SIEM Regras de Correlação: Aprimorando sua Detecção de Ameaças
Os logs representam as atividades em tempo real de cada canto da sua empresa. Cada log de auditoria contém informações sobre a atividade, os parâmetros, os recursos e o tempo de um usuário, tornando-os uma verdadeira mina de ouro de dados. Usar esses logs para proteger empresas exige mais do que apenas dados: os logs precisam ser encadeados e identificados como seguros ou maliciosos – tudo isso antes que o invasor consiga implantar uma carga útil ou roubar dados. É aqui que as regras de correlação brilham.
Em análise de dados, correlação é qualquer relação ou conexão entre dois elementos – mapeando a relação entre cada dado de registro e criando SIEM regras de correlação, suas SIEM é capaz de monitorar de forma coesa cada ponto de dados em relação aos demais. Por fim, essas sequências são identificadas como seguras ou potencialmente maliciosas pela adição de regras sobre esses dados. O tráfego legítimo é permitido, enquanto o tráfego malicioso ou suspeito é marcado como tal e bloqueado.
Next-Generation SIEM
Cibernética Estelar de Próxima Geração SIEM, como um componente crítico dentro da Stellar Cyber Open XDR Plataforma...
Experimente a segurança com tecnologia de IA em ação!
Descubra a IA de ponta da Stellar Cyber para detecção e resposta instantâneas a ameaças. Agende sua demonstração hoje mesmo!
Como SIEM Regras de correlação funcionam
Etapa 1: Centralização de Logs
Os registros de todos os seus sistemas são coletados e encaminhados para o SIEMIsso é possível graças a sensores e agentes – pequenos softwares instalados em dispositivos, redes e servidores que monitoram passivamente os pacotes de dados transferidos pela rede e as ações executadas nos dispositivos. Nesta etapa, o SIEM A ferramenta inicia o processo de extrair esses registros e inseri-los em um mecanismo de análise central.
Etapa 2: Normalização de dados
Embora os registros cubram todos os aspectos da sua infraestrutura, ela ainda é composta por aplicativos, servidores e hardware muito diferentes, cada um com seu formato exclusivo para listar entradas de registro. Os registros de eventos de diferentes fontes podem ter campos de informação e estruturas de dados drasticamente diferentes. O segundo passo para SIEM A correlação consiste em normalizar esses dados, o que funciona analisando os diferentes registros e convertendo-os em um formato consistente e padronizado.
Quanto mais eficiente for a normalização desses dados de log, mais rápido será o processo. SIEM pode começar a analisar e aplicar técnicas de detecção de ameaças.
Etapa 3: Correlação de dados
Com todos os dados de registro agora colhidos, o mecanismo de correlação consegue ver como eles se conformam a padrões comuns. Alguns SIEM As ferramentas atualmente só conseguem identificar strings individuais, mas soluções mais avançadas, como a da Stellar, adicionam uma segunda camada de correlação que analisa outros atributos, como parâmetros de requisição e resposta. Isso ajuda a consolidar a relação entre o comportamento e a entidade envolvida.
Isso é bastante complexo, então vamos considerar a correlação de dados no contexto de um ataque real: considere as tentativas de um invasor de forçar acesso a uma empresa por meio de seu provedor de Gerenciamento de Identidade e Acesso (IAM). Os comportamentos envolvidos podem incluir uma série de tentativas contínuas de login para obter acesso (ação A), seguidas por um login bem-sucedido (ação B). Em seguida, eles podem acessar o console de administração e criar um novo usuário com privilégios elevados – ou iniciar uma série de varreduras de portas para identificar áreas vulneráveis e recursos sensíveis. Vamos chamar essa ação de C.
A correlação baseada em regras permite que cada Técnica, Tática e Procedimento (TTP) seja colocada em uma sequência: essas correlações sequenciais podem então acionar uma ação de regra, que é repassada ao analista por meio de um alerta. É a maneira como esses atributos são combinados que define a capacidade de identificação de um sistema. SIEM ferramenta.
Correlação baseada em regras versus correlação comportamental
As ações envolvidas no ataque que acabamos de abordar podem ser descobertas de duas maneiras: a primeira é por meio de uma regra que declara explicitamente "se a ação A for seguida por B e depois por C, acione um alerta". Isso funciona muito bem se os analistas estiverem cientes da possibilidade desse ataque com antecedência e tiverem uma ideia aproximada do TTP que um invasor pode adotar.
No entanto, essa não é a única abordagem: esse ataque de força bruta também pode ser descoberto por uma regra mais geral: "se um conjunto de ações se desviar do comportamento normal de autenticação de um usuário final, acione um alerta". Essa regra se baseia em SIEM Ter uma compreensão histórica de como um usuário final geralmente age agora é possível graças à execução desses registros centralizados por meio de um algoritmo de aprendizado de máquina. Com isso, torna-se muito fácil estabelecer padrões diários de comportamento do usuário, do dispositivo e do tráfego – e, portanto, usar a correlação comportamental como base para SIEM regras. A correlação comportamental é frequentemente usada para produzir uma 'pontuação de risco', para a qual os analistas definem um limite aceitável.
Como dobramos o número de abordagens diferentes que podemos adotar para identificar ameaças, é mais importante do que nunca manter ativamente sua segurança atualizada. SIEM Regras simplificadas e de alto desempenho – discutiremos a melhor forma de alcançar isso abaixo.
Benefícios da SIEM Regras de correlação para detecção de ameaças
Detecção de ameaças baseada em assinatura
A grande maioria dos ataques não é particularmente original: atacantes oportunistas que copiam e colam código malicioso são tão comuns que ganharam o apelido de "script kiddies". É por isso que a grande maioria dos SIEM A proteção da superfície de ataque é feita por meio de detecção baseada em assinaturas.
Os repositórios de sites de assinaturas de malware estão em constante expansão: um dos mais conhecidos é o banco de dados M&TRE ATTACK. Este identifica as abordagens específicas utilizadas pelos atacantes e, portanto, fornece aos profissionais de segurança um banco de dados de código aberto para SIEM regras. Esses conjuntos de regras dependem da definição de padrões de comportamento malicioso conhecidos.
No entanto, quanto mais disseminado o SIEM A regra é a seguinte: quanto mais regras de correlação forem implementadas, mais os atacantes se concentrarão em evitá-las. Isso coloca as regras de correlação em uma corrida constante entre atacantes e analistas de segurança. E, se a equipe de segurança começar a criar regras demais, corre o risco de ser inundada por elas. SIEM falso-positivo.
A tecnologia Stellar Cyber elimina as antigas dificuldades enfrentadas pelos modelos puramente baseados em correlação. SIEMIsso é possível adicionando outra camada de análise de aprendizado de máquina. Os analistas podem abranger o máximo possível com regras de correlação, e então a segunda camada de análise avalia o contexto mais amplo de cada alerta para determinar sua legitimidade.
Regras pré-preenchidas para ameaças do mundo real
As regras de correlação são criadas especificamente para identificar ameaças comuns que hackers usam repetidamente para tentar acessar recursos. No entanto, a equipe de TI de uma única empresa pode não ter o conhecimento mais atualizado sobre TTPs do mundo real. Afinal, a inteligência de ameaças exige a coleta, o processamento e a aplicação contínuos de dados sobre agentes maliciosos, técnicas e indicadores de comprometimento.
É por isso que regras de correlação pré-definidas são tão vantajosas: essas abordagens pré-preenchidas são construídas a partir de uma visão macro do seu setor e do espaço de ameaças mais amplo. Cada variação de comportamento pode ser rotulada e associada ao seu tipo de alerta, reduzindo assim a natureza esporádica dos alertas de log para um todo mais simplificado.
Conformidade de dados e acesso
Organizações de praticamente todos os setores precisam demonstrar que cumprem determinadas leis, regras e regulamentos – e estes variam dependendo do setor em que você atua. Filiais europeias precisam ficar de olho no GDPR, enquanto qualquer empresa voltada para pagamentos precisa estar em conformidade com o PCI DSS.
O GDPR é uma das regulamentações mais rigorosas e abrangentes, exigindo segurança de dados em todos os processos técnicos de uma organização. Isso porque SIEM Os registros contabilizam a totalidade dos ativos e contas de usuário de uma organização, estando, portanto, em uma posição privilegiada para atingir esse objetivo.
Este é um verdadeiro benefício das regras de correlação: sua aplicabilidade universal. Ao enviar um alerta sempre que um conjunto de registros anormais é detectado, os analistas recebem um aviso prévio sobre possíveis problemas de conformidade. A capacidade de criar suas próprias regras também permite que as regulamentações de conformidade sejam incorporadas à sua estrutura de segurança desde a base. Se o PCI DSS exige que você mantenha todos os softwares antivírus de endpoint atualizados, implemente um SIEM Regra que avisa quando uma solução antimalware não foi atualizada. Mais avançada. SIEM As ferramentas permitem automatizar todo esse processo, mantendo um registro forense de suas ações. A aceleração proporcionada por SIEMÉ particularmente vital no contexto de regulamentações como o GDPR, que concede um pequeno prazo de 72 horas para informar e lidar com incidentes de segurança.
Detecção de ataques em vários estágios e ameaças persistentes avançadas (APTs)
Regras de correlação individuais são bastante simples, mas a granularidade dos logs permite uma resolução e mitigação muito mais precisas. É aqui que regras compostas podem ser excelentes na identificação de ameaças mais avançadas: elas aninham várias regras para aprimorar um comportamento específico dentro de um contexto específico. Por exemplo, se X tentativas de login na mesma estação de trabalho (e mesmo endereço IP) falharem em X minutos e usarem nomes de usuário diferentes – e se um login bem-sucedido ocorrer em qualquer computador da rede e vier do mesmo endereço IP – isso disparará um alerta.
Regras compostas podem ser vitais para bloquear pontos de entrada de APTs. É quando um invasor obtém acesso inicial à rede de uma organização, encontra um ponto de acesso seguro e simplesmente não faz nada com ele. Embora a ameaça possa parecer adormecida, é provável que esteja apenas esperando o momento oportuno – ou até mesmo um comprador para o exploit em andamento. Quando quiser, o invasor pode simplesmente passar pelo firewall e roubar dados ou implantar malware, já que sua conta ou ações são consideradas seguras.
Regras de correlação simples tradicionalmente não são confiáveis para descobrir APTs; se os analistas não estiverem cientes do potencial TTP, é improvável que descubram a ameaça.
Portanto, a abordagem mais confiável está um passo além das regras compostas: modelos comportamentais modernos permitem que ações passadas sejam inseridas no mecanismo de análise. A análise contínua do tráfego de rede de entrada e saída permite que qualquer desvio das ações esperadas do usuário seja sinalizado como arriscado.
Melhores práticas para construção SIEM Regras de correlação
Priorize casos de uso
Ao adaptar pela primeira vez um SIEM para sua empresa, SIEM As melhores práticas ditam que você tenha uma ideia clara dos casos de uso precisos do seu produto. SIEM resolveremos o problema. Classificados por ordem de prioridade, esses casos de uso precisam ser refinados, e as regras predefinidas devem ser avaliadas quanto à sua adequação à sua empresa. A partir daí, você poderá começar a editar ou adicionar informações a cada seção mais específica das regras de correlação.
Se você não sabe quais técnicas de ataque específicas podem ser utilizadas contra você, confira MITER ATT & CK or Cadeia de destruição cibernética da Lockheed. Ambos fazem um trabalho imenso para catalogar abordagens e explorações específicas dos invasores com profundidade extraordinária.
Faça uso do seu firewall
-
- A “Servidor de nomes desonesto” A regra deve monitorar qualquer dispositivo que tente acessar o aplicativo DNS com um destino diferente dos servidores DNS corporativos internos. Os dispositivos internos devem ser configurados para usar apenas os servidores DNS corporativos, que então acessam a Internet conforme necessário para resolver domínios desconhecidos.
- A “Servidor Proxy Desonesto” A regra deve observar firewalls de perímetro para qualquer tráfego da sub-rede LAN com destino à Internet nas portas TCP 80/443 ou para navegação na web e aplicativos SSL. O ideal é que apenas o tráfego do servidor proxy designado seja permitido; qualquer outro IP de origem que tente esse tipo de conexão pode indicar uma tentativa de burlar a segurança, seja por um usuário ou malware.
- A “Tráfego de BOTNET” A regra pode identificar softwares de comando e controle (C2) mais antigos que utilizam o Internet Relay Chat (IRC) para gerenciamento. Embora o IRC não seja inerentemente malicioso, sua presença em uma rede corporativa costuma ser suspeita. Esta regra deve disparar um alerta se qualquer host de origem ou destino estiver usando IRC, embora certos computadores de administração de rede possam precisar de exclusões.
Minimizar portas abertas
Por padrão, os sensores que escutam na porta 514 analisam os logs de entrada; isso ajuda a identificar o dispositivo de origem. Especificar uma porta mais direcionada para o seu tipo de log, em vez de usar a porta 514, oferece diversas vantagens. Isso acelera a ingestão de dados e a análise de logs, melhorando o desempenho do sensor, pois ele consegue identificar instantaneamente o dispositivo de origem. Por último, mas não menos importante, basear uma regra de correlação na porta correta é extremamente importante para preservar as informações do log.
Em vez disso, selecione a porta apropriada dependendo do formato:
- Common Event Format (CEF), Log Event Extended Format (LEEF) ou JSON: para esses tipos de log, encaminhe dados para a porta atribuída para esse padrão.
- Logs no formato Syslog padrão: use a porta designada para o fornecedor específico.
- Para formatos especializados, como Syslog combinado com expressões regulares, pares chave-valor ou CSV, utilize portas específicas do fornecedor.
Caça à Ameaça
Implementar a busca proativa de ameaças em conjunto com uma configuração adequada. SIEM O sistema aprimora significativamente suas capacidades de detecção de ameaças, adicionando peso considerável ao poder analítico da análise automatizada de logs. Embora um sistema devidamente configurado... SIEM É possível monitorar e alertar sobre muitas ameaças conhecidas de forma eficaz, e a adição de busca automatizada de ameaças permite a detecção de ataques sofisticados, em evolução ou furtivos que podem burlar as regras de correlação padrão.
Uma caça às ameaças SIEM Assim como o Stellar Cyber simula o potencial de ataque real de um alerta ou anomalia após sua geração, esse processo contínuo de validação ajuda a garantir que as regras de correlação sejam precisas, adaptáveis e eficazes contra métodos de ataque emergentes. Ele também influencia a priorização de alertas e fornece uma base para que os analistas realizem buscas manuais por ameaças. Os analistas podem pesquisar o registro do sandbox de malware para identificar tentativas de ataque, obtendo uma visão mais completa do ataque realizado contra eles.
Integrar para Resposta Rápida
Integrando um SIEM Dentro de uma estrutura tecnológica mais ampla, isso aprimora sua capacidade de detectar, analisar e responder a ameaças com eficácia. Isso pode incluir a vinculação de... SIEM Com ferramentas como detecção e resposta de endpoints (EDR), plataformas de inteligência de ameaças, sistemas de resposta a incidentes e soluções de orquestração, automação e resposta de segurança (SOAR). Melhor ainda, a integração com ferramentas de segurança abre caminho para respostas automatizadas a ameaças – um foco essencial da Stellar Cyber.
Vá além das regras básicas com os casos da Stellar Cyber
A Stellar Cyber adota uma abordagem multimodal para a criação de regras: oferecendo um conjunto de regras de correlação e análise comportamental orientada por ML, ela faz uso total de todos os logs gerados em sua empresa. Os alertas são criados conforme os dados de log acionam regras individuais, mas a Stellar os correlaciona em casos unificados, cada um representando uma coleção de alertas potencialmente conectados dentro de uma única estrutura de dados. A partir daí, os analistas recebem um conjunto de playbooks e opções de remediação projetados para minimizar o MTTR.
A verificação cruzada de alertas da Stellar Cyber oferece um contexto mais profundo, permitindo que os analistas determinem se estão lidando com um ataque genuíno, comportamento de alto risco ou simplesmente eventos coincidentes. Veja como configurar respostas automatizadas e bloquear tráfego malicioso imediatamente. com uma demonstração hoje.
