Security Data Lake Security дахь аюулгүй байдлын үйл явдал ба сэрэмжлүүлгийг хэрхэн удирдах вэ?

Энэ нийтлэл зөвхөн Security Data Lake Security-ийн боломжид хамаарна. Security Data Lake Security нь Security Data Lake-ийн төвлөрсөн лог удирдлагын платформын нэг хэсэг боловч тусдаа лиценз шаардана.

Security Data Lake-ийн аюулгүй байдлын үйл явдал (security event) нь системийн бүрэн бүтэн байдал, аюулгүй байдалд заналхийлж болзошгүйг илтгэх, Security Data Lake платформ дээр бүртгэгдсэн чухал ослын эсвэл үйл ажиллагаа байж болно. Эдгээр үйл явдал нь бүтэлгүй нэвтрэх оролдлого, ердийн бус сүлжээний урсгалаас эхлээд хортой программ байж болзошгүй зүйл хүртэл олон янз байна. Эдгээр үйл явдлыг илрүүлэх дүрэм, шалгуур тодорхойлж, сэжигтэй эсвэл чухал үйл ажиллагааг цаг алдалгүй тодорхойлох, эрэмбэлэх, шалгахад зориулж сэрэмжлүүлэг тохируулж болно.

Энэ нийтлэлд Security Data Lake Security бүтээгдэхүүн болон Security interface доторх үйл явдал, сэрэмжлүүлгийн талаар авч үзнэ. Үйл явдлын тодорхойлолт, сэрэмжлүүлэг Security Data Lake-ийн үндсэн аппликейшнд хэрхэн ажилладгийг үйл явдлын ерөнхий баримт-аас үзнэ үү.

Аюулгүй байдлын үйл явдлыг удирдах

Security Events таб нь Alerts, Definitions, Notifications-ийг агуулна. Эдгээр бүрэлдэхүүн хэсэг хамтдаа таны үйл явдлын хяналт болон ослын хариу арга хэмжээний чадавхыг сайжруулна.

Security Data Lake-ийн General болон Security хоёр perspective-д үйл явдал бараг адилхан ажилладаг. Харин General perspective дэх сэрэмжлүүлэг нь зөвхөн мэдээлэл өгдөг тул статик байдаг бол Security perspective дэх сэрэмжлүүлэг нь үйлдэл хийх боломжтой бөгөөд аюулгүй байдлын үйл ажиллагаанд тохирсон тул эрэмбэлэлт (triage), шалгалт, ослын удирдлага, ослын хариу арга хэмжээний сайжруулсан ажлын урсгал бүрдүүлэх боломж олгоно.

Security Events табаас үйл явдлыг харж, удирдахын тулд:

1. 1Security Data Lake Security interface руу орно.
2. 2Security Events табыг сонгоно.

Одоо Security Data Lake Security interface-ээр аюулгүй байдлын үйл явдал хэрхэн ажилладгийг ойлгоход тустай гол нэр томьёог тоймлоё. Эдгээр нэр томьёог илүү иж бүрэн ойлгохын тулд үйл явдлын удирдлагын баримт-тай мөн танилцахыг хатуу зөвлөж байна.

Event Definitions

Үйл явдлын тодорхойлолт (Event definitions) нь таны IT орчин дахь аюулгүй байдлын осол, үйл ажиллагааны асуудал эсвэл бусад чухал тохиолдлыг илтгэж болох чухал үйл явдал, хэвийн бус байдлыг автоматаар илрүүлэхэд чухал үүрэгтэй. Жишээлбэл, галт хана (firewall)-ны бодлогод өөрчлөлт оруулах эсвэл хар жагсаалтад орсон IP хаягаас бүтэлгүй нэвтрэх оролдлого хийх нь үйл явдал байж болно. Security Data Lake Security нь үйл явдлыг юу гэж тооцох тодорхой шалгуурыг тодорхойлох боломж олгож, таны лог өгөгдөл тодорхойлсон нөхцөлд таарахад танд сэрэмжлүүлэх замаар аюулгүй байдлын үйл явдлаа удирдахад тусална.

Шинэ үйл явдлын тодорхойлолт үүсгэх хоёр үндсэн арга бий:

• Үйл явдлын тодорхойлолтын wizard-аар
• Хайлтын үр дүнгээс

Event Types

Security Data Lake дээр үйл явдал тодорхойлохдоо үйл явдлын нөхцлийн хоёр төрөл байдаг: filter and aggregation болон event correlation.

Filter and Aggregation

Security Data Lake дахь filter and aggregation нөхцөл нь лог мессежийг шүүж, нэгтгэх шалгуурт үндэслэн үйл явдлыг тодорхойлох боломж олгоно. Энэ нь орж ирж буй мессежийг шүүх нөхцөл тохируулаад, тэдгээрийг нэгтгэж заасан босго эсвэл хэв маягт хүрсэн эсэхийг тодорхойлохыг хэлнэ.

Жишээлбэл, aggregation төрлийн үйл явдалд дараахь зүйлс орж болно:

• Threshold-Based Events

- Тодорхой шалгуурт таарсан лог мессеж заасан хугацааны дотор тодорхой тооноос хэтрэн орж ирэхэд ажиллах үйл явдал тодорхойлно. Жишээлбэл, 5 минутын дотор 100-аас олон бүтэлгүй нэвтрэх оролдлого гарвал үйл явдал үүсгэнэ.

• Pattern Recognition

- Лог мессеж дэх хэв маягт тулгуурлан үйл явдлыг илрүүлнэ. Жишээ нь халдлага байж болзошгүйг илтгэх, түгээмэл ашиглагддаг эмзэг endpoint руу хийсэн вэб хүсэлт.

Event Correlation

Event Correlation нөхцөл нь олон эх сурвалж эсвэл урсгал (stream) дахь лог мессежийн хоорондын хамаарал эсвэл дараалалд тулгуурлан үйл явдал үүсгэх боломж олгоно. Энэ нь энгийн нэгтгэл биш, харин үйл явдлуудын хэв маяг эсвэл дарааллыг тодорхойлох нөхцөл тохируулахыг хэлнэ.

Жишээлбэл, event correlation төрөлд дараахь зүйлс орж болно:

• Sequence Detection

- Өөр өөр лог эсвэл системүүдэд тодорхой үйл явдлын дараалал богино хугацаанд гарахад үйл явдал үүсгэнэ. Жишээ нь сүлжээний хандалтын лог гарсны дараа галт ханын дүрэм өөрчлөгдсөн нь аюулгүй байдлын бодлого зөрчсөнийг илтгэж болзошгүй.

• Multi-Source Correlation

- Өөр өөр эх сурвалжийн логуудыг (жишээ нь вэб серверийн лог, мэдээллийн сангийн лог) хослуулан холбоотой үйл явдлыг илрүүлнэ. Жишээ нь вэб траффик гэнэт огцом нэмэгдэж, мэдээллийн сангийн гүйцэтгэл тэр зэрэгцээд муудах.

• Anomaly Detection

- Олон лог эх сурвалжийг хамарсан хэвийн бус хэв маяг, зан үйлийг илрүүлнэ. Жишээ нь газарзүйн хувьд тархсан IP хаягуудаас нэгэн зэрэг хандах оролдлого хийх нь зохион байгуулалттай халдлагыг илтгэж болзошгүй.

Alerts

Security Data Lake Security платформ дахь сэрэмжлүүлэг (Alerts) нь аюулгүй байдлын ослын төлөв, явцыг харуулж, сэрэмжлүүлэг дээрээсээ шууд төрөл бүрийн үйлдэл хийх боломж олгоно. Сэрэмжлүүлэг ажиллахад аюулгүй байдлын үйл явдлын дэлгэрэнгүй тоймыг харуулж, хариу арга хэмжээг хялбар болгох төрөл бүрийн үйлдлийг идэвхжүүлнэ.

Search Panel

Хуудасны дээд хэсэгт түлхүүр үгээр аюулгүй байдлын үйл явдлыг хайх хайлтын мөр байна. Хайлтын үр дүнг цааш нарийсгахын тулд filter ашиглан тодорхой үйл явдал, сэрэмжлүүлгийг олж болно.

Filters

Filter нь аюулгүй байдлын үйл явдлыг нарийн нарийсгаж, хамгийн чухал өгөгдөл дээрээ төвлөрөхөд хялбар болгоно. Timestamp, priority, дүрмийн төрөл, MITRE ATT&CK technique зэрэг шинж чанараар filter хэрэглэснээр шалгалтад хамаарах сэрэмжлүүлгийг хурдан ялгах эсвэл тодорхой аюулгүй байдлын үйл явдлыг нарийвчлан судалж болно. Энэ хэсэгт Security Data Lake дотор аюул илрүүлэлт, шинжилгээг түргэсгэхийн тулд filter-ийг хэрхэн үр дүнтэй ашиглахыг тайлбарлана.

Аюулгүй байдлын үйл явдлыг шүүхийн тулд:

1. 1Security Data Lake дахь Security layout руу очно.
2. 2Security Events > Alerts руу орно.
3. 3Filters-ийн хажуугийн + дүрстэй drop-down товчийг дарж filter-ийн төрлүүдийг харна:

• Priority — Сэрэмжлүүлгийг ноцтой байдлаар (жишээ нь Low, Medium, High) шүүнэ.
• Timestamp — Сэрэмжлүүлэг шүүх тодорхой хугацааны завсрыг тодорхойлно; ослын хяналт шалгалтад тустай.
• Event Definition — Зөвхөн илрүүлэлтийн тодорхой дүрмийн багцаас үүссэн сэрэмжлүүлгийг харуулна.
• Status — Сэрэмжлүүлгийн амьдралын мөчлөгийн үе шатаар (жишээ нь open, closed, investigating, false positive) шүүнэ.
• Type — Аюулгүй байдлын үйл явдлын төрлөөр шүүнэ; энэ нь үйл явдал (event) эсвэл сэрэмжлүүлэг (alert) аль нь ч байж болно.
• Owner — Баг дахь тодорхой гишүүд эсвэл эзэмшигчид томилогдсон сэрэмжлүүлгийг харуулна.
• Tactic/Technique — Сэрэмжлүүлгийг MITRE ATT&CK Tactic эсвэл Technique-тэй холбоно (жишээ нь TA0011: Command and Control).
• Part of Detection Chain — Сэрэмжлүүлэг нь олон алхамт илүү өргөн илрүүлэлтийн гинж (detection chain)-ийн нэг хэсэг мөн эсэхийг заана; аюул хайх (threat hunting), кампанит ажил мөрдөхөд тустай.

Filter хэрэглэсэн үед Filters drop-down цэсийн хажууд tag хэлбэрээр харагдана. Нарийн зорилтот хайлт хийхийн тулд олон filter-ийг сонгож хослуулж болно.

Alert Actions

Alerts хуудас дээр харагдаж буй сэрэмжлүүлгийн жагсаалтаас сонгосон сэрэмжлүүлэг дээр дарснаар шууд үйлдэл хийх боломжтой бөгөөд нээгдэх дэлгэрэнгүй цонхноос дараахыг хийж болно:

• Replay Search: Үйл явдлыг үүсгэсэн анхны хайлтыг дахин ажиллуулж, холбогдох үйл ажиллагааг шалгана.
• Add to an [Investigation](/business/support/gz-1424486-investigations): Сэрэмжлүүлэг/үйл явдлыг одоо байгаа эсвэл шинэ шалгалтад нэмнэ.
• Send [Notification](/business/support/gz-1424374-alerts): Slack channel, и-мэйл эсвэл гадаад систем рүү сэрэмжлүүлэг илгээнэ.
• Assign an owner: Хариуцлагыг тодорхой болгохын тулд сэрэмжлүүлэг эсвэл үйл явдлыг багийн гишүүнд томилно.
• Update Status: Төлвийг (Open, Investigating, Closed гэх мэт) өөрчилнө.
• Edit [Event Definition](/business/support/gz-1424355-event-definitions): Сэрэмжлүүлгийг тодорхойлсон дүрэм эсвэл нөхцөлийг өөрчилнө.
• Add notes: Сэрэмжлүүлгийн хугацааны шугаманд контекстын тэмдэглэл эсвэл ажиглалт нэмнэ.

Сэрэмжлүүлгийн ажлын урсгалын жишээ

Энэ жишээнд аюулгүй байдлын шинжээч хэвийн бус хандалтын хэв маягийг илтгэх тодорхой сэрэмжлүүлгийг олохын тулд сэрэмжлүүлгийн filter ашиглахыг хүсч байна. Шинжээч дараах байдлаар хийж болно:

1. 1Filter-үүдийг дараах байдлаар тохируулна:

- Tactic/Technique: TA0001: Initial Access
- Priority: High
- Timestamp: Past 7 Days

2. 2Үйл ажиллагааны огцом өсөлтийг шалгахын тулд хугацааны шугамыг шинжилнэ.

3. 3Судалгааны (forensic) өгөгдөл, логийг гүнзгий үзэхийн тулд тодорхой сэрэмжлүүлэг рүү орно, эсвэл дараагийн арга хэмжээнд зориулж эзэмшигч томилно.

Аюулгүй байдлын үйл явдал, сэрэмжлүүлгийн ажлын урсгалыг ашиглах

Таны үйл явдлын тодорхойлолтод заасан шалгуурт таарсан лог мессеж орж ирэхэд Security Data Lake тэдгээрийг заасан нөхцөлтэй харьцуулан үнэлж, идэвхжүүлсэн бол сэрэмжлүүлэг өгнө. Үйл явдлын тодорхойлолт үүсгэхээс эхлээд сэрэмжлүүлгийн мэдэгдэлд үндэслэн шалгалт дуусгах хүртэлх аюулгүй байдлын үйл явдлын ажлын урсгалыг харуулах нэг сценарийг авч үзье.

Аюулгүй байдлын үйл явдал ба сэрэмжлүүлгийн жишээ

Энэ сценарид саяхан ажилд орсон аюулгүй байдлын шинжээч Салли өөрийн байгууллагын аюулгүй байдлын үйл явдлын хяналтыг сайжруулж байна. Үүний нэг хэсэг болгон тэрээр brute-force халдлага эсвэл зөвшөөрөлгүй хандах оролдлогыг илрүүлэхийн тулд бүтэлгүй нэвтрэх оролдлогыг хянах үйл явдал тодорхойлжээ. Энэ үйл явдлын тодорхойлолт нь нэг IP хаягаас таван минутын дотор таваас олон бүтэлгүй нэвтрэх оролдлого гарвал сэрэмжлүүлэг ажиллуулж, и-мэйл мэдэгдэл илгээнэ.

Энэ үйл явдлын тодорхойлолтыг тохируулахын тулд Салли Security Data Lake-ийн вэб интерфэйсээс Security Data Lake Security > Security Events руу орж, Event Definitions хуудасны баруун дээд буланд байгаа Create event definition товчийг дарна. Үйл явдлын тодорхойлолтын wizard-ыг ашиглан Салли үйл явдлын тодорхойлолтыг дараах байдлаар тохируулна:

• Title: Failed Login Attempts

• Description: Detects multiple failed login attempts from a single IP address

• Remediation Steps (Optional): Lock out IP addresses

• Priority: High

• Event Type: Filter & Aggregation

• Filter:

- Search Query: event_code: 4625
- Search within the last: 5 minutes
- Execute search every: 5 minutes
- Create Events for Definition if: Aggregation of results reaches a threshold

• Aggregation:

- Group by Field(s) (Optional): source_ip

• Condition:

- If count(source_ip) > 5

• Notifications

- Send email notification when this event is triggered.

Үйл явдлын тодорхойлолт тохируулагдсан бөгөөд түүний дэлгэрэнгүйн хураангуйг доор харуулав.

Дараа нь Салли “Failed Login Attempts” үйл явдлын тодорхойлолтоор ажилласан сэрэмжлүүлгийн и-мэйл мэдэгдэл хүлээн авна.

Сэрэмжлүүлэг өндөр эрсдэлийн оноо-той байгаа тул тэрээр энэ сэрэмжлүүлгийг даруй чухалчилж, сэрэмжлүүлгийн төлвийг New-ээс Investigating болгон өөрчилж, өөрийгөө эзэмшигчээр томилно. Тэгээд сэрэмжлүүлгийг шинэ шалгалтад нэмж сэрэмжлүүлгээс шалгалт үүсгэнэ. Дараа нь засварлах алхмуудыг уншиж, асуудлыг судалж эхлэхдээ сэрэмжлүүлэг доторх Send Notification товчийг дарж багийнхаа гишүүдэд мэдэгдэл илгээнэ.

Шалгалтаа эхлэхийн тулд Салли сэрэмжлүүлгийн зүүн дээд буланд байгаа Replay Search товчийг дарж үйл явдлын хайлтыг ажиллуулан лог өгөгдөл рүү нэвтэрнэ. Одоо Салли сэрэмжлүүлгийн мөн чанар, холбогдох хөрөнгө, үйл явдлын эх сурвалж, хэрэглэгчийн нэр болон шалгалтад хамаарах бусад чухал мэдээллийн талаарх контекстыг гартаа авлаа.

Салли брут-форс халдлагатай тэмцэх байгууллагынхаа ослын хариу арга хэмжээний playbook болон сэрэмжлүүлэг доторх засварлах алхмуудыг ашиглан аюулгүй байдлын үйл явдлыг шалгаж, brute force халдлагыг амжилттай хаана.

Шалгалт дуусаж, Салли сэрэмжлүүлгийн төлвийг “Closed” болгосноор энэ ажлын урсгал өндөрлөнө.