SIEM Aturan Korelasi: Meningkatkan Deteksi Ancaman Anda
Log mewakili aktivitas real-time dari setiap sudut perusahaan Anda. Setiap log audit berisi informasi aktivitas, parameter, sumber daya, dan waktu pengguna, yang menjadikannya tambang emas data. Namun, penggunaan ini untuk melindungi perusahaan membutuhkan lebih dari sekadar data: log perlu dirangkai dan diidentifikasi sebagai aman atau berbahaya – semuanya sebelum penyerang dapat menyebarkan muatan atau mencuri data. Di sinilah aturan korelasi berperan.
Dalam analitik, korelasi adalah hubungan atau koneksi apa pun antara dua elemen – dengan memetakan hubungan antara setiap bagian data log dan membuat SIEM aturan korelasi, milik Anda SIEM Sistem ini mampu memantau setiap titik data secara kohesif dalam kaitannya satu sama lain. Terakhir, rangkaian data ini diidentifikasi sebagai aman atau berpotensi berbahaya dengan menambahkan aturan di atas data tersebut. Lalu lintas yang baik diizinkan, sementara lalu lintas yang buruk atau mencurigakan ditandai dan diblokir.
Generasi selanjutnya SIEM
Stellar Cyber Generasi Berikutnya SIEM, sebagai komponen penting dalam Stellar Cyber Open XDR Platform...
Rasakan Keamanan Bertenaga AI dalam Aksi!
Temukan AI canggih Stellar Cyber untuk deteksi dan respons ancaman instan. Jadwalkan demo Anda hari ini!
Seterpercayaapakah Olymp Trade? Kesimpulan SIEM Aturan Korelasi Berfungsi
Langkah 1: Sentralisasi Log
Log dari semua sistem Anda dikumpulkan dan diteruskan ke SIEMHal ini dimungkinkan berkat sensor dan agen – perangkat lunak kecil yang dipasang pada perangkat ujung, jaringan, dan server yang secara pasif memantau paket data yang ditransfer melalui jaringan dan tindakan yang berjalan pada perangkat. Pada langkah ini, SIEM Alat ini memulai proses pengumpulan log-log ini ke dalam mesin analisis pusat.
Langkah 2: Normalisasi Data
Meskipun log mencakup setiap sudut infrastruktur Anda – log tersebut masih terdiri dari berbagai aplikasi, server, dan perangkat keras yang sangat berbeda, masing-masing dengan format uniknya sendiri untuk mencantumkan entri log. Log peristiwa dari berbagai sumber mungkin memiliki bidang informasi dan struktur data yang sangat bervariasi. Langkah kedua untuk SIEM Korelasi menormalkan data-data ini, yang bekerja dengan menguraikan berbagai log ke dalam format yang konsisten dan terstandarisasi.
Semakin efisien normalisasi data log ini, semakin cepat SIEM dapat mulai menganalisis dan menerapkan teknik deteksi ancaman.
Langkah 3: Korelasi Data
Dengan semua data log yang telah dimasukkan, mesin korelasi dapat melihat bagaimana data tersebut sesuai dengan pola umum. Beberapa SIEM Alat-alat yang ada hanya mampu mengidentifikasi string tunggal secara individual, tetapi penawaran yang lebih canggih seperti Stellar menambahkan lapisan korelasi kedua yang mempertimbangkan atribut lain – seperti parameter permintaan dan respons. Hal ini membantu memperkuat hubungan antara perilaku dan entitas yang terlibat.
Ini adalah tingkat yang cukup tinggi, jadi mari kita pertimbangkan korelasi data dalam konteks serangan yang sebenarnya: pertimbangkan upaya penyerang untuk melakukan brute force akses ke perusahaan melalui penyedia Identity and Access Management (IAM) mereka. Perilaku yang terlibat dapat mencakup kampanye upaya login berkelanjutan untuk mendapatkan akses (tindakan A), yang kemudian diikuti oleh login yang berhasil (tindakan B). Selanjutnya, mereka mungkin melanjutkan untuk mengakses konsol admin dan membuat pengguna baru dengan hak istimewa yang lebih tinggi – atau memulai serangkaian pemindaian port untuk mencari area yang lemah dan sumber daya yang sensitif. Mari kita sebut tindakan ini C.
Korelasi berbasis aturan memungkinkan setiap Teknik, Taktik, dan Prosedur (TTP) ditempatkan dalam sebuah urutan: korelasi berurutan ini kemudian dapat memicu tindakan aturan, yang diteruskan ke analis melalui peringatan. Cara atribut-atribut ini digabungkanlah yang menentukan kemampuan identifikasi suatu sistem. SIEM tool.
Korelasi Berbasis Aturan vs Korelasi Perilaku
Tindakan yang terlibat dalam serangan yang baru saja kita bahas dapat ditemukan dengan dua cara: yang pertama adalah melalui aturan yang secara eksplisit menyatakan 'jika tindakan A diikuti oleh B dan kemudian C, picu peringatan'. Ini bekerja dengan sangat baik jika analis menyadari kemungkinan serangan ini sebelumnya, dan memiliki gambaran kasar tentang TTP yang mungkin diambil penyerang.
Namun, itu bukan satu-satunya pendekatan: serangan brute force tersebut juga dapat ditemukan dengan aturan yang lebih umum yaitu 'jika serangkaian tindakan menyimpang dari perilaku otentikasi normal pengguna akhir, picu peringatan'. Aturan ini bergantung pada SIEM Memiliki pemahaman historis tentang bagaimana pengguna akhir biasanya bertindak; kini dimungkinkan berkat menjalankan log terpusat tersebut melalui algoritma Pembelajaran Mesin. Dengan ini, menjadi sangat mudah untuk menetapkan pola perilaku pengguna, perangkat, dan lalu lintas sehari-hari – dan karenanya menggunakan korelasi perilaku sebagai dasar untuk SIEM aturan. Korelasi perilaku sering digunakan untuk menghasilkan 'skor risiko', di mana analis menetapkan ambang batas yang dapat diterima.
Karena kami telah menggandakan jumlah pendekatan berbeda yang dapat kami gunakan untuk mengidentifikasi ancaman, sangat penting untuk secara aktif terus memantau ancaman Anda. SIEM Aturan yang disederhanakan dan berfungsi optimal – kita akan membahas cara terbaik untuk mencapainya di bawah ini.
Manfaat SIEM Aturan Korelasi untuk Deteksi Ancaman
Deteksi ancaman berbasis tanda tangan
Sebagian besar serangan sebenarnya tidak unik: penyerang oportunis yang menyalin dan menempelkan kode berbahaya sangat umum sehingga mereka mendapat julukan 'script kiddies'. Inilah mengapa sebagian besar serangan SIEM Perlindungan terhadap serangan dilakukan melalui deteksi berbasis tanda tangan.
Repositori situs tanda tangan malware terus berkembang: salah satu yang paling terkenal adalah basis data M&TRE ATTACK. Basis data ini mengidentifikasi pendekatan spesifik yang digunakan oleh penyerang, dan oleh karena itu memberikan praktisi keamanan basis data sumber terbuka untuk SIEM Aturan. Kumpulan aturan ini bergantung pada pendefinisian pola perilaku jahat yang sudah dikenal.
Namun, semakin luas penyebarannya SIEM Aturannya adalah, semakin fokus penyerang untuk menghindarinya, semakin besar kemungkinan mereka akan gagal. Hal ini menempatkan aturan korelasi dalam perlombaan berkelanjutan antara penyerang dan analis keamanan. Dan, jika tim keamanan mulai membuat terlalu banyak aturan, mereka berisiko kewalahan dengan SIEM positif palsu.
Stellar Cyber menghilangkan kesulitan lama yang dihadapi oleh metode berbasis korelasi murni. SIEMdengan menambahkan lapisan analisis ML lainnya. Analis dapat mencakup sebanyak mungkin kemungkinan dengan aturan korelasi, dan kemudian lapisan analisis kedua menilai konteks yang lebih luas dari setiap peringatan untuk menentukan keabsahannya.
Aturan yang Diisi Sebelumnya untuk Ancaman di Dunia Nyata
Aturan korelasi dibuat khusus untuk mengidentifikasi ancaman umum yang digunakan peretas berulang kali untuk mencoba mengakses sumber daya. Namun, tim TI perusahaan tunggal mungkin tidak memiliki pemahaman terkini tentang TTP dunia nyata. Bagaimanapun, intelijen ancaman menuntut pengumpulan, pemrosesan, dan penerapan data berkelanjutan tentang pelaku kejahatan, teknik, dan indikator penyusupan.
Inilah sebabnya mengapa aturan korelasi yang telah dikemas sebelumnya sangat bermanfaat: pendekatan yang telah diisi sebelumnya ini dibangun dari pandangan makro industri Anda dan ruang ancaman yang lebih luas. Setiap variasi perilaku dapat diberi label dan dikaitkan dengan jenis peringatannya, sehingga mengurangi sifat sporadis peringatan log menjadi keseluruhan yang lebih ramping.
Kepatuhan Data dan Akses
Organisasi di hampir setiap industri harus menunjukkan bahwa mereka mematuhi hukum, peraturan, dan regulasi tertentu – dan ini berubah tergantung pada industri tempat Anda beraktivitas. Cabang-cabang di Eropa perlu memperhatikan GDPR, sementara bisnis yang berorientasi pada pembayaran harus mematuhi PCI DSS.
GDPR adalah salah satu peraturan yang paling ketat dan luas jangkauannya, yang menuntut keamanan data di seluruh proses teknis suatu organisasi. Karena SIEM Karena log mencatat keseluruhan aset dan akun pengguna suatu organisasi, sistem ini berada pada posisi yang sangat tepat untuk mencapai tujuan tersebut.
Inilah manfaat sebenarnya dari aturan korelasi: penerapannya yang universal. Dengan mengirimkan peringatan setiap kali ditemukan serangkaian log abnormal, hal ini memberikan peringatan dini kepada analis tentang potensi masalah kepatuhan. Kemampuan untuk membuat aturan sendiri juga memungkinkan peraturan kepatuhan untuk diintegrasikan ke dalam struktur keamanan Anda sejak awal. Jika PCI DSS mengharuskan Anda untuk selalu memperbarui semua perangkat lunak anti-malware di titik akhir, terapkan aturan tersebut. SIEM Aturan yang memberi peringatan saat solusi anti-malware belum diperbarui. Lebih canggih SIEM Alat-alat ini memungkinkan Anda untuk mengotomatiskan seluruh proses ini, sambil menyimpan catatan forensik tentang tindakannya. Percepatan yang diberikan oleh SIEMHal ini sangat penting dalam konteks peraturan seperti GDPR, yang memberikan jangka waktu singkat, yaitu 72 jam, untuk menginformasikan dan menangani insiden keamanan.
Deteksi Serangan Multi-tahap dan Ancaman Persisten Lanjutan (APT)
Aturan korelasi individual cukup sederhana, tetapi ketelitian log memungkinkan resolusi dan mitigasi yang jauh lebih tajam. Di sinilah aturan gabungan dapat sangat baik dalam mengidentifikasi ancaman yang lebih canggih: aturan ini menggabungkan beberapa aturan bersama-sama untuk mengasah perilaku tertentu dalam konteks tertentu. Misalnya, jika X upaya login di stasiun kerja yang sama (dan alamat IP yang sama) gagal dalam X menit dan menggunakan nama pengguna yang berbeda – dan jika login yang berhasil terjadi di komputer mana pun dalam jaringan dan berasal dari alamat IP yang sama – ini akan memicu peringatan.
Aturan gabungan dapat menjadi vital untuk memutus titik masuk APT. Saat itulah penyusup memperoleh akses awal ke jaringan organisasi, menemukan titik akses yang aman, lalu tidak melakukan apa pun dengannya. Meskipun ancaman tersebut mungkin tampak tidak aktif, mereka mungkin hanya menunggu waktu yang tepat – atau bahkan pembeli untuk eksploitasi yang sedang berlangsung. Saat mereka memilih, penyusup dapat dengan mudah melewati firewall dan mencuri data atau menyebarkan malware, karena akun atau tindakan mereka dianggap aman.
Aturan korelasi sederhana secara tradisional tidak dapat diandalkan dalam menemukan APT; jika analis tidak menyadari potensi TTP, mereka tidak mungkin menemukan ancaman tersebut.
Jadi, pendekatan yang paling dapat diandalkan adalah satu langkah lebih maju dari aturan gabungan: model perilaku modern memungkinkan tindakan masa lalu untuk dimasukkan ke dalam mesin analisis. Analisis berkelanjutan terhadap lalu lintas jaringan yang masuk dan keluar kemudian memungkinkan setiap penyimpangan dari tindakan yang diharapkan pengguna untuk ditandai sebagai berisiko.
Praktik Terbaik untuk Membangun SIEM Aturan Korelasi
Prioritaskan Kasus Penggunaan
Saat pertama kali mengadaptasi sebuah SIEM untuk perusahaan Anda, SIEM Praktik terbaik mengharuskan Anda memiliki pemahaman yang jelas tentang kasus penggunaan spesifik yang Anda butuhkan. SIEM akan menyelesaikannya. Diurutkan berdasarkan prioritas, kasus penggunaan ini perlu difokuskan, dan aturan yang sudah ada perlu dinilai seberapa baik kesesuaiannya dengan perusahaan Anda. Dari situ, Anda bebas untuk mulai mengedit atau menambahkan ke setiap bagian aturan korelasi yang lebih spesifik.
Jika Anda tidak tahu teknik serangan spesifik apa yang dapat digunakan untuk melawan Anda, lihatlah MITRE ATT & CK or Rantai Pembunuhan Siber LockheedKeduanya melakukan pekerjaan luar biasa untuk membuat katalog pendekatan dan eksploitasi spesifik para penyerang secara luar biasa mendalam.
Manfaatkan Firewall Anda
-
- A “Server Nama Nakal” Aturan ini harus memantau perangkat apa pun yang mencoba mengakses aplikasi DNS dengan tujuan selain server DNS internal perusahaan. Perangkat internal harus dikonfigurasi untuk hanya menggunakan server DNS perusahaan, yang kemudian menjangkau Internet sesuai kebutuhan untuk mengatasi domain yang tidak dikenal.
- A “Server Proksi Nakal” Aturan ini harus mematuhi firewall perimeter untuk semua lalu lintas dari subnet LAN yang menuju ke Internet pada port TCP 80/443 atau untuk penelusuran web dan aplikasi SSL. Idealnya, hanya lalu lintas dari server proxy yang ditunjuk yang boleh diizinkan; IP sumber lain yang mencoba jenis koneksi ini dapat mengindikasikan adanya upaya untuk melewati keamanan, baik oleh pengguna maupun malware.
- A “Lalu Lintas BOTNET” Aturan ini dapat mengidentifikasi perangkat lunak perintah dan kontrol (C2) lama yang menggunakan Internet Relay Chat (IRC) untuk manajemen. Meskipun IRC pada dasarnya tidak berbahaya, keberadaannya dalam jaringan perusahaan sering kali mencurigakan. Aturan ini akan memicu peringatan jika ada host sumber atau tujuan yang menggunakan IRC, meskipun komputer administrasi jaringan tertentu mungkin memerlukan pengecualian.
Minimalkan Port Terbuka
Secara default, sensor yang mendengarkan pada port 514 menganalisis log yang masuk; ini membantu mengidentifikasi perangkat sumber. Menentukan port yang lebih tepat sasaran untuk jenis log Anda daripada menggunakan port 514 menawarkan beberapa keuntungan. Ini mempercepat penyerapan data dan penguraian log, meningkatkan kinerja sensor karena sensor dapat langsung mengidentifikasi perangkat sumber. Terakhir, mendasarkan aturan korelasi pada port yang benar sangat penting untuk menjaga informasi log.
Sebaliknya, pilih port yang sesuai tergantung pada formatnya:
- Common Event Format (CEF), Log Event Extended Format (LEEF), atau JSON: untuk jenis log ini, teruskan data ke port yang ditetapkan untuk standar tersebut.
- Format log Syslog standar: gunakan port yang ditetapkan untuk vendor tertentu.
- Untuk format khusus seperti Syslog yang dikombinasikan dengan ekspresi reguler, pasangan kunci-nilai, atau CSV, gunakan port khusus vendor.
Perburuan Ancaman
Menerapkan perburuan ancaman proaktif bersamaan dengan konfigurasi yang baik. SIEM Sistem ini secara signifikan meningkatkan kemampuan deteksi ancamannya, menambahkan bobot yang signifikan pada kekuatan analitis dari analisis log otomatis. Sementara sistem yang disetel dengan benar SIEM Dapat secara efektif memantau dan memberikan peringatan terhadap banyak ancaman yang diketahui, dan penambahan fitur pencarian ancaman otomatis memungkinkan deteksi serangan yang canggih, berkembang, atau tersembunyi yang mungkin dapat melewati aturan korelasi standar.
Perburuan ancaman SIEM Seperti Stellar Cyber yang mensimulasikan potensi serangan dunia nyata dari sebuah peringatan atau anomali setelah dihasilkan: proses validasi berkelanjutan ini membantu memastikan bahwa aturan korelasi akurat, mudah beradaptasi, dan efektif terhadap metode serangan yang muncul. Hal ini juga memengaruhi bagaimana peringatan diprioritaskan – dan memberikan dasar bagi analis untuk melakukan perburuan ancaman secara manual. Analis dapat mencari melalui catatan sandbox malware untuk mengidentifikasi upaya serangan, memberi mereka pandangan yang lebih informatif tentang serangan yang dilancarkan terhadap mereka.
Integrasikan untuk Respon Cepat
Mengintegrasikan SIEM Dalam konteks teknologi yang lebih luas, hal ini meningkatkan kemampuannya untuk mendeteksi, menganalisis, dan merespons ancaman secara efektif. Ini dapat mencakup menghubungkan... SIEM dengan berbagai alat seperti deteksi dan respons titik akhir (EDR), platform intelijen ancaman, sistem respons insiden, dan solusi orkestrasi, otomatisasi, dan respons keamanan (SOAR). Lebih baik lagi, integrasi dengan alat keamanan membuka jalan bagi respons ancaman otomatis – fokus utama Stellar Cyber.
Melampaui Aturan Dasar dengan Kasus Stellar Cyber
Stellar Cyber menggunakan pendekatan multimoda untuk pembuatan aturan: menawarkan setumpuk aturan korelasi dan analisis perilaku berbasis ML, yang memanfaatkan sepenuhnya semua log yang dihasilkan di seluruh perusahaan Anda. Peringatan dibuat saat data log memicu aturan individual, tetapi Stellar mengorelasikannya ke dalam kasus terpadu, yang masing-masing mewakili kumpulan peringatan yang berpotensi terhubung dalam satu struktur data. Dari sana, analis diberikan serangkaian buku pedoman dan opsi perbaikan yang dirancang untuk meminimalkan MTTR.
Verifikasi silang peringatan Stellar Cyber memberikan konteks yang lebih mendalam, yang memungkinkan analis menentukan apakah mereka menangani serangan yang sebenarnya, perilaku berisiko tinggi, atau sekadar kejadian yang tidak disengaja. Lihat cara menyiapkan respons otomatis dan memblokir lalu lintas berbahaya dengan segera dengan demo hari ini.
