Security Data Lake дахь эрсдэлийн оноо (Risk Scores)

Security Data Lake Security нь үйл явдал (event) бүрийг таны системийн аюулгүй байдалд учруулж болзошгүй аюулын түвшнээр нь дүгнэж эрсдэлийн оноо өгдөг. Эрсдэлийн оноо нь event-ийн тодорхойлолт болон холбоотой хөрөнгө (asset)-ийн олон өгөгдлийг тоон утгад шилжүүлж нэгтгэдэг тул аюулгүй байдлын event-үүдийг эрэмбэлэхэд тусална.

Энэ нийтлэлд Security Data Lake дахь эрсдэлийн оноо хоёр төрөлтэйг тайлбарлана:

• Event-ийн эрсдэлийн оноо (Event Risk Scores)
• Asset-ийн эрсдэлийн оноо (Asset Risk Scores)

Үүнээс гадна Security Data Lake нь event-ийг мэдэгдэж буй аюулын кампанит ажлын нэг хэсэг гэж үзвэл event-ийн эрсдэлийн оноог нэмэгдүүлж чадна. Энэ боломжийг идэвхжүүлбэл Security Data Lake-ийн таньдаг кампанит ажлын (detection chain гэж нэрлэдэг) event бүрийн оноо өснө. Дэлгэрэнгүйг "Detection chain-ээр эрсдэлийн оноог нэмэгдүүлэх" хэсгээс үзнэ үү.

Event-ийн эрсдэлийн оноо

Event-ийн эрсдэлийн оноо нь тухайн event таны орчинд хэр их эрсдэл дагуулж буйг илэрхийлэх тоон үнэлгээ юм. Ингэснээр өндөр эрсдэлтэй event-үүдийг түрүүлж авч үзэж, нэмэлт судалгаа хийх эсвэл аюулгүй байдлын мөрдөн шалгалт (security investigation) эхлүүлэх зэрэг арга хэмжээ авах боломжтой.

Эрсдэлийн оноо хэрхэн тооцогддог, түүнд нөлөөлдөг хэрэглэгчийн тохиргоо юу болохыг ойлгох нь чухал. Security Data Lake-ийн event-ийн эрсдэлийн оноо нь лог мессежийн хүндийн зэрэг, event-ийн ач холбогдол (priority), asset-ийн ач холбогдол зэрэг хэд хэдэн хүчин зүйлд суурилдаг. Хүчин зүйл бүр event болгонд байх албагүй.

Event-ийн эрсдэлийн оноог тооцох

Аюулгүй байдлын event үүсэх үед Security Data Lake нь эрсдэлийн оноог гурван үндсэн элементээр тооцно:

• Лог мессежийн хүндийн зэрэг (Log message severity): Энэ утга нь GIM schema-ийн alert_severity_level талбараас ирнэ. Лог мессеж дэх утга өндөр байх тусам тооцоололд ашиглах утга өндөр байна. Лог мессежэд alert_severity_level утга байхгүй бол өгөгдмөлөөр бага хүндийн зэргийн утга ашиглана. Event нь олон лог мессежийн нэгтгэлээс (aggregation) үүссэн бол тооцоололд тэдгээр бүх мессежийн хүндийн зэргийн дундажийг ашиглана.

• Event-ийн ач холбогдол (Event priority): Event-ийг event definition, Sigma дүрэм эсвэл anomaly detector үүсгэж болно. Security Data Lake нь эдгээр төрөл тус бүрийн эрсдэлийн оноог өөр өөрөөр тооцоолно:

- Event definitions: Event definition үүсгэхдээ ач холбогдлын утгыг та өөрөө тогтооно. Эрсдэл тооцох алгоритм нь өндөр ач холбогдолд илүү өндөр тоон утга олгоно.
- Sigma rules: Event definition-тэй адил Sigma дүрмийн тодорхойлолтод ач холбогдлын түвшнийг тогтоож болно. Заагаагүй бол Sigma дүрмийн ач холбогдол өгөгдмөлөөр дунд (medium) байна.
- Anomaly detectors: Эрсдэлийн оноог тооцохдоо хэвийн бус event үүсэх үед бий болох anomaly_score утгыг ашиглана. Энэ утга нь anomaly_grade ба anomaly_confidence хүчин зүйлд суурилж, 0-100 хүрээнд нормчлогдсон байна. Дэлгэрэнгүйг Anomaly Detection хуудаснаас үзнэ үү.

• Asset-ийн ач холбогдол (Asset priority): Event-д холбогдох asset байвал эрсдэл тооцох алгоритм asset-ийн ач холбогдлын утгыг мөн оруулан тооцно.

Event-ийн эрсдэлийн оноог үр дүнтэй байлгах

Asset-үүддээ эрсдэлийн түвшинг үнэн зөв тусгасан ач холбогдлын утга оноорой. Таны тогтоосон утгууд эрсдэлийн оноог тооцох үндэс болдог. Event-ийн ач холбогдол, asset-ийн ач холбогдол зэрэг хүчин зүйлс эрсдэлийн оноонд шууд нөлөөлнө. Бага ач холбогдолтой event definition нь бага эрсдэлийн оноо өгнө. Жишээлбэл, "ажлын цагаас гадуур олон удаа нэвтрэх оролдлого бүтэлгүйтэх" гэсэн event definition-д бага ач холбогдол өгвөл алдаа болно. Яг үнэндээ ийм event нь болгоомжлол шаарддаг тул ач холбогдлыг high (өндөр) гэж тогтоох ёстой. Event definition-д буруу ач холбогдол оноовол event-үүд анзаарагдалгүй өнгөрч, эрсдэл зохих ёсоор арилгагдахгүй байж болзошгүй.

Түүнчлэн логуудаа холбогдох asset-үүдтэй уяарай. Event-ийг өдөөсөн логуудад asset холбогдоогүй бол event-ийн эрсдэлийн оноо тооцогдохгүй. Логуудыг asset-тэй холбохдоо Illuminate дахь Assets pack-ийг идэвхжүүлэх эсвэл өөрийн боловсруулах pipeline-д set_associated_assets pipeline функцийг ашиглана.

1. 1Аюулгүй байдлын event definition-ий ач холбогдлын түвшин: event definition wizard-аар (Security Events > Definitions) тогтоож, засна.

2. 2Sigma дүрмийн event-ийн ач холбогдол: Sigma дүрмийн тодорхойлолтын кодод (Sigma Rules > Rules) тогтоож, засна.

3. 3Asset-ийн ач холбогдол: Assets хуудсанд asset-ийн төрөл бүрээр тогтоож, засна.

4. 4Лог ба asset-ийн холбоо: Illuminate Assets pack-аар эсвэл set_associated_assets pipeline функцээр идэвхжүүлнэ.

> Тэмдэглэл: Эрсдэлийн оноог цаг хугацааны явцад, мөн эдгээр event-үүдээс үүдсэн аливаа судалгаа, мөрдөн шалгалтын үр дүнтэй хамт ажигла. Үр дүн таны хүлээлттэй нийцэхгүй байвал холбогдох ач холбогдлын тохиргоог дахин хянаж үзээрэй.

Event-ийн эрсдэлийн оноог харах

Эрсдэлийн оноо нь Security интерфэйс-ийн Security Events хуудсанд харагдана. Event-үүдийн жагсаалтад event бүрт эрсдэлийн оноо хавсарсан байдаг. Мөн энэ жагсаалтыг эрсдэлийн оноогоор нь эрэмбэлж, хамгийн өндөр эрсдэлтэй event-үүдийг дээр нь гаргаж болно.

Asset-ийн эрсдэлийн оноо

Өдөөгдсөн event-үүдийг "нээлттэй" (open) гэж ангилдаг. Холбоотой asset-тэй нээлттэй event илэрмэгц тэдгээр asset-д asset-ийн эрсдэлийн оноо тооцож олгоно. Asset-ийн эрсдэлийн оноо нь event-ийн эрсдэлийн оноогоос тусдаа тооцогддог тул хоёр оноо өөр байж болно.

Asset-ийн эрсдэлийн оноо дараах зүйлд суурилна:

• Нээлттэй event-үүдийн хамгийн өндөр эрсдэлийн оноо.
• Эмзэг байдал шалгагчаас импортолж, machine asset-д хавсаргасан аливаа эмзэг байдал (vulnerability).

Asset-ийн эрсдэлийн оноо нь тодорхой нэг аюулгүй байдлын event-д биш, asset-ийн өөрт нь төвлөрдөг. Зорилго нь тодорхой нэг asset-ийн талаар аюулгүй байдлын мэдээлэл өгч, аль asset эрсдэлтэй байгааг олохын тулд олон event-ийг хайж цаг үрэхгүй байх явдал юм. Анхаарал шаардлагатай asset-ийг өндөр эрсдэлийн оноогоор нь тодорхойлж чадвал мөрдөн шалгалтыг илүү үр дүнтэй эхлүүлж болно. Аюулгүй байдлын event болон эмзэг байдал asset-ийн эрсдэлийн оноонд хэрхэн нөлөөлдөг талаар дэлгэрэнгүйг "Asset-ийн эрсдэлийн оноог тооцох" хэсгээс үзнэ үү.

Asset нь хэрэглэгч эсвэл machine байж болно. Machine asset-д эмзэг байдал шалгасан өгөгдөл хавсаргаж болох ч хэрэглэгчийн asset-д болохгүй. Asset-ийн эрсдэлийн оноог тооцохдоо machine asset-ийн эмзэг байдлыг тооцно.

Asset-ийн эрсдэлийн оноог харах

Asset-ийн эрсдэлийн оноог дараах газраас харж болно:

• Security Data Lake Security интерфэйсийн Assets табаас.
• Assets хуудсанд ямар ч asset дээр дарахад гарч ирэх asset drawer-ээс.

Asset-ийн эрсдэлийн оноо хүндийн зэргээс хамаарч өнгөөр ялгагдана.

Asset-ийн эрсдэлийн оноог тооцох

Asset-ийн эрсдэлийн оноог нээлттэй event-үүдийн хамгийн өндөр эрсдэлийн оноо болон мэдээлэгдсэн аливаа эмзэг байдалд үндэслэн тооцно. Event-ийн эрсдэлийн оноо хэсэгчлэн event-ийн ач холбогдолд суурилдаг тул хэрэглэгчийн оруулсан утга чухал нөлөөтэй. Asset-ийн эрсдэлийн оноо нь event-ийн ач холбогдлыг тогтоохдоо хэрэглэгчийн тодорхойлсон эрсдэлийн хэмжээг тусгана. Дэлгэрэнгүйг "Event-ийн эрсдэлийн оноог үр дүнтэй байлгах" хэсгээс үзнэ үү.

Asset-д олон event definition-ий event холбогдсон бол нөхцөл байдлыг тусгахын тулд түүний эрсдэлийн оноо нэмэгдэнэ. Asset-ийн эрсдэлийн оноог тооцохдоо хамгийн өндөр эрсдэлийн оноотой event-ийг үндсэн тооцоололд ашиглана.

Asset-ийн эрсдэлийн оноог эх лог өгөгдлөөс авсан alert_severity утга, asset-ийн ач холбогдол, asset-ийн эмзэг байдал зэрэг олон хүчин зүйлд үндэслэн тооцно. Оноог 0-100 хүрээнд нормчилдог тул тайлбарлах, харьцуулахад хялбар.

Asset-ийн эрсдэлийн оноо нь тухайн asset-д одоо байгаа эрсдэлийн түвшний товч дүр зургийг өгнө. Asset-ийн эрсдэлийн оноог event илрэх үед тооцоолж, event хаагдах үед дахин тооцоолно. Asset-д холбогдох нээлттэй event байхгүй бол asset-ийн эрсдэлийн оноо тэг байна.

Asset-ийн эрсдэлийн оноог үр дүнтэй байлгах

Asset-ийн эрсдэлийн оноо нь эмзэг байдал болон event-ийн эрсдэлийн оноонд суурилдаг бөгөөд эдгээрт хэрэглэгчийн тогтоосон event-ийн ач холбогдлын түвшин нөлөөлдөг.

Нэг asset-д олон нээлттэй аюулгүй байдлын event байвал asset-ийн эрсдэлийн оноог тооцохдоо хамгийн өндөр event-ийн эрсдэлийн оноог ашиглана. Иймээс event-ийн эрсдэлийн оноог сайтар үнэлэх хэрэгтэй.

Asset-ийн эрсдэлийн оноо хэрэглэх жишээ

Эдгээр жишээ нь доорх хүчин зүйлс asset-ийн эрсдэлийн оноонд хэрхэн нөлөөлдгийг харуулна. Ангилал бүрээр нэг нөхцөл байдлыг авч үзье:

• Asset-ийн ач холбогдол
• Event-ийн эрсдэлийн оноо
• Эмзэг байдал

Нөхцөл 1

Trudy бол IT компанийн аюулгүй байдлын үйл ажиллагааны төвийн (SOC) 2-р түвшний шинжээч. 1-р түвшний шинжээч хоёр өөр asset дээрх нэвтрэх оролдлогын бүтэлгүйтлийг дөнгөж шүүж үзсэн. Trudy холбогдох asset-үүдийг судлав. Нэг нь компанийн зөөврийн компьютер, нөгөө нь компанийн мэдээллийн сан. Компанийн мэдээллийн сан нь бүх ажилтны хувийн мэдээлэл (PII) агуулдаг тул asset-ийн эрсдэлийн оноо өндөр байна. Зөөврийн компьютерийн asset-ийн эрсдэлийн оноо бага. Trudy мөрдөн шалгалтаа эхлээд компанийн мэдээллийн сан дээр төвлөрөхөөр шийдэв.

Нөхцөл 2

Trudy эрсдэлийн оноо нь өөр хоёр event-ийг анзаарав. Эхнийх нь "нэг минутаас богино хугацаанд системд хоёр удаа нэвтрэх оролдлого бүтэлгүйтсэн", хоёр дахь нь "нэг минутаас богино хугацаанд системд 20 удаа нэвтрэх оролдлого бүтэлгүйтсэн" event юм. Trudy эхний event нь хэрэглэгчийн алдаа, жишээ нь нэвтрэх мэдээллээ буруу бичсэнээс болсон байх магадлалтай гэж дүгнэв. Тэрээр event definition-үүдийг шалгахад нэг нь бага, нөгөө нь өндөр ач холбогдолтой байсан ч event-үүд болсны дараа ач холбогдлыг тогтоодоггүй. Тохиолдол бүрт event-ийн эрсдэлийн оноо asset-ийн эрсдэлийн оноонд тусна.

Нөхцөл 3

Trudy компанийн хэд хэдэн зөөврийн компьютерийг онилсон болзошгүй халдлагын талаар мэдэгдэл хүлээн авав. Нэг зөөврийн компьютерийн asset-ийн эрсдэлийн оноо илүү өндөр байна. Тэрээр энэ компьютерт эмзэг байдал байгаа бөгөөд саяхан шинэчлэгдээгүйг харав. Trudy анхаарлаа энэ эмзэг компьютер дээр төвлөрүүлэв.

Янз бүрийн оноог ойлгох

Зарим тохиолдолд event-ийн эрсдэлийн оноо ба asset-ийн эрсдэлийн оноо адил байж болно. Asset-ийн эрсдэлийн оноо event-ийн эрсдэлийн оноотой адил биш үед дараах хүчин зүйлс нөлөөлж байна:

• Холбогдох олон event (жишээ нь олон халдлагын тактикаар онилсон asset)
• Эмзэг байдал (жишээ нь засвар, шинэчлэлт хийгдээгүй машин эсвэл бусад асуудал)

Жишээлбэл, олон удаа онилогдсон бөгөөд эмзэг байдалтай зөөврийн компьютерийн asset-ийн эрсдэлийн оноо нь event-ийн эрсдэлийн оноогоос өндөр байна.

Detection chain-ээр эрсдэлийн оноог нэмэгдүүлэх

Security Data Lake нь мэдэгдэж буй халдлага, аюулын кампанит ажлын нэг хэсэг болох event-үүдийг илрүүлэхэд эрсдэлийн оноог нэмэгдүүлж чадна. Эдгээр кампанит ажлыг detection chain гэж нэрлэдэг, хоорондоо холбоотой event-үүдээр хянадаг.

Нэг event өөрөө, ялангуяа эхэндээ эрсдэлийн оноо бага бол ач холбогдолгүй мэт харагдаж болно. Гэвч Security Data Lake нь detection chain-ий нэг хэсэг болох event илрүүлбэл эрсдэлийн оноог нэмэгдүүлж чадна. Дараа нь chain дахь нэмэлт event илрэх бүрд оноо үргэлжлэн өсч, холбогдох аюулын боломжийг нэмэгдүүлж, үүнийг арилгах нэн тэргүүний ажил гэдгийг заана.

Энэ хэсэгт detection chain Security Data Lake-д хэрхэн ажилладаг, энэ боломжийг орчиндоо хэрхэн идэвхжүүлэх, вэб интерфэйсээс эдгээр аюулыг хэрхэн хянахыг тайлбарлана.

Detection chain-ийг хянах

Security Data Lake нь detection chain-ийг Sigma дүрмээр хянадаг бөгөөд эдгээр дүрмийг урьдчилсан нөхцөл болох Illuminate content pack-аас авна. Content pack-ийг идэвхжүүлсний дараа түүнд агуулагдсан бүх Sigma дүрэм танд нээлттэй болно. Sigma дүрэм бүр тодорхой нэг event-ийг хайдаг. Event бүр нь detection chain-ий нэг алхам юм.

Гэхдээ detection chain нь олон event-ээс бүрдсэн халдлагыг төлөөлдөгийг санаарай. Таны орчинд тохиолдох detection chain-ийг бүрэн хянахын тулд тухайн chain-д хамаарах Sigma дүрэм бүрийг идэвхжүүлэх ёстой. Chain дахь нэмэлт аюулгүй байдлын event өдөөгдөх тусам тэдгээрийн эрсдэлийн оноо өснө. Болзошгүй аюул идэвхтэй байгаа тухай шуурхай мэдэгдэл авахын тулд аюулгүй байдлын event бүрт мэдэгдэл тохируулж болно.

Detection chain-ийг идэвхжүүлэх

Detection chain-ээр эрсдэлийн оноог нэмэгдүүлэх боломжийг идэвхжүүлэхийн тулд эхлээд Illuminate content pack идэвхжсэн эсэхийг шалгаад, дараа нь Security Data Lake-д илрүүлэхийг хүссэн detection chain-үүдийн Sigma дүрмийг хянан үзэж идэвхжүүлнэ.

Illuminate content pack-ийг идэвхжүүлэх:

1. 1General layout-д Enterprise > Illuminate руу очино.
2. 2Illuminate Windows Detection Chains - Sigma Rules content pack-ийг олно. Windows Detection Chains гэж хайж жагсаалтыг шүүгээд энэ content pack-ийг олж болно.
3. 3Content pack-ийн нүдийг тэмдэглээд Install Packs дээр дарна.
4. 4Гарч ирэх цонхонд Confirm дээр дарна.

Security Data Lake content pack-ийг суулгаж идэвхжүүлнэ. Суулгалт дууссаны дараа таныг Illuminate Content Hub харагдац руу буцаана.

Sigma дүрмийг идэвхжүүлэх:

1. 1General layout-д Security > Sigma Rules руу очно, эсвэл Security layout-ийн дээд цэснээс Sigma Rules-ийг сонгоно.
2. 2Detection Chain гэж хайж, Illuminate Windows Detection Chains - Sigma Rules content pack-аас ирсэн Sigma дүрмүүдээр жагсаалтыг шүүнэ. Эдгээр Sigma дүрмийн нэрэнд бүгд Detection Chain гэж орсон байдаг.
3. 3Жагсаалтыг хянаж, өөрийн орчинд илрүүлэхийг хүссэн дүрмүүдээ идэвхжүүлнэ. Content pack-ийн Sigma дүрмийг тус тусад нь хянахдаа хайлтын шүүлтүүр хэрэглэх болон мэдэгдлийг засах боломжтой. Бусад талбарыг засах боломжгүй.

Sigma дүрмийг идэвхжүүлэхэд холбогдох аюулгүй байдлын event автоматаар үүсч, өгөгдмөлөөр идэвхжинэ. Дэлгэрэнгүйг Sigma Rules хуудаснаас үзнэ үү.

Идэвхтэй detection chain-ийг харах

Chain дахь Sigma дүрмүүдийн аль нэг нь илэрвэл detection chain идэвхтэй гэж тооцогдоно. Нэг долоо хоногийн дотор тухайн detection chain-ий нэмэлт дүрмүүд өдөөгдвөл эрсдэлийн оноо өснө.

Detection chain идэвхтэй үед Security Data Lake интерфэйсд хэд хэдэн шинж тэмдэг харагдана:

• Холбоотой event-үүдийн эрсдэлийн оноо өснө. Detection chain-ий олон event өдөөгдсөн бол эрсдэлийн оноо 75-аас давж, Alerts жагсаалтад улаанаар харагдах ёстой. Энэ хүснэгтийг эрсдэлийн оноогоор эрэмбэлж, хамгийн өндөр эрсдэлтэй alert-үүдийг эхэнд нь гаргаж болохыг санаарай.

• Alerts жагсаалтад detection chain-тэй холбоотой event бүрийн эрсдэлийн оноо дэргэд Detection Chain шошго гарна.

• Alert-ийн дэлгэрэнгүй хуудасны дээд хэсэгт идэвхтэй detection chain харагдана. Detection chain-ий нэр дээр дарж chain-ий event-үүдийн жагсаалтыг харна. Өдөөгдсөн дүрмүүд тодорч харагдах бол хараахан илрээгүй дүрмүүд саарал өнгөтэй байна.

> Тэмдэглэл: Холбогдох бүх Sigma дүрэм идэвхжсэн эсэхийг энэ харагдацаар шалгана уу. Detection chain-ий event өдөөгдсөн бол хамгийн сайн хамрах хүрээ, зөв эрсдэлийн оноо авахын тулд тухайн chain-д жагсаасан бусад бүх дүрмийг идэвхжүүлсэн эсэхээ шалгаарай.