Аюул илрүүлэлтийг Security Data Lake-ээр хэрхэн сайжруулах вэ?

Аюул илрүүлэлтийг сайжруулахад зөвхөн лог цуглуулж, энгийн сэрэмжлүүлэг өгөхөөс илүүг шаардана. Security Data Lake-ийн аюулгүй байдалд чиглэсэн хэрэгслүүд баялаг контекст, эрсдэлд суурилсан дүгнэлт, зан үйлийн шинжилгээг өгч, аюулгүй байдлын багт аюулыг илүү нарийвчлалтай илрүүлж, шалгаж, эрэмбэлэхэд тусална.

Баримтын энэ хэсэгт Security Data Lake дахь таны илрүүлэлтийн стратегийг бататгах гол боломжуудыг танилцуулна. Үүнд: Security interface, аюулгүй байдлын үйл явдал (security events), эрсдэлийн оноо (risk scores), хөрөнгийн баяжуулалт (asset enrichment), хэвийн бус байдал илрүүлэлт (anomaly detection) болон Sigma дүрмийн интеграци багтана. Эдгээр хэрэгсэл хамтдаа танд мэдэгдэж буй аюул болон шинээр гарч буй хэвийн бус байдлыг хоёуланг нь илрүүлж, цаг алдалгүй үр дүнтэй хариу арга хэмжээ авахад хэрэгтэй контекстыг өгнө.

Security Interface

Security interface нь Security Data Lake доторх аюултай холбоотой үйл ажиллагааг хянаж, шалгах зориулалттай тусгай ажлын орчин юм. Энэ нь үйл явдал, сэрэмжлүүлэг, корреляцаар илэрсэн зан үйл, баяжуулсан хөрөнгийн мэдээллийг нэг дор нэгтгэж, таны аюулгүй байдлын нөхцөл байдлын нэгдсэн дүр зургийг харуулна. Шинжээчид энэ интерфэйсээр аюулын үйл ажиллагааг хянаж, сэжигтэй үйл явдлыг нарийвчлан судалж, өндөр эрсдэлтэй хөрөнгийг бодит цагт тодорхойлж чадна. Аюулын харагдацыг нэг дор төвлөрүүлснээр Security interface нь шалгалтыг түргэсгэж, ослын хариу арга хэмжээг хялбар болгоно.

Security Events

Аюулгүй байдлын үйл явдал (Security events) нь системийн бүрэн бүтэн байдалд заналхийлж болзошгүйг илтгэх чухал үйл ажиллагаа эсвэл хэвийн бус байдал (жишээ нь бүтэлгүй нэвтрэх оролдлого, ердийн бус сүлжээний урсгал, хортой программ байж болзошгүй зүйл) юм. Аюулгүй байдлын үйл явдлыг лог өгөгдлийг шүүх, нэгтгэх, холбох замаар сэжигтэй зан үйлийг илрүүлдэг үйл явдлын тодорхойлолт (event definitions)-оор илрүүлнэ. Security Data Lake-ийн Security interface дотор аюулгүй байдлын үйл явдлууд нь үйлдэл хийх боломжтой тул шинжээчид сэрэмжлүүлэг өгөх, эзэмшигч томилох, шалгалт эхлүүлэх, ослыг үр дүнтэй удирдах боломжтой.

Risk Scores

Эрсдэлийн оноо (Risk scores) нь болзошгүй аюулыг динамик, хуримтлагдах байдлаар үнэлэх арга юм. Security Data Lake нь лог мессеж эсвэл үйл явдал бүрийг тусад нь авч үзэхийн оронд үйл явдлын ноцтой байдал, хөрөнгийн мэдрэг байдал, цаг хугацааны явцад үүсэх илрүүлэлтийн гинж (detection chains) зэрэг контекстыг нэгтгэж эрсдэлийн оноог тооцоолно. Эдгээр оноо нь сүүлийн үеийн үйл ажиллагаанд тулгуурлан аль хэрэглэгч эсвэл систем хамгийн их аюул учруулж байгааг шинжээчид хурдан тодорхойлоход тусална. Тусдаа сэрэмжлүүлэг дээр төвлөрөхийн оронд үргэлжилж буй эрсдэлийн хандлагад анхаарснаар шалгалт, хариу арга хэмжээний үеэр илүү үндэслэлтэй шийдвэр гаргаж чадна.

Asset Enrichment

Хөрөнгийн баяжуулалт (Asset enrichment) нь Security Data Lake-д орж ирж буй түүхий өгөгдөлд hostname, IP-ийн нэр хүнд, байршил, хэлтэс, системийн чухал байдал зэрэг контекстын мэдээлэл нэмж баяжуулна. Энэ контекст нь нөлөөлөлд өртсөн системийн ач холбогдол, мэдрэг байдлыг багт хурдан ойлгуулж, эрэмбэлэлт (triage)-ийг түргэсгэж, шийдвэрлэх хугацааг бууруулна. Security Data Lake нь дотоод хөрөнгийн удирдлагын систем болон гадаад мэдээллийн эх сурвалж хоёроос баяжуулалтын өгөгдөл авах боломжтой тул үйл явдал бүрийн талаар илүү бүрэн дүр зураг өгнө. Мөн Security Data Lake нь гуравдагч этгээдийн эмзэг байдлын сканнер (vulnerability scanners)-тэй холбогдож, таны машин хөрөнгүүдэд эмзэг байдлын өгөгдөл нэмэх боломжийг олгоно.

Anomaly Detection

Хэвийн бус байдал илрүүлэлт (Anomaly detection) нь тогтсон зан үйлийн суурь түвшнээс хазайлтыг тодорхойлж, аюул илрүүлэлтийн харагдацад өөр нэг давхарга нэмнэ. Энэ боломж нь мэдэгдэж буй илрүүлэлтийн signature-тай таарахгүй байж болох дотоод этгээдийн аюул, буруу тохиргоо, zero-day халдлагыг илрүүлэхэд тусална. Лог дахь хэв маягийг цаг хугацааны туршид тасралтгүй үнэлснээр Security Data Lake нь үйл ажиллагааны хэвийн хандлагаас гадуурх үйлдлийг тодруулж харуулна.

Sigma Rules

Sigma дүрэм (Sigma rules) нь илрүүлэлтийн логикийг бичих, хуваалцах стандарт хэлбэр юм. Security Data Lake нь эдгээр нийлүүлэгчээс хараат бус дүрмийг импортлох, үйл явдлын тодорхойлолт болгон хөрвүүлэхийг дэмждэг тул нийгэмлэгийн бүтээсэн эсвэл өөрийн бичсэн аюул илрүүлэх хэв маягийг хялбархан ашиглах боломжтой. Мөн Security Data Lake нь олон лог үйл явдлын хэв маягийг цаг хугацааны туршид шинжлэх боломжтой Sigma Correlation-ийг дэмждэг.