिग्ध ट्रैफ़िक को चिह्नित करके ब्लॉक कर दिया जाता है।

अधिकांश हमले विशेष रूप से अनूठे नहीं होते: अवसरवादी हमलावरों द्वारा दुर्भावनापूर्ण कोड को कॉपी-पेस्ट करना इतना आम है कि उन्हें 'स्क्रिप्ट किडीज़' का उपनाम मिल गया है। यही कारण है कि अधिकांश हमले SIEM आक्रमण सतह से सुरक्षा हस्ताक्षर-आधारित पहचान के माध्यम से की जाती है।

मालवेयर सिग्नेचर साइटों के भंडार लगातार बढ़ रहे हैं: इनमें से एक सबसे प्रसिद्ध M&TRE ATTACK डेटाबेस है। यह हमलावरों द्वारा अपनाए जा रहे विशिष्ट तरीकों की पहचान करता है, और इस प्रकार सुरक्षा विशेषज्ञों को एक ओपन सोर्स डेटाबेस प्रदान करता है। SIEM नियम। ये नियम समूह ज्ञात दुर्भावनापूर्ण व्यवहार के पैटर्न को परिभाषित करने पर आधारित हैं।

हालाँकि, जितना अधिक व्यापक होगा SIEM नियम यह है कि हमलावर इसे टालने पर जितना अधिक ध्यान केंद्रित करेंगे, उतना ही बेहतर होगा। इससे सहसंबंध नियम हमलावर और सुरक्षा विश्लेषक के बीच एक निरंतर दौड़ में फंस जाते हैं। और, यदि सुरक्षा टीम बहुत अधिक नियम बनाने लगती है, तो उन्हें नियमों के बोझ तले दब जाने का खतरा रहता है। SIEM झूठी सकारात्मक।
स्टेलर साइबर विशुद्ध सहसंबंध-आधारित पद्धति द्वारा सामना की जाने वाली पुरानी कठिनाइयों को दूर करता है। SIEMमशीन लर्निंग विश्लेषण की एक और परत जोड़कर, विश्लेषक सहसंबंध नियमों के माध्यम से यथासंभव अधिक से अधिक पहलुओं को कवर कर सकते हैं, और फिर विश्लेषण की दूसरी परत प्रत्येक अलर्ट के व्यापक संदर्भ का आकलन करके उसकी वैधता निर्धारित करती है।