過(guò)往幾年里，安然信息和事務(wù)治理(SIEM)手藝一向備受求全譴責(zé)。其復(fù)雜性和對(duì)專業(yè)辦事的過(guò)度需求招致了良多埋怨，良多企業(yè)都對(duì)其擺設(shè)SIEM進(jìn)行安然監(jiān)控的經(jīng)歷感應(yīng)掉看。
但那是之前，此刻已不合。公允地說(shuō)，手藝已不再是企業(yè)難以成功擺設(shè)SIEM的啟事。領(lǐng)先的SIEM平臺(tái)已經(jīng)歷了“大年夜腦移植”，遷徙到特定目標(biāo)的數(shù)據(jù)存儲(chǔ)，這些數(shù)據(jù)存儲(chǔ)可以或許供給足夠的機(jī)能和范圍。曾粗笨且不成靠的系統(tǒng)連接器和日記聚合器此刻更有效，使數(shù)據(jù)匯集變得相對(duì)簡(jiǎn)單。
但SIEM仍然面對(duì)著良多堅(jiān)苦，所有依托基于法則的政策的手藝都是如斯。SIEM必需知道它要尋覓甚么。奇異的SIEM產(chǎn)品其實(shí)不會(huì)主動(dòng)地發(fā)現(xiàn)操縱新編制或罕有縫隙的報(bào)復(fù)打擊。
要知道，SIEM在報(bào)復(fù)打擊檢測(cè)中闡揚(yáng)著首要感化。但要成功檢測(cè)出已知乃至是未知報(bào)復(fù)打擊類型，企業(yè)必需成立一套策略來(lái)尋覓其環(huán)境中的報(bào)復(fù)打擊環(huán)境和指標(biāo)，并延續(xù)監(jiān)控這些環(huán)境。
那么，到底該若何成立這類策略呢？當(dāng)然，等候它本身呈現(xiàn)其實(shí)不實(shí)際。下面我們看當(dāng)作立有效SIEM政策的簡(jiǎn)單過(guò)程。
在合理范圍內(nèi)匯集所稀有據(jù)
假定沒(méi)有匯集足夠的數(shù)據(jù)，SIEM就沒(méi)法進(jìn)行周全闡發(fā)。所以第一步是匯集準(zhǔn)確的數(shù)據(jù)。這意味著甚么呢？先從較著的數(shù)據(jù)開端，例如收集、安然和辦事器設(shè)備日記。這些數(shù)據(jù)良多，且等閑獲得。接著，從利用根本舉措措施(數(shù)據(jù)庫(kù)、利用)獲得日記信息。當(dāng)然，SIEM還需要各類其它數(shù)據(jù)源，包含身份數(shù)據(jù)、收集流量、縫隙掃描成果和建設(shè)數(shù)據(jù)。
對(duì)SIEM系統(tǒng)而言，數(shù)據(jù)越多越好。假定可以的話，匯集所稀有據(jù)。假定需要對(duì)匯集的數(shù)據(jù)進(jìn)行優(yōu)先排序，應(yīng)當(dāng)先考慮從最首要的手藝資產(chǎn)(即受呵護(hù)環(huán)境中的設(shè)備和措置受監(jiān)管數(shù)據(jù)的設(shè)備)匯集的數(shù)據(jù)。別的還要寄望措置關(guān)頭常識(shí)產(chǎn)權(quán)的系統(tǒng)。
構(gòu)建法則
成立SIEM法則庫(kù)是一個(gè)迭代的過(guò)程。這意味著這個(gè)過(guò)程相對(duì)較慢，需要持久的細(xì)化或調(diào)劑。良多人在開端這個(gè)過(guò)程時(shí)呈現(xiàn)“闡發(fā)癱瘓”，因?yàn)橄∮邪偃f(wàn)種可能成立的法則。是以，我們建議起首要明白應(yīng)當(dāng)被定義的法則。
在建模過(guò)程中，從首要資產(chǎn)開端。將你本身放在報(bào)復(fù)打擊者的角色，并開端監(jiān)督你會(huì)想盜取的數(shù)據(jù)。
摹擬威脅：假定你是報(bào)復(fù)打擊者，你會(huì)若何進(jìn)侵和盜取數(shù)據(jù)呢？摹擬這類威脅，然后在SIEM東西中列舉這些報(bào)復(fù)打擊向量。不要忘了滲出，因?yàn)檫@為企業(yè)在數(shù)據(jù)被竊前提供了檢測(cè)報(bào)復(fù)打擊的另外一個(gè)機(jī)緣。用實(shí)際的立場(chǎng)進(jìn)行這個(gè)過(guò)程，因?yàn)橥{模型其實(shí)不完全準(zhǔn)確，它多是不完全或不周全的。最首要的是簡(jiǎn)單地開端威脅建模過(guò)程，這是很好的初步。完美法則：對(duì)你本身策動(dòng)報(bào)復(fù)打擊。有良多現(xiàn)成的東西可用來(lái)報(bào)復(fù)打擊你的環(huán)境，你可以嘗嘗。然后監(jiān)控你的SIEM的勾當(dāng)。它是不是發(fā)出準(zhǔn)確的警報(bào)，是不是在恰當(dāng)?shù)臅r(shí)候？警報(bào)是不是供給足夠的信息來(lái)協(xié)助響應(yīng)者弄清晰產(chǎn)生了甚么并采納步履？假定謎底是不是定的，請(qǐng)回到第一步，完美法則。優(yōu)化閾值：跟著時(shí)候的推移，你會(huì)逐步體味SIEM警報(bào)是不是過(guò)于頻繁或不足夠。按照這一點(diǎn)，恰當(dāng)調(diào)劑閾值。這是一個(gè)均衡，假定閾值過(guò)于緊，警報(bào)會(huì)削減，但這更等閑錯(cuò)過(guò)報(bào)復(fù)打擊。反之亦然，假定警報(bào)過(guò)于頻繁的話。清洗、漂洗、反復(fù)：在針對(duì)特定報(bào)復(fù)打擊的法則集擺設(shè)和優(yōu)化后，移動(dòng)到下一個(gè)報(bào)復(fù)打擊向量，在建模每種威脅時(shí)，反復(fù)這個(gè)過(guò)程。
趁便說(shuō)一句，這個(gè)過(guò)程永久不會(huì)結(jié)束?？倳?huì)有新報(bào)復(fù)打擊需要建模，新指標(biāo)需要監(jiān)測(cè)。企業(yè)必需緊密密切存眷安然新聞來(lái)體味哪一種報(bào)復(fù)打擊很風(fēng)行。最新威脅研究陳述(例如Mandiant公司的APT1陳述)包含明白的指標(biāo)，每個(gè)企業(yè)都可以(并且應(yīng)當(dāng))考慮將這些指標(biāo)加進(jìn)其SIEM。有了威脅諜報(bào)和周全的數(shù)據(jù)匯集環(huán)境，你就找不到借口了：此刻是時(shí)辰開端尋覓不竭出現(xiàn)的高級(jí)報(bào)復(fù)打擊了。
也請(qǐng)記住，跟著時(shí)候的推移，你需要添加新的數(shù)據(jù)類型到SIEM，這將需要從頭考慮所有的SIEM法則。例如，假定捕獲收集數(shù)據(jù)包流量并發(fā)送到SIEM，這將會(huì)供給大年夜量可供闡發(fā)的新信息。假定可以或許查看實(shí)際收集流量，這會(huì)給查找某種報(bào)復(fù)打擊帶來(lái)甚么影響？我們可以添加哪些其他法則來(lái)更快地檢測(cè)報(bào)復(fù)打擊？這些都不是瑣碎的標(biāo)題問(wèn)題。每次添加(或刪除)一種數(shù)據(jù)源，查抄SIEM法則可以幫忙進(jìn)步報(bào)復(fù)打擊檢測(cè)速度。
這個(gè)過(guò)程最首要的是保持一致性。SIEM其實(shí)不是“一次設(shè)置,畢生無(wú)憂”的手藝。它需要悉心的賜顧幫襯和對(duì)待--不只是此刻，而是它的全部生命周期。假定你對(duì)此有任何僥幸心理，你最終會(huì)很掉看。