Uchambuzi wa Kumbukumbu na SIEM: Kutenganisha Tukio kutoka kwa Kelele kwa kutumia Akili Bandia

Faida:

• Elewa kwamba akili bandia hufanya muhtasari na kuunganisha maelfu ya mistari ya kumbukumbu, huweka rekodi ya matukio na kuangazia mifumo inayotiliwa shaka, lakini mchanganuzi anaamua kuwa tukio hilo ni shambulio la kweli kwa kutumia kumbukumbu mbichi.
• Uwezo wa kutumia msingi (tabia ya kawaida) wakati wa kutathmini kengele ya SIEM na jinsi ya kuondoa chanya za uwongo bila muktadha na jinsi shida haiwezi kufasiriwa.
• Uwezo wa kupata tabia ya kuthibitisha mlolongo wa matukio ulioanzishwa na akili ya bandia kwenye logi mbichi na kuondoa uhusiano wa uwongo.

Mchambuzi wa masuala ya usalama hutumia muda mwingi wa siku kusoma kumbukumbu. Logi ni safu ya maandishi ambayo huweka muhuri wa nyakati kilichotokea kwenye mfumo: ni nani aliingia wakati, faili ipi ilifikiwa, muunganisho gani ulikataliwa. Shida sio kwamba kuna logi ndogo sana, ni kwamba kuna mengi ambayo inakosa hewa. Shirika la ukubwa wa kati huzalisha mamia ya mamilioni ya mistari ya kumbukumbu kwa siku. Katika rundo hili, athari ya shambulio la kweli ni sindano kwenye safu ya nyasi. SIEM (Habari za Usalama na Usimamizi wa Tukio - mfumo unaokusanya na kuunganisha kumbukumbu kutoka kwa vyanzo tofauti katika kituo kimoja na kutoa kengele zinazozingatia sheria) upo ili kupata sindano hii; lakini kengele nyingi ambazo SIEM hutoa pia ni chanya za uwongo (kengele zisizo na maana ambazo si vitisho haswa). Kazi halisi ya mchambuzi ni kutoa ishara halisi kutoka kwa kelele hii.

Akili Bandia ni msaada mkubwa katika upangaji huu. Inaweza kusoma maelfu ya mistari ya kumbukumbu kwa sekunde na kuzifupisha katika lugha ya binadamu, kuunganisha mifumo inayojirudia, kueleza msururu wa matukio kama "kwanza hili lilifanyika, kisha lile," na kueleza kwa nini kengele inaonekana ya kutiliwa shaka. Lakini AI haijui nini maana ya logi ndani ya muktadha wa taasisi: "ufikiaji saa 3 asubuhi" ni shambulio katika taasisi moja, zamu ya usiku ya kawaida katika nyingine. Kwa hivyo AI hufupisha na kualamisha kumbukumbu, lakini mchambuzi anaamua kama tukio ni shambulio la kweli na kulithibitisha kwa logi ghafi.

Hatua za uchambuzi wa logi

Hivi ndivyo unavyoendesha uchambuzi wa hatua kwa hatua wa logi/SIEM na AI:

1. Kusanya na usijulishe. Ondoa kipande cha logi husika; badilisha IPs halisi, majina ya watumiaji, majina ya wapangishi wa ndani na vishikilia nafasi (USER_A, IC_IP_1). Kamwe usihamishe data ghafi kama ilivyo kwa zana ya nje.
2. Toa muktadha. Iambie AI chanzo cha logi (firewall, logi ya tukio la Windows, seva ya wavuti), tabia ya kawaida ni nini, na unatafuta nini. Uchambuzi wa kumbukumbu bila muktadha ni wa kupotosha.
3. Fanya muhtasari na ujumlishe. Uliza AI ipange maelfu ya safu kulingana na aina za matukio, kutoa hesabu za matukio na kuunda rekodi ya matukio.
4. Iwe na mifumo inayotiliwa shaka iliyoalamishwa. Angazia ruwaza kama vile "kuingia mara moja kwa mafanikio baada ya kuingia bila kufaulu", "faili nyingi hufikiwa kwa muda mfupi", "muunganisho wa mtandao wa mchakato usiojulikana".
5. Thibitisha kwa ushahidi mbichi. Tafuta na uthibitishe kila muundo ambao AI huweka alama kwenye mistari halisi ya kumbukumbu. Pia jichanganue mwenyewe maeneo ambayo AI inakosa.
6. Uamuzi na usajili. Tangaza tukio halisi kama mchambuzi, fungua tikiti, na uandike kwamba AI ni kichapuzi tu.

Maneno machache: Chanzo cha kumbukumbu ni mfumo unaozalisha logi. Uwiano ni kuleta pamoja matukio kutoka kwa vyanzo tofauti na kuyafanya yawe na maana (kuingia kwa VPN + ufikiaji wa faili + uhamishaji wa data = uvujaji unaowezekana). Msingi ni kipimo cha tabia ya kawaida ya mfumo; Anomaly inaeleweka tu kuhusiana na msingi. UEBA (Uchanganuzi wa Tabia ya Mtumiaji na Huluki) ni mbinu inayotegemea AI ambayo hujifunza tabia ya kawaida ya kila mtumiaji na kuashiria kupotoka.

chati ya kulinganisha

Mbinu

Jinsi gani kazi

hatua kali

udhaifu

Kanuni za SIEM

Kanuni zisizohamishika za "ikiwa-basi".

Uwazi, kuelezeka

Hukosa shambulio lisilojulikana, maoni mengi ya uwongo

Utambuzi kulingana na saini

Inalingana na muundo mbaya unaojulikana

Haraka juu ya tishio linalojulikana

Kipofu kwa shambulio jipya/lililobadilishwa

Anomaly/UEBA (AI)

Hupata kupotoka kutoka kwa kawaida

Inaweza kukamata haijulikani

Anomaly = sio kushambulia; hatari ya chanya za uwongo

Muhtasari na AI

Hufupisha kumbukumbu katika lugha

Kasi, usomaji

Hakuna muktadha, hatari ya kuona

Mchambuzi (binadamu)

Maoni yenye muktadha

uamuzi, wajibu

Polepole, huchoka, haina kiwango

Usanidi sahihi si kuchagua moja bali kuweka tabaka: SIEM na sahihi huchuja kelele, AI hufupisha na kuangazia, mchambuzi huthibitisha na kuamua.

kesi tatu ndogo

Kesi ya 1 - mistari 50,000, dakika 6. Mchambuzi anaficha laini 50,000 za kumbukumbu za ufikiaji kutoka kwa seva ya wavuti hadi AI. AI inakisia kuwa IP moja ya nje ilitambaa / njia za msimamizi na maombi 12,000 katika saa 3, ilijaribu vigezo 480 tofauti, na kupokea majibu 200 mara 3. Mchanganuzi hupata maombi haya 3 yaliyofaulu kwenye logi ghafi, huthibitisha kuwa ni shambulio halisi la kuhesabu njia, na huzuia IP. Kusoma mistari 50,000 kwa mkono kungechukua saa; Muhtasari huo ulipunguza hadi dakika 6, lakini ulikuwa uamuzi wa mchambuzi.

Kesi ya 2 - Uwiano uliotungwa. Mchambuzi mwingine anaiambia AI, "elezea mlolongo wa mashambulizi kwenye logi hii." AI hutengeneza hadithi ya kusisimua: "Saa 02:11, USER_B aliinua fursa na kuhamisha data." Mchambuzi anafungua logi ghafi kabla ya kuiandika kwenye ripoti; ilhali katika logi hakuna upandaji wa fursa au uhamishaji wa data - modeli inafaa msururu wa matukio katika "hadithi ya shambulio." Mchambuzi anatoa madai hayo. Somo: Kila mlolongo ambao AI inaambia inapaswa kuthibitishwa kwenye logi.

Kesi ya 3 - Mabadiliko ya usiku ni chanya. Muundo wa UEBA hualamisha mtumiaji anayefikia faili 900 saa 3 asubuhi kama "jaribio la hatari kubwa." Mchambuzi anakagua muktadha: mtumiaji ni mwendeshaji chelezo na kazi hii inaendeshwa saa 03:00 kila usiku; Msingi haukuzingatiwa. Kengele ni chanya ya uwongo. Mchambuzi anaweka sheria na anaongeza mwendeshaji huyu kwenye orodha ya ubaguzi. Anomaly sio shambulio kila wakati; Bila muktadha, kengele ni kelele.

Mwongozo dhaifu / Mwongozo thabiti

Agizo dhaifu:

Chunguza kumbukumbu hii, niambie ikiwa kuna shambulio.[10.14.2.7 - ahmet.yilmaz - 200 - /admin ...]

Kidokezo hiki kina IP halisi na mtumiaji (ukiukaji wa faragha), hauambii chanzo cha kumbukumbu na tabia ya kawaida, hauulizi AI kwa ushahidi na tathmini chanya ya uwongo. AI inaweza kukupotosha kwa sentensi moja, "ndiyo, kuna shambulio."

Agizo lenye nguvu:

Jukumu lako: Msaidizi wa mchambuzi wa SOC akiandaa RASIMU ya uchanganuzi. Usiamue, usitangaze shambulio. Hiki ni logi ya ufikiaji isiyojulikana ya seva ya wavuti (IP na watumiaji wamefunikwa). Trafiki ya kawaida: maombi 100-300/saa wakati wa saa za kazi, mara nyingi / njia za bidhaa na / za mikokoteni. Jukumu lako: (1) kusanya matukio kulingana na aina na chanzo, toa idadi ya matukio, (2) ruwaza za bendera zinazokengeuka kutoka kwa msingi, (3) onyesha kwa kila bendera ambayo msingi wake ni mistari ya kumbukumbu, (4) andika uwezekano wa chanya ya uongo kwa kila moja na kwa nini. Mstari wa kufaa / uingizaji wa IOC; Weka alama "[mchambuzi thibitisha]" mahali ambapo huna uhakika.[logi bila kutaja jina lako]

Dai kali huweka kikomo jukumu, hutoa muktadha na msingi, na inahitaji ushirikiano na ushahidi na tathmini ya chanya za uwongo.

Violezo vya haraka vinavyoweza kunakiliwa

KIOLEZO CHA MUHTASARI WA NEMBOHaijulikani ifuatayo [chanzo cha kumbukumbu: k.m. Fanya muhtasari wa [rengo la ngome]: (1) kikundi kulingana na aina za matukio na utoe idadi ya matukio ya kila kikundi, (2) toa idadi ya chanzo/lengo mahususi, (3) weka ratiba ya matukio (tukio la kwanza-mwisho, saa za kilele), (4) orodhesha hitilafu 5 kuu kwa kutumia mstari wa ushahidi. Kufanya maamuzi; kwa muhtasari tu. Ingia: [bandika]

KIOLEZO CHA UWIANOKuunganisha matukio yasiyojulikana kwa wakati na huluki na uunda msururu wa matukio unaowezekana; LAKINI, kwa kila hatua, onyesha ni msingi gani wa logi, na uweke alama kwenye hatua ambayo haina msingi kuwa "[hakuna msingi - lazima idhibitishwe]". Andika maelezo mbadala yenye nia njema pia. Matukio: [bandika]

KIOLEZO CHA UTOAJI CHANYA CHA UONGOKwa kengele hii, toa angalau maelezo 3 yenye nia njema (chanya ya uwongo) kwa tafsiri ya shambulio hilo na uandike ni kumbukumbu/ushahidi gani wa ziada ninaohitaji kuangalia ili kuthibitisha kila moja. Kisha amua ni ushahidi gani wa ziada unaounga mkono shambulio hilo na ni upi dhidi yake. Kengele: [bandika]

KIOLEZO CHA UCHUAJI WA MUDA WA MUDA: Ratiba moja ya matukio imetolewa kutoka kwenye kumbukumbu hizi zisizojulikana: kila mstari katika umbizo [muda] [huluki] [tukio] [logi ya chanzo]. Kuongeza tukio bila muhuri wa muda. Usitengeneze mapungufu; Ikiwa haipo, andika "[haipo]". Kumbukumbu: [bandika]

Makosa ya kawaida

• Uchambuzi bila muktadha. Maoni yaliyotolewa bila kutaja chanzo cha kumbukumbu na tabia ya kawaida (msingi) yanapotosha; "upungufu" hupata maana na muktadha.
• Kutokuthibitisha msururu ulioanzishwa na AI. Mfano huo unaweza kuunganisha matukio ya kawaida kwa hadithi ya mashambulizi; Thibitisha kila hatua kwenye logi ghafi.
• Kukosea kwa hitilafu kwa shambulio. Ishara ya UEBA ni dhana; Ondoa sababu zisizo na hatia kama vile chelezo, matengenezo, programu mpya.
• Inahamisha data mbichi bila kuficha. IP/mtumiaji/mwenyeji halisi ni ukiukaji wa KVKK na zawadi ya ramani ya mtandao kwa mshambulizi.
• Usiamini muhtasari hasi na uache kuvinjari. Endesha hoja yako mwenyewe ya kimfumo (aina muhimu za matukio, IOC mpya) hata kama AI inasema "hakuna kitu muhimu".

Kidokezo: Uliza kila wakati "kuonyesha mstari wa ushahidi" wakati AI ifanye muhtasari wa kumbukumbu. Usichukulie kwa uzito ugunduzi wowote bila safu ya ushahidi; Sheria hii moja hupunguza maono mengi.

Tahadhari: Kutupilia mbali arifa ya SIEM kwa sababu tu AI ilisema "chanya ya uwongo" inaweza kuwa inafunika shambulio la kweli. Pia angalia kengele kwa uhuru ambayo AI inaita "sio muhimu"; Uamuzi wa kufungwa ni wa mchambuzi na umeandikwa.

Kwa muhtasari

Kiini cha uchambuzi wa logi na SIEM ni kutoa ishara halisi kutoka kwa rundo kubwa la kelele. Katika upangaji huu, AI hufanya muhtasari wa kumbukumbu kwa sekunde, mifumo ya makundi, huweka rekodi ya matukio, na kuangazia mshukiwa - lakini haijui muktadha wa kitaasisi na inaweza kutayarisha matukio. Kwa hivyo usanidi sahihi umewekwa: sheria/saini inapepeta takribani, AI ​​hufupisha na kuashiria, mchambuzi huthibitisha kwa logi ghafi na kufanya uamuzi. Kanuni tatu hukulinda: muktadha (hakuna hitilafu iliyofasiriwa bila msingi), ushahidi (kila matokeo yamefungwa kwenye mstari wa logi ghafi), udhibiti wa kujitegemea (eneo ambalo AI huita "safi" pia huchanganuliwa). Na kila wakati fanya kazi bila kujulikana.

Jukumu la maombi

Chukua sampuli ya kipande cha kumbukumbu (bila kutambulika kutoka kwa mfumo wako mwenyewe au kutoka kwa sampuli ya seti ya data). Kwanza, ifanye muhtasari kwa AI kwa kiolezo cha "Muhtasari wa Kumbukumbu". Kisha tumia kiolezo cha "Kuondoa Chanya kwa Uongo" kwa kila moja ya matokeo matatu muhimu zaidi na uthibitishe kuwa kila moja inajipata kwenye logi ghafi. Mwishowe, kumbuka tofauti kati ya muhtasari wa AI na usomaji wako mbichi: AI ilikosa nini, ilifanya nini, ilipata nini sawa?

orodha ya ukaguzi

• [ ] Nilificha kumbukumbu; IP/mtumiaji/mwenyeji halisi amefichwa.
• [ ] Niliipa AI chanzo cha kumbukumbu na tabia ya kawaida (msingi).
• [ ] Niliomba mstari wa kumbukumbu ya ushahidi kwa kila matokeo na niliithibitisha kwenye logi ghafi.
• [ ] Nilithibitisha kila hatua ya mlolongo wa matukio ulioanzishwa na AI, na kuondoa uzushi.
• [ ] Nilizingatia angalau maelezo chanya ya uongo kwa kila kengele.
• [ ] Pia nilichanganua maeneo ambayo AI inaita "safi/sio muhimu".
• [ ] Kama mchambuzi, nilifanya uamuzi na rekodi ya tukio; Niliandika AI kama kiongeza kasi.