SIEM Regole di correlazione: migliorare il rilevamento delle minacce
I log rappresentano le attività in tempo reale di ogni singolo angolo della tua azienda. Ogni log di controllo contiene le informazioni sulle attività, i parametri, le risorse e i tempi di un utente, rendendoli una vera e propria miniera d'oro di dati. Tuttavia, utilizzarli per proteggere le aziende richiede più dei semplici dati: i log devono essere collegati insieme e identificati come sicuri o dannosi, il tutto prima che l'aggressore sia in grado di distribuire un payload o rubare dati. È qui che brillano le regole di correlazione.
Nell'analisi, una correlazione è qualsiasi relazione o connessione tra due elementi, mappando la relazione tra ogni pezzo di dati di registro e creando SIEM regole di correlazione, il tuo SIEM è in grado di monitorare in modo coeso ogni punto dati in relazione agli altri. Infine, queste sequenze vengono identificate come sicure o potenzialmente dannose aggiungendo regole a questi dati. Il traffico sicuro viene consentito, mentre il traffico dannoso o sospetto viene contrassegnato come tale e bloccato.
Next-Generation SIEM
Stellar Cyber Next-Generation SIEM, come componente critico all'interno dello Stellar Cyber Open XDR Piattaforma...
Scopri la sicurezza basata sull'intelligenza artificiale in azione!
Scopri l'intelligenza artificiale all'avanguardia di Stellar Cyber per il rilevamento e la risposta alle minacce istantanee. Pianifica la tua demo oggi stesso!
Come SIEM Le regole di correlazione funzionano
Fase 1: Centralizzazione dei registri
I registri di tutti i tuoi sistemi vengono raccolti e inoltrati al SIEMCiò è reso possibile da sensori e agenti, piccoli software installati su dispositivi endpoint, reti e server che monitorano passivamente i pacchetti di dati trasferiti attraverso una rete e le azioni eseguite sui dispositivi. In questa fase, SIEM Lo strumento avvia il processo di estrazione di questi registri in un motore di analisi centrale.
Fase 2: Normalizzazione dei dati
Sebbene i log coprano ogni singolo aspetto della tua infrastruttura, questa è comunque composta da applicazioni, server e hardware molto diversi, ognuno con il suo formato unico per l'elenco delle voci di log. I log degli eventi provenienti da diverse fonti possono avere campi informativi e strutture dati notevolmente diversi. Il secondo passaggio per SIEM la correlazione consiste nella loro normalizzazione, che funziona analizzando i diversi registri in un formato coerente e standardizzato.
Quanto più efficiente è la normalizzazione di questi dati di registro, tanto più veloce è il SIEM può iniziare ad analizzare e applicare tecniche di rilevamento delle minacce.
Fase 3: Correlazione dei dati
Con tutti i dati di registro ora acquisiti, il motore di correlazione è in grado di vedere come si conforma a modelli comuni. Alcuni SIEM Gli strumenti si limitano a identificare singolarmente singole stringhe, ma soluzioni più avanzate come Stellar aggiungono un secondo livello di correlazione che considera altri attributi, come i parametri di richiesta e risposta. Questo aiuta a consolidare la relazione tra il comportamento e l'entità coinvolta.
Questo è un livello abbastanza alto, quindi prendiamo in considerazione la correlazione dei dati nel contesto di un attacco reale: prendiamo in considerazione i tentativi di un aggressore di forzare l'accesso a un'azienda tramite il suo provider Identity and Access Management (IAM). I comportamenti coinvolti possono includere una campagna di tentativi di accesso continui per ottenere l'accesso (azione A), seguita poi da un accesso riuscito (azione B). Successivamente, potrebbero procedere ad accedere alla console di amministrazione e creare un nuovo utente con privilegi elevati, oppure avviare una serie di scansioni delle porte per individuare aree deboli e risorse sensibili. Chiamiamo questa azione C.
La correlazione basata su regole consente di inserire ogni Tecnica, Tattica e Procedura (TTP) in una sequenza: queste correlazioni sequenziali possono quindi attivare un'azione regola, che viene trasmessa all'analista tramite un avviso. È il modo in cui questi attributi vengono collegati che definisce la capacità di identificazione di un SIEM strumento.
Correlazione basata su regole e comportamento
Le azioni coinvolte nell'attacco che abbiamo appena esaminato possono essere scoperte in due modi: il primo è tramite una regola che afferma esplicitamente "se l'azione A è seguita da B e poi da C, attiva un avviso". Questo funziona molto bene se gli analisti sono consapevoli della possibilità di questo attacco in anticipo e hanno una vaga idea di quale TTP potrebbe adottare un aggressore.
Tuttavia, non è l'unico approccio: l'attacco brute force potrebbe anche essere scoperto da una regola più generale, ovvero "se una serie di azioni si discosta dal normale comportamento di autenticazione di un utente finale, attiva un avviso". Questa regola si basa su SIEM avere una comprensione storica del comportamento abituale di un utente finale; ora possibile grazie all'elaborazione di questi log centralizzati tramite un algoritmo di apprendimento automatico. In questo modo, diventa molto facile stabilire modelli quotidiani di comportamento di utenti, dispositivi e traffico, e quindi utilizzare la correlazione comportamentale come base per SIEM regole. La correlazione comportamentale viene spesso utilizzata per produrre un "punteggio di rischio", per il quale gli analisti stabiliscono una soglia accettabile.
Poiché abbiamo raddoppiato il numero di approcci diversi che possiamo adottare per identificare le minacce, è più importante che mai mantenere attivamente il tuo SIEM regole ridotte e altamente funzionali: di seguito discuteremo come raggiungere al meglio questo obiettivo.
Vantaggi della SIEM Regole di correlazione per il rilevamento delle minacce
Rilevamento delle minacce basato sulla firma
La stragrande maggioranza degli attacchi non è particolarmente unica: gli aggressori opportunisti che copiano e incollano codice dannoso sono così comuni che si sono guadagnati il soprannome di "script kiddies". Questo è il motivo per cui la stragrande maggioranza degli SIEM la protezione della superficie di attacco avviene tramite rilevamento basato sulla firma.
Gli archivi di siti di firme malware sono in continua espansione: uno dei più noti è il database M&TRE ATTACK. Questo database identifica gli approcci specifici adottati dagli aggressori e, pertanto, fornisce ai professionisti della sicurezza un database open source per SIEM regole. Questi set di regole si basano sulla definizione di modelli di comportamento dannoso noto.
Tuttavia, più è diffuso il SIEM La regola è che maggiore è l'attenzione che gli aggressori metteranno nell'elusione. Questo pone le regole di correlazione in una continua competizione tra aggressore e analista della sicurezza. E se il team di sicurezza inizia a creare troppe regole, rischia di essere inondato di SIEM falsi positivi.
Stellar Cyber rimuove le vecchie difficoltà affrontate dai modelli basati sulla correlazione pura SIEMaggiungendo un ulteriore livello di analisi ML. Gli analisti possono coprire quante più basi possibili con regole di correlazione, quindi il secondo livello di analisi valuta il contesto più ampio di ogni avviso per determinarne la legittimità.
Regole precompilate per le minacce del mondo reale
Le regole di correlazione sono create appositamente per identificare le minacce comuni che gli hacker usano ripetutamente per tentare di accedere alle risorse. Tuttavia, il team IT di una singola azienda potrebbe non avere la comprensione più aggiornata delle TTP del mondo reale. Dopo tutto, l'intelligence sulle minacce richiede la raccolta, l'elaborazione e l'applicazione continue di dati su attori dannosi, tecniche e indicatori di compromissione.
Ecco perché le regole di correlazione preconfezionate sono un tale vantaggio: questi approcci precompilati sono costruiti da una visione macro del tuo settore e dello spazio di minaccia più ampio. Ogni variazione di comportamento può essere etichettata e associata al suo tipo di avviso, riducendo quindi la natura sporadica degli avvisi di log in un insieme più snello.
Conformità dei dati e degli accessi
Le organizzazioni di praticamente ogni settore devono dimostrare di rispettare determinate leggi, norme e regolamenti, che variano a seconda del settore in cui si opera. Le filiali europee devono tenere d'occhio il GDPR, mentre qualsiasi azienda orientata ai pagamenti deve conformarsi allo standard PCI DSS.
Il GDPR è una delle normative più severe e di più ampia portata, che richiede la sicurezza dei dati in tutti i processi tecnici di un'organizzazione. Perché SIEM Poiché i registri tengono conto della totalità delle risorse e degli account utente di un'organizzazione, è in una posizione privilegiata per raggiungere questo obiettivo.
Questo è un vero vantaggio delle regole di correlazione: la loro applicabilità universale. Inviando un avviso ogni volta che viene rilevato un set di log anomali, gli analisti vengono avvisati in anticipo di potenziali problemi di conformità. La possibilità di elaborare regole personalizzate consente inoltre di integrare le normative di conformità nella struttura di sicurezza fin dalle fondamenta. Se lo standard PCI DSS richiede di mantenere aggiornati tutti gli anti-malware degli endpoint, implementare un SIEM regola che ti avvisa quando una soluzione antimalware non è stata aggiornata. Più avanzata SIEM Gli strumenti consentono di automatizzare l'intero processo, mantenendo un file forense sulle sue azioni. L'accelerazione garantita da SIEMè particolarmente importante nel contesto di normative come il GDPR, che garantiscono una piccola finestra temporale di 72 ore per informare e affrontare gli incidenti di sicurezza.
Rilevamento di attacchi multi-fase e minacce persistenti avanzate (APT)
Le singole regole di correlazione sono abbastanza semplici, ma la granularità dei log consente una risoluzione e una mitigazione molto più nitide. È qui che le regole composite possono essere eccellenti nell'identificare minacce più avanzate: queste nidificano più regole insieme per concentrarsi su un comportamento specifico all'interno di un contesto specifico. Ad esempio, se X tentativi di accesso alla stessa workstation (e allo stesso indirizzo IP) falliscono entro X minuti e utilizzano nomi utente diversi, e se un accesso riuscito si verifica su un computer qualsiasi all'interno della rete e proviene dallo stesso indirizzo IP, ciò attiverà un avviso.
Le regole composite possono essere vitali per tagliare fuori i punti di ingresso APT. È quando un intruso ottiene l'accesso iniziale alla rete di un'organizzazione, trova un punto di accesso sicuro e poi non fa nulla con esso. Mentre la minaccia può sembrare dormiente, è probabile che stia solo aspettando un momento opportuno, o persino un acquirente per l'exploit in corso. Quando lo desidera, l'intruso può semplicemente superare il firewall e rubare dati o distribuire malware, poiché il suo account o le sue azioni sono considerati sicuri.
Tradizionalmente, le semplici regole di correlazione si sono rivelate inaffidabili nell'individuazione delle APT; se gli analisti non sono a conoscenza del potenziale TTP, è improbabile che riescano a scoprire la minaccia.
Quindi, l'approccio più affidabile è un passo oltre le regole composite: i moderni modelli comportamentali consentono di includere le azioni passate nel motore di analisi. L'analisi continua del traffico di rete in entrata e in uscita consente quindi di contrassegnare come rischiosa qualsiasi deviazione dalle azioni previste dall'utente.
Migliori pratiche per la costruzione SIEM Regole di correlazione
Dare priorità ai casi d'uso
Quando si adatta per la prima volta un SIEM alla tua impresa, SIEM le migliori pratiche impongono di avere un'idea chiara dei casi d'uso precisi del tuo SIEM risolverà. Classificati in ordine di priorità, questi casi d'uso devono essere perfezionati e le regole preimpostate devono essere valutate per verificarne l'idoneità alla propria azienda. Da lì, si è liberi di iniziare a modificare o aggiungere elementi a ciascuna sezione più ristretta di regole di correlazione.
Se non sai quali tecniche di attacco specifiche potrebbero essere utilizzate contro di te, dai un'occhiata MITRE ATT & CK or La catena di attacco informatico di LockheedEntrambi svolgono un immenso lavoro per catalogare in modo straordinariamente approfondito gli approcci e gli exploit specifici degli aggressori.
Utilizza il tuo firewall
-
- A "Server dei nomi non autorizzato" la regola dovrebbe monitorare qualsiasi dispositivo che tenta di accedere all'applicazione DNS con una destinazione diversa dai server DNS aziendali interni. I dispositivi interni dovrebbero essere configurati per utilizzare solo i server DNS aziendali, che poi raggiungono Internet quando necessario per risolvere domini sconosciuti.
- A "Server proxy non autorizzato" la regola dovrebbe osservare i firewall perimetrali per qualsiasi traffico dalla subnet LAN diretto a Internet sulle porte TCP 80/443 o per la navigazione web e le applicazioni SSL. Idealmente, dovrebbe essere consentito solo il traffico dal server proxy designato; qualsiasi altro IP sorgente che tenti questo tipo di connessione potrebbe indicare un tentativo di aggirare la sicurezza, sia da parte di un utente che di un malware.
- A “Traffico BOTNET” rule può identificare software di comando e controllo (C2) più datati che utilizzano Internet Relay Chat (IRC) per la gestione. Sebbene IRC non sia intrinsecamente dannoso, la sua presenza in una rete aziendale è spesso sospetta. Questa regola dovrebbe attivare un avviso se un host di origine o destinazione utilizza IRC, sebbene alcuni computer di amministrazione di rete potrebbero aver bisogno di esclusioni.
Ridurre al minimo le porte aperte
Per impostazione predefinita, i sensori in ascolto sulla porta 514 analizzano i log in arrivo; questo aiuta a identificare il dispositivo sorgente. Specificare una porta più mirata per il tipo di log anziché usare la porta 514 offre diversi vantaggi. Accelera l'ingestione dei dati e l'analisi dei log, migliorando le prestazioni del sensore poiché il sensore può identificare immediatamente il dispositivo sorgente. Ultimo ma non meno importante, basare una regola di correlazione sulla porta corretta è estremamente importante per preservare le informazioni del log.
Selezionare invece la porta appropriata in base al formato:
- Common Event Format (CEF), Log Event Extended Format (LEEF) o JSON: per questi tipi di registro, inoltra i dati alla porta assegnata per tale standard.
- Registri in formato Syslog standard: utilizzare la porta designata per il fornitore specifico.
- Per formati specializzati come Syslog combinato con espressioni regolari, coppie chiave-valore o CSV, utilizzare porte specifiche del fornitore.
Caccia alla minaccia
Implementazione di una ricerca proattiva delle minacce insieme a un sistema ben configurato SIEM Il sistema migliora significativamente le sue capacità di rilevamento delle minacce, aggiungendo un peso significativo alla potenza analitica dell'analisi automatizzata dei log. Mentre un sistema correttamente sintonizzato SIEM può monitorare e segnalare efficacemente numerose minacce note, aggiungendo la ricerca automatizzata delle minacce che consente di rilevare attacchi sofisticati, in evoluzione o furtivi che potrebbero aggirare le regole di correlazione standard.
Una caccia alla minaccia SIEM Come Stellar Cyber, simula il potenziale di attacco reale di un avviso o di un'anomalia dopo la sua generazione: questo processo di convalida continuo contribuisce a garantire che le regole di correlazione siano precise, adattabili ed efficaci contro i metodi di attacco emergenti. Influisce anche sulla definizione della priorità degli avvisi e fornisce agli analisti una base per la ricerca manuale delle minacce. Gli analisti possono analizzare il record della sandbox del malware per identificare i tentativi di attacco, ottenendo così una visione più approfondita dell'attacco utilizzato contro di loro.
Integrare per una risposta rapida
Integrare un file SIEM all'interno del più ampio stack tecnologico migliora la sua capacità di rilevare, analizzare e rispondere alle minacce in modo efficace. Ciò può includere il collegamento SIEM con strumenti come endpoint detection and response (EDR), piattaforme di threat intelligence, sistemi di risposta agli incidenti e soluzioni di security orchestration, automation and response (SOAR). Ancora meglio, l'integrazione con gli strumenti di sicurezza apre la strada a risposte automatizzate alle minacce, un obiettivo fondamentale di Stellar Cyber.
Vai oltre le regole di base con i casi di Stellar Cyber
Stellar Cyber adotta un approccio multimodale alla creazione di regole: offrendo un mazzo di regole di correlazione e analisi comportamentale basata su ML, sfrutta appieno tutti i log generati nella tua azienda. Gli avvisi vengono creati quando i dati di log attivano singole regole, ma Stellar li correla in casi unificati, ognuno dei quali rappresenta una raccolta di avvisi potenzialmente connessi all'interno di una singola struttura dati. Da lì, agli analisti viene concessa una serie di playbook e opzioni di correzione progettate per ridurre al minimo l'MTTR.
La verifica incrociata degli avvisi di Stellar Cyber garantisce un contesto più approfondito, consentendo agli analisti di determinare se stanno gestendo un attacco autentico, un comportamento ad alto rischio o semplicemente eventi casuali. Scopri come impostare risposte automatiche e bloccare immediatamente il traffico dannoso con una demo oggi.
