Uru:
- Ghọta na ọgụgụ isi mmadụ na-achịkọta ma na-achịkọta ọtụtụ puku ahịrị log, na-ewepụta usoro iheomume ma gosipụta usoro enyo enyo, mana onye nyocha ahụ kpebiri na ihe omume ahụ bụ ezigbo ọgụ na log log
- Ikike itinye ihe ndabere (omume nkịtị) mgbe ị na-enyocha mkpu SIEM yana otu esi ewepụ ihe adịgboroja na-enweghị ihe gbara ya gburugburu yana otu enweghị ike ịkọwa anomaly.
- Ikike ị nweta àgwà nke ịchọpụta usoro ihe omume nke ọgụgụ isi wuru n'ime akwụkwọ ndụ akwụkwọ ndụ na iwepụ mmekọrịta ndị na-adịghị mma.
Onye nyocha nchekwa na-eji ọtụtụ ụbọchị ya na-agụ akwụkwọ ndekọ. Ndekọ bụ ahịrị ederede nke na-etinye akara oge ihe mere na sistemụ: onye batara mgbe, nke faịlụ enwetara, nke njikọ jụrụ. Nsogbu abụghị na osisi dị ntakịrị, ọ bụ na ọ dị ukwuu nke na ọ na-akpagbu. Otu ụlọ ọrụ nwere ọkara na-emepụta ọtụtụ narị nde ahịrị osisi kwa ụbọchị. N'ime ikpo a, akara nke ezigbo ọgụ bụ agịga dị n'ime ahịhịa. SIEM (Ozi nchekwa na njikwa ihe omume - usoro nke na-anakọta ma na-ejikọta ndekọ sitere na isi mmalite dị iche iche n'otu etiti ma na-emepụta ihe ndị dabeere na iwu) dị ebe ahụ ịchọta agịga a; ma ọtụtụ n'ime mkpu ndị SIEM na-ewepụta bụkwa ụgha ụgha (mkpu mkpu na-abaghị uru nke na-abụghị ihe egwu n'ezie). Ezigbo ọrụ nke onye nyocha bụ iwepụ ezigbo mgbaàmà site na mkpọtụ a.
Ọgụgụ isi bụ ihe enyemaka siri ike na nhazi a. Ọ nwere ike ịgụ ọtụtụ puku ahịrị log n'ime sekọnd wee chịkọta ha n'asụsụ mmadụ, usoro nchịkọta ugboro ugboro, kọwaa usoro ihe omume dị ka "nke mbụ nke a mere, mgbe ahụ," ma kọwaa ihe kpatara mkpu ji yie enyo. Ma AI amaghị ihe ndekọ ahụ pụtara n'ime ọnọdụ nke ụlọ ọrụ ahụ: "ịbanye na 3am" bụ ọgụ n'otu ụlọ ọrụ, mgbanwe abalị na-emekarị na nke ọzọ. Ya mere AI na-achịkọta na ọkọlọtọ ndekọ ahụ, mana onye nyocha na-ekpebi ma ihe omume ọ bụ ezigbo ọgụ wee jiri akwụkwọ ndekọ ahụ gosipụta ya.
Nzọụkwụ nke nyocha log
Nke a bụ otu ị ga-esi jiri AI na-agba ọsọ site na nyocha log/SIEM:
- Chịkọta ma kpughee aha. Wepu iberibe osisi dị mkpa; dochie ezigbo IP, aha njirimara, aha nnabata nke ime ya na ndị nwere ebe (USER_A, IC_IP_1). Ewepụla data raw dị ka ọ dị na ngwa mpụga.
- Nye ihe gbara ya gburugburu. Gwa AI isi mmalite nke log (firewall, ndekọ ihe omume Windows, sava weebụ), ihe omume nkịtị bụ, yana ihe ị na-achọ. Nyocha ndekọ na-enweghị ihe gbara ya gburugburu bụ ihe na-eduhie eduhie.
- Chịkọta ma gbakọta. Rịọ AI ka ọ chịkọta puku kwuru puku ahịrị site n'ụdị mmemme, wepụta ọnụ ọgụgụ ihe omume, wee mepụta usoro iheomume.
- Nwee ọkọlọtọ enyo ụkpụrụ. Kọwapụta ụkpụrụ dị ka "otu nbanye na-aga nke ọma mgbe nbanye na-aga nke ọma", "ọtụtụ faịlụ na-enweta n'ime obere oge", "njikọ netwọk nke usoro amaghị".
- Jiri ihe akaebe doro anya. Chọta wee kwado ụkpụrụ ọ bụla nke ọkọlọtọ AI na-egosipụta n'ahịrị ndekọ n'ezie. Nyochaa onwe gị ebe ndị AI na-efunahụ.
- Mkpebi na ndebanye aha. Kwuwapụta ihe omume ahụ n'ezie dị ka onye nyocha, mepee tiketi, wee detuo na AI bụ naanị ngwa ngwa.
Okwu ole na ole: Log source bụ sistemụ na-emepụta log. Mmekọrịta na-achịkọta ihe omume sitere na isi mmalite dị iche iche ma mee ka uche dị na ha (VPN nbanye + ịnweta faịlụ + nnyefe data = enwere ike ịgbapụta). Ihe ndabere bụ ihe nleba anya nke omume nkịtị nke usoro; Anomaly na-eme naanị uche na ntọala. UEBA (Nlebaanya Omume na Ngwa Ngwa) bụ usoro dabere na AI nke na-amụta omume nkịtị nke onye ọrụ ọ bụla yana ngbanwe ọkọlọtọ.
ntụnyere chaatị
Ụzọ
Kedu ka o si arụ ọrụ
isi ihe siri ike
adịghị ike
SIEM dabere na iwu
Edebere iwu "ọ bụrụ-mgbe ahụ".
Ntugharị, enwere ike ịkọwa
Agbaghara ọgụ amaghi ama, ọtụtụ ihe adịgboroja
Nchọpụta dabere na mbinye aka
Dakọtara mara ụkpụrụ ọjọọ
Ngwa ngwa na egwu ama ama
Mwakpo ọhụrụ/gbanwere kpuru ìsì
Anomaly/UEBA (AI)
Ọ na-achọta mgbagha site na nkịtị
Nwere ike ijide ihe amaghị
Anomaly = ọ bụghị ọgụ; ize ndụ nke ụgha positives
Nchịkọta na AI
Na-achịkọta ndekọ asụsụ
Ọsọ, ike ịgụ ihe
Enweghị ọnọdụ, ihe ize ndụ nke ịhụ anya
Onye nyocha (mmadụ)
Azịza ya nwere ọnọdụ
mkpebi, ibu ọrụ
Nwayọọ nwayọọ, ike na-agwụ ike, ọ naghị arị elu
Nhazi ziri ezi abụghị ịhọrọ otu kama ịkwa akwa: SIEM na mbinye aka na-ehichapụ mkpọtụ ahụ, AI na-achịkọta na pụta ìhè, onye nyocha na-enyocha ma kpebie.
Obere ikpe atọ
Ikpe 1 - ahịrị 50,000, nkeji 6. Onye nyocha na-amachibido aha 50,000 ahịrị ịnweta ndekọ sitere na sava weebụ gaa na AI. AI na-achọpụta na otu ụzọ IP dịpụrụ adịpụ ji arịrịọ 12,000 n'ime awa 3, nwalere 480 dị iche iche, wee nweta nzaghachi 200 ugboro 3. Onye nyocha ahụ chọtara arịrịọ atọ a na-aga nke ọma na ndekọ raw, na-achọpụta na ọ bụ ezigbo ọgụ ngụkọ ụzọ, wee gbochie IP. Iji aka gụọ ahịrị 50,000 ga-ewe awa; Nchịkọta ahụ belatara ya na nkeji 6, mana ọ bụ mkpebi onye nyocha.
Ikpe 2 - Mmekọrịta agbakwunyere. Onye nyocha ọzọ na-agwa AI, "kọwaa ụdọ ọgụ dị na ndekọ a." AI na-ewulite akụkọ mmiri: "N'elekere 02:11, USER_B buliri ihe ùgwù wee bupụ data ahụ." Onye nyocha na-emepe akwụkwọ ndụ akwụkwọ ndụ tupu ya edee ya na akụkọ ahụ; ebe n'ime ndekọ ahụ enweghị nkwalite ma ọ bụ mbufe data - ihe nlereanya ahụ dabara n'usoro ihe omume n'ime "akụkọ ọgụ." Onye nyocha na-ewepụta nkwupụta ahụ. Ihe nkuzi: Agbụ ọ bụla AI na-ekwu ga-enyocha ya na ndekọ.
Ikpe 3 - Ngbanwe abalị ụgha ziri ezi. Ụdị UEBA na-egosi onye ọrụ na-enweta faịlụ 900 n'elekere 3 nke ụtụtụ dị ka "anomaly dị ize ndụ." Onye nyocha na-enyocha ihe ndị gbara ya gburugburu: onye ọrụ bụ onye na-ahụ maka nchekwa na ọrụ a na-arụ ọrụ na 03:00 kwa abalị; Eleghị anya ntọala ntọala. Oti mkpu bụ ihe dị mma. Onye nyocha ahụ na-esetịpụ iwu wee gbakwunye onye ọrụ a na ndepụta wepụrụ. Anomaly abụghị ọgụ mgbe niile; Enweghị ọnọdụ, mkpu bụ mkpọtụ.
Ngwa ngwa adịghị ike / Ike siri ike
Ngwa ngwa adịghị ike:
Nyochaa ndekọ a, gwa m ma enwere mbuso agha.[10.14.2.7 - ahmet.yilmaz - 200 - / admin ...]
Ngwa ngwa a nwere ezigbo IP na onye ọrụ (mmebi nzuzo), anaghị agwa ndekọ ndekọ na omume nkịtị, anaghị arịọ AI maka ihe akaebe na nyocha ụgha. AI nwere ike iji otu ahịrịokwu duhie gị, "ee, enwere mwakpo."
Mgbasa ozi siri ike:
Ọrụ gị: onye enyemaka onye nyocha SOC na-akwadebe DRAFT nyocha. Ekpebila, ekwuputala mbuso agha. Nke a bụ ihe nnabata nke sava weebụ (IPs na ndị ọrụ na-ekpuchiri). Okporo ụzọ nkịtị: arịrịọ 100-300 / elekere n'oge awa azụmahịa, ọkachasị / ngwaahịa na / ụzọ ụgbọ ala. Ọrụ gị: (1) ụyọkọ ihe omume n'ụdị na isi mmalite, nye ọnụ ọgụgụ ihe merenụ, (2) ụkpụrụ ọkọlọtọ na-esi na ntọala ntọala, (3) gosi ọkọlọtọ ọ bụla nke ahịrị ndekọ ọ dabere na ya, (4) dee ihe gbasara nke puru omume nke ụgha maka onye ọ bụla na ihe kpatara ya. Ahịrị dabara adaba / ntinye IOC; Kaa akara "[onye nyocha nyochaa]" ebe ị na-ejighị n'aka.[ ndekọ na-amaghị aha ebe a]
Mkpesa siri ike na-amachi ọrụ ahụ, na-enye ọnọdụ na ntọala, ma na-achọ itinye aka na ihe akaebe na nyocha nke ezigbo ụgha.
Ndebiri ozugbo enwere ike iṅomi
AKWỤKWỌ NKWUKWU NDỤMỌDỤ Ihe a na-amaghị aha [akwụkwọ ndekọ: eg. Chịkọta ndekọ [firewall]: (1) otu site n'ụdị mmemme wee nye ọnụọgụ ihe omume nke otu ọ bụla, (2) wepụta ọnụ ọgụgụ isi mmalite/ebumnobi pụrụ iche, (3) guzobe usoro iheomume (mmemme mbụ nke ikpeazụ, oge kacha elu), (4) depụta anomalies 5 a ma ama nwere akara ngosi. Ịme mkpebi; naanị na nchịkọta. Ndekọ: [paste]
MKWAKWU TEMPLATETụgharịa ihe omume na-amaghị aha n'ime oge na ihe ma wuo usoro mmemme ga-ekwe omume; MA, maka nzọụkwụ nke ọ bụla, gosi akara ndekọ ọ dabere na ya, ma kaa akara nke na-enweghị ihe ndabere dị ka "[enweghị ndabere - ga-enyocharịrị]". Dee nkọwa ọzọ nke nwere ezi ebumnuche. Ihe omume: [mado]
NKWUKWU Ụgha OKWU Ụgha Maka mkpu a, mepụta opekata mpe 3 nwere ezi ebumnuche (ụgha) nkọwa maka nkọwa ọgụ wee detuo ihe ndekọ / akaebe ọzọ m kwesịrị ileba anya iji nyochaa nke ọ bụla. Mgbe ahụ chọpụta ihe akaebe ọzọ na-akwado ọgụ ahụ na nke megidere ya. Mkpu: [mado]
TEMEPlate EXTRACING TIMELINE: A na-ewepụta otu usoro iheomume n'ime ndekọ ndekọ aha ndị a na-amaghị aha: ahịrị nke ọ bụla n'ụdị [oge] [ntinye] [mmemme] [akwụkwọ ndekọ]. Na-agbakwụnye mmemme na-enweghị akara oge. Unu emela oghere ndị ahụ; Ọ bụrụ na-efu, dee "[na-efu]". Ndekọ: [paste]
Mmejọ ndị nkịtị
- Nyocha na-enweghị ọnọdụ. Okwu ndị a na-ekwu n'ekwughị isi mmalite log na omume nkịtị (baseline) na-eduhie eduhie; "anomaly" na-enweta ihe ọ pụtara site na gburugburu.
- Na-akwadoghị agbụ nke AI guzobere. Ihe nlereanya nwere ike jikọọ ihe omume nkịtị na akụkọ ọgụ; Kwenye usoro ọ bụla n'ime akwụkwọ ndekọ aha.
- Na-emehie ihe anomaly maka mbuso agha. Ihe ịrịba ama nke UEBA bụ hypothesis; Wepụ ihe ndị na-emeghị ihe ọjọọ dị ka ndabere, mmezi, ngwanrọ ọhụrụ.
- Na-ebupụ data raw na-enweghị mkpuchi. Ezigbo IP / onye ọrụ / onye ọbịa bụ ma mmebi KVKK yana onyinye maapụ netwọkụ nye onye mwakpo ahụ.
- Atụkwasịla obi nchịkọta ọjọọ ahụ ma kwụsị nchọgharị. Gbaa ajụjụ usoro nke gị (ụdị ihe omume dị egwu, IOC ọhụrụ) ọbụlagodi na AI kwuru "ọ dịghị ihe dị mkpa".
Ndụmọdụ: Na-arịọ mgbe niile ka “gosi akara ngosi” mgbe AI na-achịkọta ndekọ ahụ. Ejila nchoputa ọ bụla akpọrọ ihe na-enweghị akara ngosi; Otu iwu a na-ewepụ ọtụtụ ihe nhụsianya.
Akpachara anya: Wepụ ọkwa SIEM naanị n'ihi na AI kwuru na "ezigbo ụgha" nwere ike ikpuchi ezigbo ọgụ. Na-elelekwa onwe gị na mkpu nke AI na-akpọ "adịghị mkpa"; Mkpebi mmechi ahụ bụ nke onye nyocha wee dekọọ ya.
Na nchịkọta
Ihe dị mkpa nke log na nyocha SIEM bụ iwepụ ezigbo mgbaàmà site na nnukwu ikpo mkpọtụ. Na nhazi nke a, AI na-achịkọta ndekọ na sekọnd, usoro ụyọkọ, na-ewepụta usoro iheomume, ma gosipụta onye a na-enyo enyo - mana ọ maghị ọnọdụ ụlọ ọrụ ma nwee ike ịmepụta ihe omume. Ya mere a na-edozi nhazi ziri ezi: iwu / mbinye aka na-agbaze, AI na-achịkọta na ọkọlọtọ, onye nyocha ahụ na-eji akwụkwọ ndekọ na-eme mkpebi ma mee mkpebi. Ụkpụrụ atọ na-echebe gị: ihe gbara ya gburugburu (ọ dịghị ihe a na-akọwaghị nke ọma na-enweghị ntọala), ihe akaebe (nchọpụta ọ bụla na-ejikọta ya na ahịrị log log), njikwa onwe (ihe AI na-akpọ mpaghara "dị ọcha" na-enyochakwa). Na-arụ ọrụ mgbe niile na-amaghị aha.
Ọrụ ngwa
Were mpempe akwụkwọ nlele (ma ọ bụ na-enweghị aha site na sistemụ nke gị ma ọ bụ site na ihe nlele data). Nke mbụ, jiri ndebiri "Log Summarization" chịkọta ya na AI. Wee tinye ndebiri “Ezigbo mkpochapụ ụgha” maka nchoputa atọ a ma ama ma chọpụta nke ọ bụla na-ahụ onwe gị na ndekọ ahịhịa. N'ikpeazụ, rịba ama ọdịiche dị n'etiti nchịkọta AI na ọgụgụ isi gị: Gịnị ka AI tụfuru, gịnị ka ọ mebere, kedu ihe ọ dabara?
ndetu
- [ ] Akpọrọ m akwụkwọ ndekọ aha; ezigbo IP / onye ọrụ / onye ọbịa masked.
- [] Enyere m AI isi iyi na omume nkịtị (baseline).
- [] Arịrịọ m akara ndekọ ndekọ maka nchọpụta ọ bụla wee nyochaa ya n'ime akwụkwọ ndekọ aha.
- [] Ekwenyere m usoro ọ bụla nke usoro ihe omume AI hibere, na-ewepụ ahịhịa a.
- [] M tụlere ma ọ dịkarịa ala otu nkọwa dị mma maka mkpu ọ bụla.
- [] M nyochakwara ebe ndị AI na-akpọ "dị ọcha / adịghị mkpa".
- [ ] Dị ka onye nyocha, emere m mkpebi na ndekọ ihe merenụ; Edere m AI dị ka onye na-eme ngwa ngwa.