Gnóthachain:
- A thuiscint go ndéanann hintleachta saorga achoimre agus braislí na mílte línte logála, bunaítear amlíne agus leagann sé béim ar phatrúin amhrasacha, ach cinneann an t-anailísí gur ionsaí fíor é an ócáid leis an logáil amh.
- Cumas bunlíne (gnáthiompar) a chur i bhfeidhm agus aláram SIEM á mheas agus conas fáil réidh le rudaí bréagacha gan comhthéacs agus conas nach féidir an aimhrialtacht a léirmhíniú
- Cumas a fháil ar an nós a fhíorú an slabhra imeachtaí arna bhunú ag hintleachta saorga sa loga amh agus deireadh a chur le comhghaolta bréagach
Caitheann anailísí slándála an chuid is mó dá lá ag léamh logaí. Is éard is loga ann ná líne téacs a chuireann stampa ama ar an méid a tharla ar chóras: cé a logáil isteach cathain, cén comhad a bhfuarthas rochtain air, cén ceangal ar diúltaíodh dó. Ní hé an fhadhb atá ann go bhfuil logáil ró-bheag, is é go bhfuil an oiread sin de go bhfuil sé suffocating. Táirgeann eagraíocht mheánmhéide na céadta milliún línte logála in aghaidh an lae. Sa charn seo, is é rian an fhíorionsaí ná an tsnáthaid sa stoc féir. Tá SIEM (Faisnéis Slándála agus Bainistíocht Imeachtaí - an córas a bhailíonn agus a chomhghaolann logaí ó fhoinsí éagsúla in aon ionad amháin agus a tháirgeann aláraim bunaithe ar rialacha) ann chun an tsnáthaid seo a aimsiú; ach tá formhór na n-aláram a ghineann SIEM ina n-aláram dearfacha bréagacha freisin (aláraim futile nach bagairtí iad i ndáiríre). Is é post fíor an anailísí an comhartha fíor a bhaint as an torann seo.
Is áis chumhachtach í intleacht shaorga sa sórtáil seo. Is féidir leis na mílte línte logála a léamh i soicindí agus achoimre a dhéanamh orthu i dteanga dhaonna, braisle patrúin athfhillteacha, cur síos a dhéanamh ar shlabhra imeachtaí mar "an chéad uair a tharla sé seo, ansin é sin," agus mínigh cén fáth a bhfuil cuma amhrasach ar aláram. Ach níl a fhios ag an AI cad a chiallaíonn an loga laistigh de chomhthéacs na hinstitiúide: is ionsaí in institiúid amháin é "rochtain ar 3am", gnáthshift oíche in institiúid eile. Mar sin déanann an AI achoimre agus bratach a chur ar an logáil, ach déanann an t-anailísí cinneadh an bhfuil imeacht fíor-ionsaí agus é a fhíorú leis an logáil amh.
Céimeanna anailíse logála
Seo mar a ritheann tú logáil céim ar chéim / anailís SIEM le AI:
- Bailigh agus gan ainm. Bain an blúire loga ábhartha; cuir sealbhóirí áite (USER_A, IC_IP_1) in ionad IPanna iarbhír, ainmneacha úsáideoirí, óstaigh ainmneacha inmheánacha. Ná easpórtáil sonraí amh mar atá chuig uirlis sheachtrach.
- Tabhair an comhthéacs. Inis don AI foinse an loga (balla dóiteáin, logáil imeacht Windows, freastalaí gréasáin), cad é an gnáth-iompraíocht, agus cad atá á lorg agat. Tá anailís logála gan comhthéacs míthreorach.
- Déan achoimre agus comhiomlán. Iarr ar an AI na mílte sraitheanna a ghrúpáil de réir cineálacha imeachta, comhaireamh tarluithe a bhaint as, agus amlíne a chruthú.
- Bíodh patrúin amhrasacha curtha in iúl. Aibhsigh patrúin mar "logáil isteach rathúil amháin tar éis logáil isteach nár éirigh leo", "go leor rochtain ar chomhaid i dtréimhse ghearr ama", "nasc líonra a bhaineann le próiseas anaithnid".
- Fíoraigh le fianaise amh. Aimsigh agus deimhnigh gach patrún go bhfuil an AI bratacha sna línte loga iarbhír. Déan scanadh duit féin freisin ar na réimsí a chailleann an AI.
- Cinneadh agus clárú. Déan an t-imeacht iarbhír a dhearbhú mar anailísí, ticéad a oscailt, agus doiciméadaigh nach bhfuil san AI ach luasaire.
Cúpla téarma: Is é foinse loga an córas a tháirgeann an logáil. Is éard atá i gceist le comhghaol ná imeachtaí ó fhoinsí éagsúla a thabhairt le chéile agus ciall a bhaint astu (logáil isteach VPN + rochtain comhad + aistriú sonraí = sceitheadh féideartha). Is éard is bunlíne ann ná gnáth-iompraíocht an chórais a thomhas; Ní dhéanann aimhrialtacht ciall ach i gcoibhneas leis an mbunlíne. Is cur chuige AI-bhunaithe é UEBA (Anailís Iompraíochta Úsáideoirí agus Aonáin) a fhoghlaimíonn gnáth-iompraíocht gach úsáideoir agus bratacha diall.
chairt comparáide
Cur Chuige
Conas a oibríonn sé
pointe láidir
laige
SIEM bunaithe ar rialacha
Rialacha seasta "más ansin".
Trédhearcach, inmhínithe
Chailleann ionsaí anaithnid, go leor de na rudaí dearfacha bréagach
Brath bunaithe ar shíniú
Meaitseálann patrún aitheanta dona
Go tapa ar bhagairt aitheanta
Dall d'ionsaí nua/athraithe
Aimhrialtacht/UEBA (AI)
Faightear diall ón ngnáth
Is féidir leis an anaithnid a ghabháil
Aimhrialtacht = ní ionsaí; riosca dearfacha bréagacha
Achoimre le AI
Déanann sé achoimre ar an teanga logála isteach
Luas, inléiteacht
Gan comhthéacs, riosca siabhránachtaí
Anailísí (daonna)
Tuairimí le comhthéacs
cinneadh, freagracht
Mall, éiríonn tuirseach, ní scála
Ní hé an socrú ceart ceann a phiocadh ach ciseal a dhéanamh: déanann SIEM agus síniú an torann a scagadh go garbh, déanann AI achoimre agus béim, fíoraíonn an anailísí agus cinneann.
trí chás mion
Cás 1 - 50,000 líne, 6 nóiméad. Déanann anailísí anaithnid ar 50,000 líne de logaí rochtana ó fhreastalaí gréasáin chuig an AI. Cinneann an AI gur shreap IP seachtrach amháin / bealach riaracháin le 12,000 iarratas i 3 huaire, rinne sé iarracht 480 paraiméadair dhifriúla, agus fuair sé 200 freagra 3 huaire. Aimsíonn an anailísí na 3 iarratas rathúla seo sa logáil amh, fíoraíonn sé gur fíor-ionsaí áirimh cosáin é, agus déanann sé an IP a bhlocáil. Thógfadh sé uaireanta an chloig a léamh de láimh 50,000; Ghearr an achoimre síos go 6 nóiméad é, ach ba é cinneadh an anailísí é.
Cás 2 — Comhghaolú suarach. Insíonn anailísí eile don AI, “cuir síos ar an slabhra ionsaithe sa loga seo.” Tógann an AI scéal sreabhach: "Ag 02:11, d'ardaigh USER_B pribhléid agus d'easpórtáil na sonraí." Osclaíonn an anailísí an logáil amh sula scríobhann sé sa tuarascáil é; ach sa loga níl aon ardú pribhléide ná aistriú sonraí - luíonn an tsamhail slabhra tipiciúil imeachtaí isteach sa "scéal ionsaithe." Sliocht an anailísí an t-éileamh. Ceacht: Ba cheart gach slabhra a insíonn an AI a fhíorú sa log.
Cás 3 - Athrú oíche dearfach bréagach. Léiríonn samhail UEBA úsáideoir a fhaigheann rochtain ar 900 comhad ag 3 am mar "aimhrialtacht ardriosca." Seiceálann an anailísí an comhthéacs: is oibreoir cúltaca é an t-úsáideoir agus ritheann an post seo ag 03:00 gach oíche; Níor breathnaíodh ar an mbunlíne. Is dearfach bréagach é an t-aláram. Socraíonn an anailísí an riail agus cuireann sé an t-oibreoir seo leis an liosta eisceachta. Ní ionsaí i gcónaí é aimhrialtacht; Gan comhthéacs, is torann é aláraim.
Leid lag / Pras láidir
Leid lag:
Scrúdaigh an loga seo, inis dom an bhfuil ionsaí ann.[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]
Tá an fíor IP agus an t-úsáideoir (sárú príobháideachta) sa leid seo, ní insíonn sé an fhoinse logála agus gnáth-iompraíocht, ní iarrann sé fianaise ar an AI agus meastóireacht dhearfach bréagach. Is féidir le AI tú a chur amú le habairt amháin, "tá, tá ionsaí."
Leid chumhachtach:
Do ról: Cúntóir don anailísí SOC ag ullmhú anailíse DRAFT. Ná déan cinneadh, ná dearbhaigh ionsaí. Is loga rochtana gan ainm é seo de fhreastalaí gréasáin (tá IPanna agus úsáideoirí folaithe). Gnáth-thrácht: 100-300 iarratas/uair an chloig le linn uaireanta gnó, bealaí táirge agus / cairte den chuid is mó. Do thasc: (1) cnuasaigh teagmhais de réir cineáil agus foinse, tabhair líon na dteagmhas, (2) patrúin brataí a chlaonann ón mbunlíne, (3) taispeáin do gach bratach cé na línte logála ar a bhfuil sé bunaithe, (4) scríobh síos an dóchúlacht go mbeidh deimhneach bréagach do gach ceann díobh agus cén fáth. Líne fheistiú/cuir isteach IOC; Marcáil "[fíoraigh anailísí]" áit nach bhfuil tú cinnte.[logáil gan ainm anseo]
Cuireann an t-éileamh láidir teorainn leis an ról, cuireann sé comhthéacs agus bunlíne ar fáil, agus éilíonn sé rannpháirtíocht le fianaise agus measúnú ar rudaí bréagacha dearfacha.
Teimpléid leid ar féidir a chóipeáil
TEIMPLÉAD ACHOIMRE LOGAThe seo a leanas gan ainm [log foinse: e.g. Déan achoimre ar an loga [balla dóiteáin]: (1) grúpa de réir cineálacha teagmhais agus tabhair líon na dteagmhas i ngach grúpa, (2) bain amach líon na bhfoinse/spriocanna uathúla, (3) bunaigh amlíne (an chéad imeacht deiridh, buaicuaireanta), (4) liostaigh na 5 aimhrialtachtaí suntasacha le líne fianaise. Cinnteoireacht; ach go hachomair. Logchomhad: [greamaigh]
TEMPLAITEOIR COMHGHAOIL Teagmhais anaithnide a chomhghaolú thar thréimhse ama agus aonáin agus tóg slabhra imeachtaí a d'fhéadfadh a bheith ann; ACH, do gach céim, cuir in iúl cén loglíne ar a bhfuil sé bunaithe, agus marcáil an chéim nach bhfuil aon bhunús léi mar "[gan bhunús - ní mór a fhíorú]". Scríobh míniú eile a bhfuil dea-intinn agat freisin. Imeachtaí: [greamaigh]
TEIMPLÉAD DÍOTHAITHE BRÉAGACH DEARFACH Don aláram seo, gin ar a laghad 3 mhíniú dea-intinn (dearfach bréagach) le haghaidh léirmhíniú an ionsaithe agus scríobh síos cén loga/fianaise bhreise a chaithfidh mé féachaint air chun gach ceann acu a fhíorú. Ansin cinntigh cén fhianaise bhreise atá i bhfabhar an ionsaí agus cé acu atá ina choinne. Aláram: [greamaigh]
TEIMPLÉAD EASCAÍOCHTA AMHLÍNE: Baintear amlíne chroineolaíoch amháin as na logaí anaithnide seo: gach líne san fhormáid [am] [eintiteas] [imeacht] [loga foinse]. Imeacht a chur leis gan stampa ama. Ná déan suas na bearnaí; Más rud é ar iarraidh, scríobh "[ar iarraidh]". Logchomhaid: [greamaigh]
Botúin choitianta
- Anailís gan comhthéacs. Tá tuairimí a dhéantar gan trácht ar an bhfoinse loga agus gnáth-iompraíocht (bunlíne) míthreorach; "aimhrialtacht" gains meaning with context.
- Gan an slabhra a bhunaigh an AI a fhíorú. Is féidir leis an tsamhail gnáth-imeachtaí a nascadh le scéal ionsaithe; Deimhnigh gach céim sa loga amh.
- Aimhrialtacht a chur amú le haghaidh ionsaí. Is hipitéis é comhartha UEBA; Deireadh a chur le cúiseanna neamhchiontach cosúil le cúltaca, cothabháil, bogearraí nua.
- Easpórtáil sonraí amh gan chumhdach. Is sárú KVKK agus bronntanas léarscáil líonra don ionsaitheoir an fíor IP/úsáideoir/óstach.
- Ná muinín an achoimre diúltach agus stop brabhsáil. Rith do cheist chórasach féin (cineálacha teagmhais chriticiúla, IOCanna nua) fiú mura ndeir an AI "rud ar bith tábhachtach".
Leid: Iarr i gcónaí "líne fianaise a thaispeáint" nuair a bhíonn an AI achoimre ar an logáil. Ná bí dáiríre faoi aon chinneadh gan líne fianaise; Gearrann an riail amháin seo amach formhór na siabhránachtaí.
Rabhadh: Má dhíbhe foláireamh SIEM díreach mar a dúirt an AI d'fhéadfadh "dearfach bréagach" a bheith ag clúdach ionsaí fíor. Chomh maith leis sin seiceáil go neamhspleách an t-aláram a ghlaonn an AI "gan tábhacht"; Baineann an cinneadh dúnta leis an anailísí agus déantar é a thaifeadadh.
Go hachomair
Is é croílár anailís loga agus SIEM ná an comhartha fíor a bhaint as carn ollmhór torainn. Sa sórtáil seo, déanann AI achoimre ar an logáil i soicindí, cnuasaíonn patrúin, bunaíonn sé amlíne, agus leagann sé béim ar an amhrastach - ach níl a fhios aige an comhthéacs institiúideach agus is féidir leis imeachtaí a chumadh. Mar sin tá an socrú ceart cisealta: siftíonn an riail/síniú go garbh, déanann an AI achoimre agus bratacha, fíoraíonn an anailísí leis an logáil amh agus déanann sé cinneadh. Cosnaíonn trí phrionsabal tú: comhthéacs (gan aon aimhrialtacht a léirmhíniú gan bunlíne), fianaise (tá gach toradh ceangailte leis an líne log amh), rialú neamhspleách (scanadh an limistéar "glan" ar a dtugtar an AI freisin). Agus ag obair i gcónaí gan ainm.
Tasc feidhmchláir
Tóg blúire loga samplach (gan ainm ó do chóras féin nó ó thacar sonraí samplach). Ar dtús, déan é a achoimriú chuig AI leis an teimpléad "Achoimre Log". Ansin cuir an teimpléad “Díchur Bréagach Dearfach” i bhfeidhm do gach ceann de na trí chinntí is suntasaí agus deimhnigh gach ceann díobh ag fáil duit féin sa loga amh. Ar deireadh, tabhair faoi deara na difríochtaí idir achoimre an AI agus do léamh amh: Cad a chaill an AI, cad a rinne sé suas, cad a fuair sé ceart?
seicliosta
- [ ] Rinne mé an loga anaithnid; IP fíor/úsáideoir/óstach faoi cheilt.
- [ ] Thug mé an fhoinse logála agus gnáth-iompraíocht (bunlíne) don AI.
- [ ] D'iarr mé líne loga fianaise do gach toradh agus dheimhnigh mé sa loga amh í.
- [ ] Dheimhnigh mé gach céim den slabhra imeachtaí a bhunaigh an AI, ag baint úsáide as an déantúsaíocht.
- [ ] Mheas mé míniú dearfach bréagach amháin ar a laghad do gach aláram.
- [ ] Scanadh mé freisin na réimsí a dtugann an AI "glan/gan tábhacht".
- [ ] Mar an anailísí, rinne mé an cinneadh agus taifead an teagmhais; Dhoiciméadaigh mé AI mar luasaire.