不管是進步機能、匯集商業(yè)諜報仍是檢測安然威脅，日記治理可以回結(jié)為三個步調(diào)：匯集日記、存儲數(shù)據(jù)和闡發(fā)數(shù)據(jù)來發(fā)現(xiàn)模式。但是，當然匯集和闡發(fā)日記數(shù)據(jù)是SANS協(xié)會肯定的20個關(guān)頭安然節(jié)制之一，大年夜大都企業(yè)并沒有按期匯集和闡發(fā)其日記，除非有法令明文劃定。IT治理和監(jiān)控軟件制造商SolarWinds的產(chǎn)品經(jīng)理Nicole Pauls暗示，面對大年夜范圍數(shù)據(jù)，信息手藝官很猜疑，不知道從哪里開端。
Dell SecureWorks的反威脅部門運營和開辟主管Ben Feinstein暗示，杰出的安然日記闡發(fā)首要環(huán)繞四個原則。起首，企業(yè)需要監(jiān)控準確的日記，包含來自防火墻、虛擬專用收集(VPN)設(shè)備、web代辦署理辦事器和DNS辦事器的數(shù)據(jù)。接下來，安然團隊必需匯集企業(yè)收集內(nèi)“正?！睌?shù)據(jù)。第三，闡發(fā)師必需可以或許辨認其日記文件中表白存在報復(fù)打擊的數(shù)據(jù)。最后，安然團隊必需有一個法度用于響應(yīng)日記闡發(fā)中肯定的事務(wù)。
Feinstein暗示，“假定你的安然團隊不知道可疑行動是甚么模樣，那么把所有的日記都放到SIEM系統(tǒng)里是沒成心義的?！卑凑瞻踩粚＜冶戆祝髽I(yè)應(yīng)當查抄下面五個類型的事務(wù)：
1. 用戶拜候異常
Active Directory域節(jié)制器的Windows安然日記和記實是發(fā)現(xiàn)收集中可疑勾當?shù)牡谝粋€位置。權(quán)限更改、用戶從長途未知地址拜候，和用戶拜候一個系統(tǒng)拜候另外一個系統(tǒng)，都多是可疑勾當。
惠普ArcSight公司產(chǎn)品營銷經(jīng)歷Kathy Lam暗示，“當我們在看報復(fù)打擊類型，和報復(fù)打擊者若何進進環(huán)境時，他們凡是假充用戶在收集內(nèi)暗藏數(shù)月，乃至超越一年，經(jīng)由過程查看正常勾當基準，和當前勾當與基準的對比，就可以找出可疑勾當?！?/P>
特別首要的是特權(quán)賬戶，即在收集中多個系統(tǒng)具有治理員權(quán)限的用戶。因為這些賬戶在收集中具有更多的權(quán)力，企業(yè)應(yīng)當更緊密密切地監(jiān)控這些賬戶。
2. 與威脅指標匹配的模式
公司還應(yīng)當對比其日記中的數(shù)據(jù)與他們可以或許獲得的威脅指標--不管是經(jīng)由過程成立黑名單，仍是更周全的威脅諜報辦事。
威脅指標可疑幫忙企業(yè)辨認防火墻、DNS辦事器或web代辦署理辦事器日記中可疑的IP地址、主機名稱、域名和歹意軟件簽名。他指出：“web代辦署理辦事器日記對收集流量有著強大年夜的可視性，即你的端點系統(tǒng)是若何連接到收集的?！?/P>
3.打算外的建設(shè)變動
獲得對系統(tǒng)的拜候的報復(fù)打擊者凡是會測驗測驗更改建設(shè)來進一步報復(fù)打擊，和在收集中獲得安身點。SolarWinds公司副總裁Sanjay Castelino暗示，因為大年夜大都企業(yè)限制建設(shè)更改到每周、每個月或每季度的有限時候內(nèi)，這些建設(shè)更改(不管是打開系統(tǒng)仍是封鎖日記記實功能)都可能表白報復(fù)打擊正在進行中。
在某些環(huán)境下，這類闡發(fā)可以幫忙企業(yè)發(fā)現(xiàn)報復(fù)打擊。用于治理安然產(chǎn)品的法則凡是很是復(fù)雜，我們很難經(jīng)由過程簡單的闡發(fā)來查抄這些法則是不是是歹意。相反地，安然團隊很等閑標識表記標幟出任安在特定保護期外的變動。
4. 希罕的數(shù)據(jù)庫傳輸
因為數(shù)據(jù)庫是企業(yè)根本舉措措施的首要部門，企業(yè)應(yīng)當監(jiān)測數(shù)據(jù)庫傳輸環(huán)境來發(fā)現(xiàn)可疑勾當。例如，試圖選擇和復(fù)制大年夜范圍數(shù)據(jù)的要求應(yīng)當獲得緊密密切存眷。
別的，監(jiān)控數(shù)據(jù)庫通信是不敷的。當然記實數(shù)據(jù)傳輸環(huán)境可能會影響數(shù)據(jù)庫機能，但在查詢拜訪數(shù)據(jù)泄漏變亂時，這些記實是很是有價值的。安然治理公司Solutionary的工程研究團隊研究主管Rob Kraus暗示：“當客戶問我們哪些記實被拜候了，我們可疑證實哪些記實沒有被拜候，萍蹤凡是會牽引到數(shù)據(jù)庫。假定沒有記實這些數(shù)據(jù)，這會帶來真實的挑戰(zhàn)，你也說不清到底哪些記實被動過?！?/P>
5.新設(shè)備用戶組合
在移動設(shè)備和攜帶本身設(shè)備到工作場合趨勢呈現(xiàn)之前，企業(yè)可以將任何連接到收集的新的設(shè)備視為可疑對象。但此刻，這已不再是一個威脅唆使。
企業(yè)應(yīng)當鏈接設(shè)備到其用戶，并將變動視為可疑事務(wù)。他暗示，“你可能想要標識表記標幟設(shè)備，但你更應(yīng)當將設(shè)備與用戶聯(lián)系在一路，因為假定我?guī)业钠桨咫娔X來上班，其他人不該該利用它來登錄?！?/P>