รายการตรวจสอบ SIEM: ตัวชี้วัดเฉพาะเพื่อประเมิน SIEM

หัวใจของการวิเคราะห์ภัยคุกคาม SIEM อยู่ที่กฎ โดยโดยพื้นฐานแล้ว แต่ละกฎจะกำหนดเหตุการณ์เฉพาะที่เกิดขึ้นตามจำนวนครั้งภายในระยะเวลาที่กำหนด ความท้าทายคือการกำหนดเกณฑ์เหล่านี้เพื่อแยกความแตกต่างระหว่างการรับส่งข้อมูลปกติและผิดปกติในสภาพแวดล้อมเฉพาะของคุณ กระบวนการนี้จำเป็นต้องสร้างพื้นฐานเครือข่ายโดยการรันระบบเป็นเวลาสองสามสัปดาห์และวิเคราะห์รูปแบบการรับส่งข้อมูล น่าประหลาดใจที่หลายองค์กรล้มเหลวในการปรับแต่ง SIEM ของตนให้เข้ากับสภาพแวดล้อมที่เป็นเอกลักษณ์ โดยหากไม่เป็นเช่นนั้น เครื่องมือ SIEM ก็อาจคุกคามทีมรักษาความปลอดภัยของคุณด้วยการแจ้งเตือนที่ไร้ประโยชน์ไม่รู้จบ แม้ว่าการจัดลำดับความสำคัญของสินทรัพย์สามารถช่วยเพิ่มประสิทธิภาพเวลาตอบสนองได้ แต่การปรับแต่งกฎจะช่วยให้ทีมลดผลบวกลวงได้ตั้งแต่แรก

เมื่อเจาะลึกลงไป จะพบว่ามีกฎอยู่ 2 ประเภท กฎการเชื่อมโยงคือกฎด้านบน ซึ่งเป็นกฎที่ใช้ข้อมูลเหตุการณ์ดิบและแปลงเป็นข้อมูลภัยคุกคามที่สามารถดำเนินการได้ แม้ว่าจะมีความสำคัญ แต่กฎการค้นหาทรัพย์สินอื่นๆ ก็ช่วยให้เครื่องมือ SIEM สามารถเพิ่มบริบทเพิ่มเติมได้โดยการระบุระบบปฏิบัติการ แอปพลิเคชัน และข้อมูลอุปกรณ์ที่เกี่ยวข้องกับบันทึกแต่ละรายการ กฎเหล่านี้มีความสำคัญเนื่องจากเครื่องมือ SIEM ของคุณต้องไม่เพียงแต่ส่งการแจ้งเตือนที่มีความสำคัญสูงเมื่อมีการโจมตี SQL เท่านั้น แต่ยังต้องพิจารณาด้วยว่าการโจมตีนั้นจะประสบความสำเร็จหรือไม่

ตัวอย่างเช่น หากช่วง IP ในฟีดมาจากกลุ่มแฮ็กเกอร์ที่รู้จัก ระบบก็สามารถยกระดับความสำคัญของเหตุการณ์ที่เกี่ยวข้องได้ ข้อมูลตำแหน่งทางภูมิศาสตร์ยังมีบทบาทในการช่วยปรับความสำคัญตามต้นทางหรือปลายทางของการรับส่งข้อมูลเครือข่าย อย่างไรก็ตาม ฟีดภัยคุกคามคุณภาพต่ำสามารถเพิ่มผลบวกลวงได้อย่างมาก โดยเน้นย้ำถึงความสำคัญของการเลือกฟีดที่เชื่อถือได้และอัปเดตเป็นประจำ

การแจ้งเตือนบวกปลอมนั้นไม่ได้เป็นเพียงความไม่สะดวกเล็กๆ น้อยๆ เท่านั้น แต่ยังอาจส่งผลเสียร้ายแรงได้ โดยเฉพาะเมื่อการแจ้งเตือนดังกล่าวส่งผลให้เกิดการแจ้งเตือนที่ต้องได้รับการแก้ไขทันทีในช่วงเช้าตรู่ การแจ้งเตือนที่ไม่จำเป็นเหล่านี้จะรบกวนการนอนหลับและส่งผลให้เจ้าหน้าที่รักษาความปลอดภัยเกิดความเหนื่อยล้าจากการแจ้งเตือน ซึ่งอาจทำให้เวลาในการตอบสนองช้าลงหรือพลาดภัยคุกคามที่แท้จริงได้ เมื่อระบบ SIEM สามารถเข้าถึงข้อมูลการจัดการการกำหนดค่าได้ ระบบจะได้รับข้อมูลเชิงลึกเกี่ยวกับสถานะการทำงานปกติของเครือข่ายและส่วนประกอบต่างๆ ซึ่งรวมถึงข้อมูลเกี่ยวกับการอัปเดตตามกำหนดเวลา กิจกรรมการบำรุงรักษา และการเปลี่ยนแปลงตามปกติอื่นๆ ที่อาจถูกตีความผิดว่าเป็นกิจกรรมที่น่าสงสัย การผสานรวมข้อมูลการจัดการการเปลี่ยนแปลงเข้ากับโซลูชัน SIEM นั้นมีความสำคัญอย่างยิ่งต่อการเพิ่มความแม่นยำและประสิทธิผล เนื่องจากจะช่วยให้ระบบสามารถแยกแยะระหว่างกิจกรรมปกติและผิดปกติได้อย่างมีประสิทธิภาพมากขึ้น

ด้วยรากฐานของกฎเกณฑ์ที่แข็งแกร่ง ในที่สุดโซลูชัน SIEM ของคุณก็สามารถเริ่มทำงานได้: ตรวจจับช่องโหว่