SIEM Pag-log: Pangkalahatang-ideya at Pinakamahuhusay na Kasanayan
- Key Takeaways:
-
Ano ang mga SIEM mga pinakamahuhusay na kagawian sa pag-log?
Kolektahin ang mga log mula sa mga kritikal na system, gawing normal ang mga format, at tiyakin ang sentralisadong visibility. -
Bakit dapat unahin ng mga organisasyon ang kalidad ng log kaysa sa dami?
Ang mga nauugnay at high-fidelity na log ay nagpapababa ng ingay at nagpapahusay sa katumpakan ng pagtuklas ng pagbabanta. -
Ano ang mga pangunahing pagsasaalang-alang para sa pagpapanatili ng log?
Mga utos sa pagsunod, kahusayan sa imbakan, at mga kinakailangan sa forensic. -
Bakit mahalaga ang pagpapayaman ng log?
Nagdaragdag ito ng konteksto sa raw data, na ginagawang mas epektibo ang pagtuklas at pagsisiyasat. -
Ano ang mga karaniwang pagkakamali sa pag-log?
Overcollection nang walang normalisasyon, binabalewala ang mga kritikal na mapagkukunan, at mahinang mga patakaran sa pagpapanatili. -
Paano nag-o-optimize ang Stellar Cyber SIEM pagtotroso?
Gumagamit ito ng Interflow™ upang pagyamanin ang mga log gamit ang metadata at mahusay na iniimbak ang mga ito sa isang sentralisadong lawa ng data.
Impormasyon sa Seguridad at Pamamahala ng Kaganapan (SIEM) ay isang mahalagang kasangkapan sa cybersecurity na nagsentro sa impormasyon ng seguridad na umiikot sa libu-libong endpoint, server, at application sa loob ng iyong organisasyon. Habang nakikipag-ugnayan ang mga end-user at device sa bawat touchpoint ng application, nag-iiwan ang mga ito ng mga digital fingerprint sa anyo ng mga log. Ang mga file na ito ay tradisyonal na gumanap ng malaking papel sa pag-aayos ng bug at pagkontrol ng kalidad: tutal, nagbibigay ang mga ito ng impormasyon ng error direkta mula sa pinagmulan.
Gayunpaman, noong 2005, sinimulang mapagtanto ng mga propesyonal sa seguridad ang tunay na potensyal na nasa maliliit na file na ito. Nagbibigay ang mga ito ng maraming real-time na data na maaaring ipasok sa SIEM pag-log na nagmomonitor sa naturang imprastraktura ng IT. Mula noon, ang tradeoff sa pagitan ng visibility ng banta at dami ng event log ay maingat na pinag-aralan ng mga propesyonal sa seguridad. Sasaklawin ng artikulong ito ang ilang pinakamahusay na kasanayan para sa SIEM pamamahala ng log – kung saan maaaring maabot ng iyong security tooling ang buong potensyal nito
Susunod na henerasyon SIEM
Stellar Cyber Susunod na Henerasyon SIEM, bilang isang kritikal na bahagi sa loob ng Stellar Cyber Open XDR Plataporma...
Damhin ang AI-Powered Security in Action!
Tuklasin ang cutting-edge AI ng Stellar Cyber para sa instant na pagtuklas at pagtugon sa pagbabanta. Iskedyul ang iyong demo ngayon!
Bakit SIEM Usapin
Ang pangunahing kahalagahan ng SIEM Ang pamamahala ng log ay nakasalalay sa kakayahan nitong mahusay na suriin ang napakaraming bilang ng mga log na ito, na nagbibigay-daan sa mga security analyst na tumuon sa mga kritikal na banta. Bukod dito, SIEM Nio-normalize ng mga sistema ang datos sa magkakaibang kapaligiran ng negosyo para sa pinasimpleng pagsusuri, nagbibigay ng real-time at historical na pagsusuri ng banta batay sa datos ng log, nagpapadala ng mga awtomatikong alerto na inuuna ayon sa kalubhaan kapag natukoy ang mga potensyal na banta sa seguridad, at nagpapanatili ng mga detalyadong talaan na mahalaga para sa pagtugon sa insidente at mga imbestigasyon sa forensic. Sa esensya, SIEM Ang pamamahala ng log ay mahalaga para sa pagtatatag at pagpapanatili ng isang matatag at tumutugong postura sa seguridad sa masalimuot na tanawin ng mga kontemporaryong kapaligiran ng IT.
Ano ang SIEM Pag-log at Paano Ito Gumagana?
Upang makapagbigay ng seguridad sa totoong oras, SIEM Kinokolekta ng software ang mga log mula sa maraming pinagmulan at ipinapadala ang mga ito sa isang sentral na sistema ng pag-log. Gamit ang Ano ang SIEM? ' nasagot, posibleng mas malalimang talakayin ang iba't ibang pamamaraang ginagamit ng SIEM pagkamakina
Koleksyon ng Log na nakabatay sa ahente
Direktang Koneksyon
Mga Protokol ng Pag-stream ng Kaganapan
Bagama't ang parehong paraan ng pag-log na batay sa ahente at walang ahente ay nag-aalok ng mga natatanging paraan upang mangolekta ng data, nire-reconceptualize ng arkitektura na nakabatay sa kaganapan ang prosesong ito bilang mga daloy ng mga kaganapang naglalakbay sa isang ilog. Ang bawat kaganapan ay maaaring makuha at higit pang maproseso ng mga consumer sa ibaba ng agos. Ang NetFlow, isang protocol na ginawa ng Cisco, ay isang halimbawa ng diskarteng ito. Kinokolekta nito ang trapiko ng IP network sa tuwing ang isang interface ay ipinasok o lalabas. Ang pagsusuri ng data ng NetFlow ay nagbibigay ng kapangyarihan sa mga administrator ng network na makilala ang mga kritikal na impormasyon, kabilang ang pinagmulan at destinasyon ng trapiko, ang mga protocol na ginamit, at ang tagal ng komunikasyon. Kinokolekta ang data na ito sa pamamagitan ng isang NetFlow collector, na hindi lamang kumukuha ng mahahalagang detalye ng trapiko ngunit nagtatala din ng mga timestamp, hiniling na mga packet, at ang entry at exit interface ng IP traffic.
Sa harap ng mga dumaraming sopistikadong pag-atake, ang streaming ng kaganapan ay gumaganap ng isang mahalagang papel sa pamamagitan ng pag-funnel ng komprehensibong impormasyon tungkol sa trapiko sa network sa mga panseguridad na device, kabilang ang mga susunod na henerasyong firewall (NGFW), intrusion detection at prevention system (IDS/IPS), at security web gateway (SWG).
Sa pangkalahatan, SIEM Ang pag-log ay lumilitaw bilang isang mahalagang elemento sa modernong cybersecurity, na nag-aalok ng parehong real-time at historical threat analysis batay sa log data. Gayunpaman, mahalagang tandaan ang mga pagkakaiba sa pagitan ng simpleng pamamahala ng log at SIEM.
SIEM vs Pamamahala ng Log: Mga Pangunahing Pagkakaiba
Habang ang mga troso ang bumubuo sa gulugod ng SIEM mga kakayahan, mayroong isang pangunahing pagkakaiba sa pagitan ng mga proseso ng SIEM at pamamahala ng log. Ang Pamamahala ng Log ay kinabibilangan ng sistematikong pangongolekta, pag-iimbak, at pagsusuri ng datos ng log na nagmula sa iba't ibang channel. Ang prosesong ito ay nag-aalok ng isang sentralisadong pananaw sa lahat ng datos ng log at pangunahing ginagamit para sa mga layunin tulad ng pagsunod, pag-troubleshoot ng system, at kahusayan sa pagpapatakbo. Gayunpaman, ang mga sistema ng pamamahala ng log ay hindi likas na nagsasagawa ng pagsusuri sa datos ng log – sa halip, nasa security analyst ang pagbibigay-kahulugan sa impormasyong ito at paghatol sa bisa ng mga potensyal na banta.
SIEM Mas pinalalawak pa ang prosesong ito sa pamamagitan ng pag-cross-reference sa mga event log na may impormasyong kontekstwal na nauukol sa mga user, asset, banta, at kahinaan. Nakakamit ito sa pamamagitan ng magkakaibang hanay ng mga algorithm at teknolohiya para sa pagtukoy ng banta:
- Pagwawasto ng Kaganapan nagsasangkot ng paggamit ng mga sopistikadong algorithm upang pag-aralan ang mga kaganapan sa seguridad, pagtukoy ng mga pattern o relasyon na nagpapahiwatig ng mga potensyal na banta at pagbuo ng mga real-time na alerto.
- Pagsusuri sa Pag-uugali ng Gumagamit at Entidad (UEBA) umaasa sa mga algorithm ng machine learning upang magtatag ng baseline ng mga normal na aktibidad na partikular sa mga user at sa network. Ang anumang mga paglihis mula sa baseline na ito ay na-flag bilang mga potensyal na banta sa seguridad, na nagbibigay-daan para sa kumplikadong pagkilala sa banta at ang pagtukoy ng paggalaw sa gilid.
- Security Orchestration and Automation Response (SOAR) Binibigyang-daan SIEM mga kagamitan upang awtomatikong tumugon sa mga banta, na inaalis ang pangangailangang maghintay para sa isang security technician na suriin ang mga alerto. Pinapadali ng automation na ito ang pagtugon sa insidente at isang mahalagang bahagi ng SIEM.
- Browser Forensics at Network Data Analysis magamit SIEMmga advanced na kakayahan sa pagtukoy ng banta upang matukoy ang mga malisyosong insider. Kabilang dito ang pagsusuri sa forensics ng browser, data ng network, at mga event log upang ipakita ang mga potensyal na plano ng pag-atake sa cyber.
Aksidenteng Insider Attack
Ang isang halimbawa ng kung paano maisasagawa ang bawat bahagi ay isang hindi sinasadyang pag-atake ng tagaloob.
Nangyayari ang mga pag-atakeng ito kapag hindi sinasadyang tinutulungan ng mga indibidwal ang mga panlabas na malisyosong aktor na sumulong sa panahon ng isang pag-atake. Halimbawa, kung ang isang empleyado ay magkamali sa pag-configure ng isang firewall, maaari nitong ilantad ang organisasyon sa mas mataas na kahinaan. Kinikilala ang kritikal na kahalagahan ng mga configuration ng seguridad, ang isang SIEM Maaaring makabuo ang sistema ng isang kaganapan sa bawat pagkakataong may pagbabagong gagawin. Ang kaganapang ito ay itinataas sa isang security analyst para sa masusing pagsusuri, tinitiyak na ang pagbabago ay sinadya at wastong naipatupad, sa gayon ay pinapalakas ang organisasyon laban sa mga potensyal na paglabag na nagmumula sa hindi sinasadyang mga aksyon ng tagaloob.
Sa mga kaso ng direktang pagkuha ng account, UEBA nagbibigay-daan para sa pagtuklas ng mga kahina-hinalang aktibidad tulad ng pag-access ng account sa mga system sa labas ng kanilang karaniwang pattern, pagpapanatili ng maraming aktibong sesyon, o paggawa ng anumang mga pagbabago sa root access. Kung sakaling may isang threat actor na nagtatangkang i-escalate ang mga pribilehiyo, isang SIEM agad na ipinapadala ng sistema ang impormasyong ito sa security team, na nagpapadali sa mabilis at epektibong pagtugon sa mga potensyal na banta sa seguridad.
SIEM Pinakamahuhusay na Kasanayan sa Pag-log
#1. Piliin ang Iyong Mga Kinakailangang May Patunay ng Konsepto
Kapag sumusubok ng bago SIEM Ang kagamitang ito, ang Proof of Concepts, ay nagbibigay ng lugar para sa pagsubok. Sa panahon ng PoC phase, mahalagang personal na idirekta ang mga log sa SIEM sistema upang masukat ang kakayahan ng solusyon na gawing normal ang data ayon sa mga partikular na kinakailangan. Ang prosesong ito ay maaaring mapalakas sa pamamagitan ng pagsasama ng mga kaganapan mula sa mga hindi karaniwang direktoryo sa loob ng event viewer.
Ang POC na ito ay kung saan posibleng matukoy kung ang koleksyon ng log na batay sa ahente ay pinakamainam para sa iyo. Kung umaasa kang makakalap ng mga log sa Wide Area Network (WAN) at sa pamamagitan ng mga firewall, ang paggamit ng ahente para sa pagkolekta ng log ay maaaring mag-ambag sa pagbawas sa paggamit ng CPU ng server. Sa kabilang banda, ang pagkolekta ng walang ahente ay makapagpapaginhawa sa iyo ng mga hinihingi sa pag-install ng software, at magreresulta sa mas mababang gastos sa pagpapanatili.
#2. Kolektahin ang Tamang Log sa Tamang Daan
#3. Mga Secure na Endpoint Log
Ang isang madalas na nakakaharap na balakid sa mga endpoint log ay nakasalalay sa kanilang patuloy na pagbabago, kapag ang mga system ay paminsan-minsang nadidiskonekta sa network, tulad ng kapag ang mga workstation ay pinatay o ang mga laptop ay ginagamit nang malayuan. Bukod dito, ang administratibong pasanin ng endpoint log collection ay nagdaragdag ng tunay na antas ng pagiging kumplikado. Upang matugunan ang hamon na ito, ang Windows Event Log Forwarding ay maaaring gamitin upang magpadala ng isang sentralisadong sistema nang hindi nangangailangan ng pag-install ng ahente o karagdagang mga tampok, dahil likas itong magagamit sa loob ng base Windows operating system.
Ang diskarte ng Stellar Cyber sa mga endpoint log ay sumusuporta sa magkakaibang hanay ng mga endpoint log, kabilang ang Endpoint Detection and Response (EDR). Sa pamamagitan ng paglalapat ng iba't ibang mga daanan ng alerto sa ilang partikular na subset sa iba't ibang produkto ng EDR, mas nagiging posible ang tumpak at tumpak na paglilinis ng impormasyon sa log ng endpoint.
#4. Abangan ang PowerShell
Ang PowerShell, na ngayon ay nasa lahat ng dako sa bawat Windows instance mula sa Windows 7 pasulong, ay naging isang kilalang tool para sa mga umaatake. Gayunpaman, mahalagang tandaan na ang PowerShell, bilang default, ay hindi nagla-log ng anumang mga aktibidad - dapat itong tahasang pinagana.
Ang isang opsyon sa pag-log ay ang Module Logging, na nagbibigay ng detalyadong impormasyon sa pagpapatupad tungkol sa pipeline, na sumasaklaw sa variable initialization at command invocations. Sa kabaligtaran, komprehensibong sinusubaybayan ng Script Block Logging ang lahat ng aktibidad ng PowerShell, kahit na isinagawa sa loob ng mga script o block ng code. Ang parehong mga ito ay kailangang isaalang-alang upang makagawa ng tumpak na data ng pagbabanta at pag-uugali.
#5. Sulitin ang Sysmon
#6. Alerto at Tumugon
Sa kabila ng kakayahang analitikal na ibinibigay ng machine learning sa SIEM mga kagamitan, mahalagang i-konteksto ito sa
mas malawak na saklaw ng iyong pangkalahatang seguridad. Ang pinuno nito ay ang iyong mga security analyst – isang plano sa pagtugon sa insidente ay nagbibigay ng tahasang mga alituntunin para sa bawat stakeholder, na nagbibigay-daan sa tuluy-tuloy at epektibong pagtutulungan ng magkakasama.
Ang plano ay dapat magtalaga ng isang nakatataas na pinuno bilang pangunahing awtoridad na responsable para sa paghawak ng insidente. Bagama't maaaring magtalaga ng awtoridad ang indibidwal na ito sa iba pang sangkot sa proseso ng paghawak ng insidente, dapat na tahasang tukuyin ng patakaran ang isang partikular na posisyon na may pangunahing responsibilidad para sa pagtugon sa insidente.
Mula doon, bumaba ito sa mga pangkat ng pagtugon sa insidente. Sa kaso ng isang malaking pandaigdigang kumpanya, maaaring mayroong marami, ang bawat isa ay nakatuon sa mga partikular na heyograpikong lugar at may tauhan na may dedikadong tauhan. Sa kabilang banda, ang mga maliliit na organisasyon ay maaaring mag-opt para sa isang solong sentralisadong koponan, na gumagamit ng mga miyembro mula sa iba't ibang bahagi ng organisasyon sa isang part-time na batayan. Ang ilang organisasyon ay maaari ding magpasya na i-outsource ang ilang partikular o lahat ng aspeto ng kanilang mga pagsusumikap sa pagtugon sa insidente.
Ang pagpapanatiling kooperatiba ng lahat ng mga koponan ay mga playbook, na nagsisilbing pundasyon ng mga mature na tugon sa insidente. Sa kabila ng kakaibang katangian ng bawat insidente sa seguridad, ang karamihan ay may posibilidad na sumunod sa mga karaniwang pattern ng aktibidad, na ginagawang lubos na kapaki-pakinabang ang mga standardized na tugon. Habang nagaganap ito, binabalangkas ng isang plano sa komunikasyon sa pagtugon sa insidente kung paano nakikipag-usap ang iba't ibang grupo sa panahon ng isang aktibong insidente - kabilang ang kung kailan dapat kasangkot ang mga awtoridad.
5. Tukuyin at Pinuhin ang Mga Panuntunan sa Pag-uugnay ng Data
A SIEM Ang tuntunin ng ugnayan ay nagsisilbing direktiba para sa sistema, na nagpapahiwatig ng mga pagkakasunud-sunod ng mga kaganapan na maaaring magmungkahi ng mga anomalya, potensyal na kahinaan sa seguridad, o isang cyber attack. Nagti-trigger ito ng mga abiso sa mga administrador kapag natugunan ang mga partikular na kundisyon, tulad ng paglitaw ng mga kaganapang "x" at "y" o "x," "y," at "z" nang magkasama. Dahil sa napakaraming log na nagdodokumento ng mga tila pangkaraniwang aktibidad, isang mahusay na dinisenyong SIEM Ang tuntunin ng ugnayan ay mahalaga upang masuri ang ingay at matukoy ang mga pagkakasunud-sunod ng mga pangyayaring nagpapahiwatig ng isang potensyal na cyberattack.
SIEM Ang mga tuntunin sa ugnayan, tulad ng anumang algorithm sa pagsubaybay sa kaganapan, ay may potensyal na makagawa ng mga maling positibo. Ang labis na mga maling positibo ay maaaring mag-aksaya ng oras at lakas ng mga administrador ng seguridad, ngunit ang pagkamit ng zero na mga maling positibo sa isang maayos na gumaganang sistema. SIEM ay hindi praktikal. Samakatuwid, kapag kino-configure SIEM mga tuntunin ng ugnayan, mahalagang magkaroon ng balanse sa pagitan ng pagliit ng mga false positive na alerto at pagtiyak na walang mga potensyal na anomalya na nagpapahiwatig ng isang cyber attack ang napapalampas. Ang layunin ay i-optimize ang mga setting ng panuntunan upang mapahusay ang katumpakan sa pagtukoy ng banta habang iniiwasan ang mga hindi kinakailangang abala na dulot ng mga false positive.
Susunod na henerasyon SIEM at Pamamahala ng Log gamit ang Stellar Cyber
Pinagsasama ng platform ng Stellar Cyber ang Next-Gen SIEM bilang isang likas na kakayahan, na nag-aalok ng isang pinag-isang solusyon sa pamamagitan ng pagsasama-sama ng maraming kagamitan, kabilang ang NDR, UEBA, Sandbox, TIP, at higit pa, sa iisang plataporma. Pinapadali ng integrasyong ito ang mga operasyon tungo sa isang magkakaugnay at madaling ma-access na dashboard, na humahantong sa isang makabuluhang pagbawas sa mga gastos sa kapital. Ang aming SIEM Ang pamamahala ng log ay pinapagana ng automation na nagbibigay-daan sa mga koponan na manatiling nangunguna sa mga banta, habang ang disenyo ng Next Gen SIEM nagbibigay-kakayahan sa mga koponan na epektibong labanan ang mga modernong pag-atake. Para matuto pa, malugod kang inaanyayahan na mag-book ng demo para sa aming Susunod na henerasyon SIEM Platform.
