SIEM 상관관계 규칙: 위협 탐지 기능 강화

로그는 기업의 모든 구석구석의 실시간 활동을 나타냅니다. 각 감사 로그에는 사용자의 활동, 매개변수, 리소스 및 타이밍에 대한 정보가 포함되어 있어, 진정한 금광과 같은 데이터입니다. 그러나 이를 사용하여 기업을 보호하려면 데이터만 필요한 것이 아닙니다. 로그를 연결하여 안전한지 악성인지 식별해야 합니다. 공격자가 페이로드를 배포하거나 데이터를 훔치기 전에 모두 필요합니다. 여기서 상관 관계 규칙이 빛을 발합니다.

분석에서 상관관계는 두 요소 간의 관계 또는 연결을 의미합니다. 각 로그 데이터 간의 관계를 매핑하고 생성함으로써 상관관계를 파악할 수 있습니다. SIEM 상관관계 규칙, 당신의 SIEM 각 데이터 포인트를 서로 연관시켜 통합적으로 모니터링할 수 있습니다. 마지막으로, 이러한 데이터 시퀀스에 규칙을 추가하여 안전한 트래픽인지 잠재적으로 악의적인 트래픽인지 식별합니다. 정상적인 트래픽은 허용되고, 악성 또는 의심스러운 트래픽은 그렇게 표시되어 차단됩니다.

대다수의 공격은 특별히 독창적이지 않습니다. 악성 코드를 복사해서 붙여넣는 기회주의적인 공격은 너무 흔해서 '스크립트 키디'라는 별명까지 붙었습니다. 이것이 바로 대다수의 공격이 이러한 방식으로 이루어지는 이유입니다. SIEM 공격 표면 보호는 시그니처 기반 탐지를 통해 이루어집니다.

악성코드 시그니처 사이트 저장소는 끊임없이 확장되고 있으며, 그중 가장 잘 알려진 것 중 하나는 M&TRE ATTACK 데이터베이스입니다. 이 데이터베이스는 공격자들이 사용하는 특정 공격 방식을 식별하여 보안 전문가에게 오픈 소스 데이터베이스를 제공합니다. SIEM 규칙. 이러한 규칙 집합은 알려진 악의적인 행위의 패턴을 정의하는 데 기반합니다.

하지만 더 널리 퍼질수록 SIEM 이 규칙은 공격자가 이를 회피하는 데 더 많은 노력을 기울일수록 더욱 효과적이라는 것을 의미합니다. 따라서 상관관계 규칙은 공격자와 보안 분석가 간의 끊임없는 경쟁 속에 놓이게 됩니다. 그리고 보안 팀이 너무 많은 규칙을 만들기 시작하면, 공격자들의 공격에 압도될 위험이 있습니다. SIEM 오 탐지.
Stellar Cyber는 순수 상관관계 기반 방식이 직면했던 기존의 어려움을 해결합니다. SIEM머신러닝 분석을 한 단계 더 추가함으로써 가능합니다. 분석가는 상관관계 규칙을 사용하여 가능한 한 많은 경우를 검토할 수 있으며, 두 번째 분석 단계에서는 각 경고의 더 넓은 맥락을 평가하여 그 타당성을 판단합니다.