Rejestrowanie SIEM: przegląd i najlepsze praktyki
- Kluczowe dania na wynos:
-
Jakie są najlepsze praktyki rejestrowania danych w systemie SIEM?
Zbieraj logi z kluczowych systemów, normalizuj formaty i zapewnij scentralizowaną widoczność. -
Dlaczego organizacje powinny stawiać jakość rejestrów na pierwszym miejscu, a nie na ilość?
Trafne i dokładne logi redukują szumy i zwiększają dokładność wykrywania zagrożeń. -
Jakie są najważniejsze kwestie, które należy wziąć pod uwagę przy przechowywaniu dziennika?
Wymagania dotyczące zgodności, efektywności przechowywania danych i wymogów kryminalistycznych. -
Dlaczego wzbogacanie kłód jest ważne?
Dodaje kontekst do surowych danych, dzięki czemu wykrywanie i badanie danych staje się skuteczniejsze. -
Jakie są najczęstsze błędy podczas rejestrowania danych?
Nadmierne gromadzenie danych bez normalizacji, ignorowanie ważnych źródeł oraz słaba polityka przechowywania danych. -
W jaki sposób Stellar Cyber optymalizuje rejestrowanie danych w systemie SIEM?
Wykorzystuje Interflow™ do wzbogacania dzienników o metadane i wydajnego przechowywania ich w scentralizowanym jeziorze danych.
Security Information and Event Management (SIEM) to kluczowe narzędzie cyberbezpieczeństwa, które centralizuje informacje o bezpieczeństwie krążące wokół tysięcy punktów końcowych, serwerów i aplikacji w Twojej organizacji. Gdy użytkownicy końcowi i urządzenia wchodzą w interakcję z każdym punktem styku aplikacji, pozostawiają cyfrowe odciski palców w postaci dzienników. Te pliki tradycyjnie odgrywały dużą rolę w naprawianiu błędów i kontroli jakości: w końcu dostarczają informacji o błędach bezpośrednio ze źródła.
Jednak w 2005 r. specjaliści ds. bezpieczeństwa zaczęli dostrzegać prawdziwy potencjał tkwiący w tych małych plikach. Dostarczają one mnóstwo danych w czasie rzeczywistym, które można wprowadzić do rejestrowania SIEM, które monitoruje taką infrastrukturę IT. Od tego czasu kompromis między widocznością zagrożeń a objętością rejestrowania zdarzeń był starannie deptany przez specjalistów ds. bezpieczeństwa. W tym artykule omówiono kilka najlepszych praktyk zarządzania rejestrem SIEM, dzięki którym narzędzia bezpieczeństwa mogą osiągnąć swój pełny potencjał.
SIEM nowej generacji
Rozwiązanie SIEM nowej generacji Stellar Cyber, jako kluczowy komponent platformy Stellar Cyber Open XDR...
Poznaj bezpieczeństwo oparte na sztucznej inteligencji w akcji!
Odkryj najnowocześniejszą sztuczną inteligencję Stellar Cyber do natychmiastowego wykrywania zagrożeń i reagowania. Zaplanuj demo już dziś!
Dlaczego SIEM ma znaczenie
Główne znaczenie zarządzania logami SIEM leży w jego zdolności do wydajnej analizy ogromnych ilości tych logów, co pozwala analitykom bezpieczeństwa skupić się na krytycznych zagrożeniach. Ponadto systemy SIEM normalizują dane w heterogenicznych środowiskach przedsiębiorstw w celu uproszczonej analizy, zapewniają analizę zagrożeń w czasie rzeczywistym i historyczną na podstawie danych z logów, wysyłają automatyczne alerty priorytetyzowane według powagi, gdy wykryte zostaną potencjalne zagrożenia bezpieczeństwa, i prowadzą szczegółowe rejestry kluczowe dla reagowania na incydenty i dochodzeń kryminalistycznych. W istocie zarządzanie logami SIEM jest konieczne do ustanowienia i utrzymania solidnej i responsywnej postawy bezpieczeństwa w złożonym krajobrazie współczesnych środowisk IT.
Co to jest rejestrowanie SIEM i jak działa?
Aby zapewnić bezpieczeństwo w czasie rzeczywistym, oprogramowanie SIEM gromadzi logi z wielu źródeł i przesyła je do centralnego systemu rejestrowania. Z „Co to jest SIEM?” Odpowiedź brzmi: możliwe jest głębsze zagłębienie się w różnorodne metody stosowane w narzędziach SIEM
Zbieranie dzienników oparte na agentach
Nowe połączenie
Protokoły przesyłania strumieniowego zdarzeń
Podczas gdy zarówno metody rejestrowania oparte na agentach, jak i bezagentowe oferują różne sposoby zbierania danych, architektura oparta na zdarzeniach rekonceptualizuje ten proces jako przepływy zdarzeń przechodzące przez rzekę. Każde zdarzenie może zostać przechwycone i dalej przetworzone przez odbiorców w dół rzeki. NetFlow, protokół opracowany przez Cisco, jest jednym z przykładów tego podejścia. Gromadzi ruch sieciowy IP za każdym razem, gdy interfejs jest wchodził lub wychodził. Analiza danych NetFlow umożliwia administratorom sieci rozróżnianie krytycznych informacji, w tym źródła i miejsca docelowego ruchu, wykorzystywanych protokołów i czasu trwania komunikacji. Dane te są zbierane za pomocą kolektora NetFlow, który nie tylko przechwytuje istotne szczegóły ruchu, ale także rejestruje znaczniki czasu, żądane pakiety oraz interfejsy wejścia i wyjścia ruchu IP.
W obliczu coraz bardziej wyrafinowanych ataków strumieniowanie zdarzeń odgrywa kluczową rolę, ponieważ przekazuje kompleksowe informacje o ruchu sieciowym do urządzeń zabezpieczających, w tym zapór nowej generacji (NGFW), systemów wykrywania i zapobiegania włamaniom (IDS/IPS) oraz bram zabezpieczających (SWG).
Ogólnie rzecz biorąc, rejestrowanie SIEM staje się kluczowym elementem nowoczesnego cyberbezpieczeństwa, oferując zarówno analizę zagrożeń w czasie rzeczywistym, jak i analizę historyczną na podstawie danych z dziennika. Należy jednak pamiętać o różnicach między zwykłym zarządzaniem dziennikiem a SIEM.
SIEM a zarządzanie logami: kluczowe różnice
Podczas gdy logi stanowią trzon możliwości SIEM, istnieje zasadnicza różnica między procesami SIEM i zarządzania logami. Zarządzanie logami obejmuje systematyczne gromadzenie, przechowywanie i analizę danych logów pochodzących z różnych kanałów. Proces ten oferuje scentralizowaną perspektywę wszystkich danych logów i jest głównie wykorzystywany w celach takich jak zgodność, rozwiązywanie problemów systemowych i wydajność operacyjna. Jednak systemy zarządzania logami z natury nie przeprowadzają analizy danych logów – raczej to analityk ds. bezpieczeństwa musi zinterpretować te informacje i ocenić zasadność potencjalnych zagrożeń.
SIEM idzie o krok dalej, krzyżowo odwołując dzienniki zdarzeń do kontekstowych informacji dotyczących użytkowników, zasobów, zagrożeń i luk. Jest to osiągane za pomocą różnorodnego zestawu algorytmów i technologii do identyfikacji zagrożeń:
- Korelacja zdarzeń polega na wykorzystaniu wyrafinowanych algorytmów do analizy zdarzeń związanych z bezpieczeństwem, identyfikacji wzorców lub zależności wskazujących na potencjalne zagrożenia oraz generowania alertów w czasie rzeczywistym.
- Analiza zachowania użytkowników i podmiotów (UEBA) opiera się na algorytmach uczenia maszynowego w celu ustalenia linii bazowej normalnych działań specyficznych dla użytkowników i sieci. Wszelkie odchylenia od tego poziomu bazowego są oznaczane jako potencjalne zagrożenia bezpieczeństwa, co pozwala na kompleksową identyfikację zagrożeń i wykrywanie ruchu bocznego.
- Koordynacja zabezpieczeń i reakcja automatyzacji (SOAR) umożliwia narzędziom SIEM automatyczne reagowanie na zagrożenia, eliminując potrzebę czekania, aż technik bezpieczeństwa sprawdzi alerty. Ta automatyzacja usprawnia reakcję na incydenty i jest integralnym elementem SIEM.
- Kryminalistyka przeglądarek i analiza danych sieciowych Wykorzystaj zaawansowane możliwości wykrywania zagrożeń SIEM w celu identyfikacji złośliwych osób. Obejmuje to badanie kryminalistyki przeglądarki, danych sieciowych i dzienników zdarzeń w celu ujawnienia potencjalnych planów cyberataku.
Przypadkowy atak poufny
Przykładem zastosowania każdego komponentu w praktyce jest przypadkowy atak poufny.
Ataki te mają miejsce, gdy osoby nieumyślnie pomagają zewnętrznym złośliwym aktorom w postępie podczas ataku. Na przykład, jeśli pracownik błędnie skonfiguruje zaporę, może to narazić organizację na zwiększoną podatność. Rozpoznając krytyczne znaczenie konfiguracji zabezpieczeń, system SIEM może generować zdarzenie za każdym razem, gdy zostanie wprowadzona zmiana. Zdarzenie to jest następnie przekazywane analitykowi ds. bezpieczeństwa w celu dokładnego zbadania, upewniając się, że zmiana była celowa i prawidłowo wdrożona, tym samym wzmacniając organizację przed potencjalnymi naruszeniami wynikającymi z niezamierzonych działań wewnętrznych.
W przypadku całkowitego przejęcia konta UEBA umożliwia wykrywanie podejrzanych działań, takich jak dostęp konta do systemów poza ich zwykłym schematem, utrzymywanie wielu aktywnych sesji lub wprowadzanie jakichkolwiek zmian w dostępie root. W przypadku próby eskalacji uprawnień przez aktora zagrożenia system SIEM niezwłocznie przekazuje te informacje do zespołu ds. bezpieczeństwa, ułatwiając szybką i skuteczną reakcję na potencjalne zagrożenia bezpieczeństwa.
Najlepsze praktyki dotyczące rejestrowania SIEM
#1. Wybierz swoje wymagania wraz z weryfikacją koncepcji
Podczas testowania nowego narzędzia SIEM, Proof of Concepts zapewniają poligon doświadczalny. Podczas fazy PoC kluczowe jest osobiste kierowanie dzienników do systemu SIEM w celu oceny zdolności rozwiązania do normalizacji danych zgodnie ze szczególnymi wymaganiami. Proces ten można wzmocnić, włączając zdarzenia z niestandardowych katalogów w przeglądarce zdarzeń.
W tym punkcie widzenia można ustalić, czy zbieranie logów oparte na agencie jest dla Ciebie najlepsze. Jeśli chcesz zbierać logi przez sieci rozległe (WAN) i przez zapory, użycie agenta do zbierania logów może przyczynić się do zmniejszenia wykorzystania procesora serwera. Z drugiej strony zbieranie bez agenta może uwolnić Cię od wymagań dotyczących instalacji oprogramowania i skutkować niższymi kosztami konserwacji.
#2. Zbieraj odpowiednie kłody we właściwy sposób
#3. Bezpieczne dzienniki punktów końcowych
Często spotykaną przeszkodą w przypadku dzienników punktów końcowych jest ich ciągła zmiana, gdy systemy są okresowo odłączane od sieci, na przykład gdy stacje robocze są wyłączane lub laptopy są używane zdalnie. Ponadto obciążenie administracyjne związane ze zbieraniem dzienników punktów końcowych dodaje prawdziwy stopień złożoności. Aby sprostać temu wyzwaniu, można użyć funkcji przekazywania dziennika zdarzeń systemu Windows do przesyłania scentralizowanego systemu bez konieczności instalowania agenta lub dodatkowych funkcji, ponieważ jest ona z natury dostępna w podstawowym systemie operacyjnym Windows.
Podejście Stellar Cyber do dzienników punktów końcowych obsługuje szeroki zakres dzienników punktów końcowych, w tym Endpoint Detection and Response (EDR). Poprzez zastosowanie różnych ścieżek alertów do pewnych podzbiorów w różnych produktach EDR możliwe staje się dokładne i precyzyjne czyszczenie informacji dziennika punktów końcowych.
#4. Miej oko na PowerShell
PowerShell, obecnie wszechobecny w każdej instancji systemu Windows, począwszy od Windows 7, stał się znanym narzędziem dla atakujących. Należy jednak pamiętać, że PowerShell domyślnie nie rejestruje żadnych działań – należy to wyraźnie włączyć.
Jedną z opcji rejestrowania jest Module Logging, która dostarcza szczegółowych informacji o wykonaniu potoku, obejmujących inicjalizację zmiennych i wywołania poleceń. Natomiast Script Block Logging monitoruje wszystkie działania programu PowerShell kompleksowo, nawet gdy są wykonywane w skryptach lub blokach kodu. Oba te elementy muszą być brane pod uwagę, aby wygenerować dokładne dane o zagrożeniach i zachowaniach.
#5. Skorzystaj z Sysmona
#6. Alarmuj i reaguj
Pomimo mocy analitycznej, jaką uczenie maszynowe zapewnia narzędziom SIEM, ważne jest, aby umieścić je w kontekście
szerszy zakres Twojego ogólnego bezpieczeństwa. Szefem tego są Twoi analitycy ds. bezpieczeństwa – plan reagowania na incydenty zapewnia wyraźne wytyczne dla każdej strony zainteresowanej, umożliwiając płynną i skuteczną pracę zespołową.
Plan powinien wyznaczyć starszego lidera jako główną władzę odpowiedzialną za obsługę incydentów. Chociaż ta osoba może delegować uprawnienia innym osobom zaangażowanym w proces obsługi incydentów, polityka musi wyraźnie określać konkretne stanowisko z główną odpowiedzialnością za reagowanie na incydenty.
Stamtąd wszystko sprowadza się do zespołów reagowania na incydenty. W przypadku dużej globalnej firmy może być ich wiele, każdy dedykowany konkretnym obszarom geograficznym i obsadzony dedykowanym personelem. Z drugiej strony mniejsze organizacje mogą zdecydować się na jeden scentralizowany zespół, wykorzystując członków z różnych części organizacji w niepełnym wymiarze godzin. Niektóre organizacje mogą również zdecydować się na outsourcing niektórych lub wszystkich aspektów swoich działań reagowania na incydenty.
Utrzymywanie współpracy wszystkich zespołów to podręczniki, które stanowią podstawę dojrzałych reakcji na incydenty. Pomimo unikalnej natury każdego incydentu bezpieczeństwa, większość ma tendencję do przestrzegania standardowych wzorców aktywności, co sprawia, że standaryzowane reakcje są bardzo korzystne. W miarę jak to się dzieje, plan komunikacji reakcji na incydenty określa, w jaki sposób różne grupy komunikują się podczas aktywnego incydentu – w tym, kiedy władze powinny być zaangażowane.
5. Zdefiniuj i udoskonalaj reguły korelacji danych
Reguła korelacji SIEM służy jako dyrektywa dla systemu, wskazując sekwencje zdarzeń, które mogą sugerować anomalie, potencjalne słabości bezpieczeństwa lub cyberatak. Wyzwala powiadomienia dla administratorów, gdy spełnione są określone warunki, takie jak wystąpienie zdarzeń „x” i „y” lub „x”, „y” i „z” razem. Biorąc pod uwagę ogromną liczbę dzienników dokumentujących pozornie przyziemne czynności, dobrze zaprojektowana reguła korelacji SIEM jest kluczowa, aby przesiać szum i wskazać sekwencje zdarzeń wskazujące na potencjalny cyberatak.
Reguły korelacji SIEM, podobnie jak każdy algorytm monitorowania zdarzeń, mogą potencjalnie generować fałszywe alarmy. Nadmierna liczba fałszywych alarmów może marnować czas i energię administratorów bezpieczeństwa, ale osiągnięcie zerowych fałszywych alarmów w prawidłowo działającym systemie SIEM jest niepraktyczne. Dlatego podczas konfigurowania reguł korelacji SIEM istotne jest znalezienie równowagi między minimalizacją fałszywych alarmów pozytywnych a zapewnieniem, że żadne potencjalne anomalie wskazujące na cyberatak nie zostaną przeoczone. Celem jest optymalizacja ustawień reguł w celu zwiększenia dokładności wykrywania zagrożeń przy jednoczesnym unikaniu niepotrzebnych rozproszeń spowodowanych fałszywymi alarmami pozytywnymi.
SIEM nowej generacji i zarządzanie logami za pomocą Stellar Cyber
Platforma Stellar Cyber integruje technologię SIEM nowej generacji jako nieodłączną funkcję, oferując ujednolicone rozwiązanie poprzez konsolidację wielu narzędzi, w tym NDR, UEBA, Sandbox, TIP i innych, w jedną platformę. Integracja ta usprawnia operacje w spójny i dostępny pulpit nawigacyjny, co prowadzi do znacznej redukcji kosztów kapitałowych. Nasze zarządzanie logami SIEM jest wspomagane automatyzacją, która pozwala zespołom wyprzedzać zagrożenia, a konstrukcja SIEM nowej generacji umożliwia zespołom skuteczne zwalczanie nowoczesnych ataków. Aby dowiedzieć się więcej, zapraszamy do rezerwacji wersji demonstracyjnej naszego Platforma SIEM nowej generacji.
