Хөрөнгийн баяжуулалт (Asset Enrichment)
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Security Data Lake Security нь таны орчин дахь төрөл бүрийн хөрөнгө (asset)-ийг харах, логуудыг хөрөнгийн мэдээллээр баяжуулах боломж олгоно. Хөрөнгийн өгөгдлийн сан дахь талбартай таарсан ирж буй лог мессеж бүрт хөрөнгийг холбож, хөрөнгийн дэлгэрэнгүй мэдээллийг харуулна.
Хөрөнгөөр баяжуулалтыг Illuminate:Assets боловсруулалтын багцыг идэвхжүүлэх эсвэл хэд хэдэн pipeline дүрэм ашиглан хийнэ. Ингэснээр холбогдсон хөрөнгүүд хайлтад орох бөгөөд сэрэмжлүүлэг үүсгэхэд ашиглагдана. Хөрөнгийг мессежтэй холбоход ашиглах талбаруудын талаар Create Pipeline Rules with Assets хэсгээс үзнэ үү.
Хайлтад хөрөнгийг хэрхэн ашиглах талаар Enhance Search with Asset Enrichment хэсгээс үзнэ үү.
Get Assets Into Security Data Lake (Хөрөнгийг Security Data Lake-д оруулах)
Security Data Lake-д хоёр төрлийн хөрөнгө байна: машины хөрөнгө ба хэрэглэгчийн хөрөнгө. Машины хөрөнгөд сүлжээнд байгаа сервер, хувийн компьютер, галт хана зэрэг төрөл бүрийн машин орно. Хэрэглэгчийн хөрөнгө нь таны орчин дахь системийн болон хүний хэрэглэгчийн акаунтууд байж болно.
Хоёр төрлийн хөрөнгийг оруулж, тогтмол интервалаар синк хийж болно. Ингэснээр гадаад эх сурвалж дахь өөрчлөлт Security Data Lake-д тусна. Дэлгэрэнгүйг Schedule an Asset Source Sync хэсгээс үзнэ үү.
Хөрөнгийг Security Data Lake-д оруулах хоёр арга бий:
- Import Assets (Хөрөнгө импортлох)
- Create a New Asset (Шинэ хөрөнгө үүсгэх)
LDAP, Active Directory, Microsoft 365 зэрэг гадаад эх сурвалжаас хөрөнгө импортолж болно. Эсвэл Security Data Lake-ийн интерфэйсээр гараар хөрөнгө үүсгэж болно. Дэлгэрэнгүйг доорх «Import and Configure Assets» хэсгээс үзнэ үү.
View the Asset Drawer (Хөрөнгийн самбарыг харах)
Security Data Lake Security-ийн интерфэйсийн Assets (Хөрөнгө) доор жагссан хөрөнгө бүрт хөрөнгийн самбар (asset drawer) байдаг. Самбар нь хөрөнгийн дэлгэрэнгүй мэдээлэл, холбогдох аюулгүй байдлын үйл явдал, мэдэгдсэн эмзэг байдлын тойм харуулна. Та үүгээр хөрөнгийн байдал, эрсдэлийн түвшин, холбогдох үйл явдлыг хянаж болно. Хөрөнгийн самбарыг нээхийн тулд хөрөнгө дээр дарна.
Хөрөнгийн самбарт дараах мэдээлэл харагдана:
- Asset details (Хөрөнгийн дэлгэрэнгүй): хөрөнгийн эрсдэлийн оноо, машин эсвэл хэрэглэгчийн мэдээлэл, газарзүйн мэдээлэл, өөрийн тодорхойлсон талбарууд.
- Asset risk scores (Хөрөнгийн эрсдэлийн оноо): Эдгээр оноо нь хөрөнгийн эрсдэлийг илтгэх хэрэгтэй үзүүлэлт юм. Голчлон үйл явдлын эрсдэлийн оноо болон эмзэг байдалд суурилна. Аюулгүй байдлын үйл явдлыг эрэмбэлэхэд ашиглаж болно. Дэлгэрэнгүйг Эрсдэлийн оноо хэсгээс үзнэ үү.
- Security events (Аюулгүй байдлын үйл явдал): үйл явдалтай холбоотой дэлгэрэнгүй мэдээлэл болон хайлтыг дахин тоглуулах боломжтой.
- Vulnerabilities (Эмзэг байдал): эмзэг байдал шалгагчаас импортолсон, тухайн хөрөнгөтэй холбоотой эмзэг байдлын тоо самбарт харагдана. Эмзэг байдлын оноо зөвхөн машины хөрөнгөд байдаг. Эмзэг байдал ба тайланг хэрхэн идэвхжүүлэх талаар Vulnerability Scanning хэсгээс үзнэ үү.
View the Asset Drilldown Dashboard (Хөрөнгийн дэлгэрэнгүй хяналтын самбарыг харах)
Хөрөнгө бүрт зориулсан, лог эх сурвалж болон бусад мэдээллийг харуулдаг бэлэн хяналтын самбар бий. Asset drilldown dashboard нь тухайн хөрөнгөтэй холбоотой бодит цагийн өгөгдлийг хялбар судлах боломж олгоно.
Самбарыг нээх хоёр арга бий:
- Assets хуудаснаас (General эсвэл Security perspective) хүснэгт дэх хөрөнгийн More цэс (гурван цэг)-ийг дараад Asset Dashboard-ыг сонгоно.
- Хөрөнгийн самбараас хөрөнгийн нэрийн хажуугийн Show Asset Dashboard дүрсийг дарна.
Хяналтын самбарт дараах виджетүүд байна:
- Message Count
- Top 15 Sources by Event Count
- Top 15 Source Products by Event Count
- Top 15 Source Products by Event Count Over Time
- Asset Related Messages (мессежийн хүснэгт)
Та бусад хяналтын самбарын нэгэн адил хайлтыг дахин тоглуулах, өгөгдөл экспортлох, огноо/цагийн хүрээг өөрчлөх, шүүлтүүр хэрэглэх боломжтой. Энэ нь бэлэн самбар учир виджетүүдийг засах боломжгүй. Гэхдээ баруун дээд булангийн Save as-ийг сонгож хуулбарыг үүсгээд, түүн дээрээ виджетийн тохиргоог засч болно. Самбарт хэрэгтэй мэдээлэл гарахын тулд хөрөнгөд холбогдсон лог байх ёстой.
Import and Configure Assets (Хөрөнгө импортлох ба тохируулах)
Хөрөнгөөр логоо баяжуулахын өмнө Security Data Lake-д хөрөнгийг импортлож, тохируулсан байх ёстой. Хөрөнгө нь Asset Enrichment-д тодорхойлсон шиг таны орчин дахь машин эсвэл хэрэглэгчийн төрөл бүрийн объект байж болно.
Энэ нийтлэлд Security Data Lake болон гадаад хөрөнгийн эх сурвалжийн хоорондох холболтыг хэрхэн тохируулах, хөрөнгийг хэрхэн импортлохыг үзүүлнэ.
Import Assets (Хөрөнгө импортлох)
Хөрөнгө импортлох үндсэн алхмууд:
- Хөрөнгийн эх сурвалжийг үүсгэх эсвэл тохируулах. Үүнд хоёр хэсэг бий:
1. Хөрөнгийн холболт (серверийн тохиргоо) үүсгэх.
2. Asset import mapping үүсгэх.
- Импортыг эхлүүлэх.
Эдгээр алхмыг доор дэлгэрэнгүй тайлбарлав.
Create or Configure an Asset Source (Хөрөнгийн эх сурвалж үүсгэх эсвэл тохируулах)
Хөрөнгө импортлохын өмнө шинэ эх сурвалж үүсгэх эсвэл одоо байгаа эх сурвалжаа тохируулах хэрэгтэй. Одоо байгаа эх сурвалжийг засахдаа түүн дээрх гурван цэгийг дараад, цэснээс Edit-ийг сонгоно.
Шинэ хөрөнгийн эх сурвалж үүсгэх:
- Security layout-д Assets-ийг нээгээд Sources табыг сонгоно.
- New Source-ийг дарна.
- Цэснээс эх сурвалжийн төрлийг сонгоно. Дэмжигдэх төрөл: LDAP, Active Directory, Microsoft 365.
Тохиргооны сонголт эх сурвалжийн төрлөөс хамаарна. LDAP ба Active Directory-ийн тохиргоо ижил сонголттой, харин Microsoft 365-ийн сонголт өөр. Өөрийн тохируулж буй төрлийн хэсэг рүү шилжинэ үү.
Configure LDAP and Active Directory Sources (LDAP ба Active Directory эх сурвалж тохируулах)
Серверийн тохиргооны мэдээлэл LDAP болон Active Directory-д адил. Та Microsoft дансныхаа нэвтрэх мэдээллийг оруулна. Дэлгэрэнгүйг Microsoft-ын баримт-аас үзнэ үү. Connection Configuration (Холболтын тохиргоо) доор дараах алхмыг хийнэ:
- Дараах мэдээллийг оруулна.
- Title — Эх сурвалжийн холболтод давтагдахгүй нэр оруулна.
- Server Address — Эх сурвалжтай холбогдох серверийн хаягийг оруулна. IPv4 ба IPv6 дэмжигдэнэ. IP хаяг эсвэл бүрэн нэр (FQDN) байж болно.
- Port — Серверийн портын дугаарыг оруулна.
- Transport Security — Security Data Lake болон хөрөнгийн эх сурвалжийн хоорондох холболтын аюулгүй байдлын сонголтыг сонгоно; шифрлэлтийн аргыг сонгоно: None — шифрлэлт ашиглахгүй; TLS — холболтыг TLS-ээр хамгаална; StartTLS — боломжтой бол аюулгүй холболт ашиглах боловч аюулгүй бус холболтыг зөвшөөрнө; Verify Certificates — TLS эсвэл StartTLS-ийг сонговол сертификатыг Certificate Authority-гаар баталгаажуулах эсэхийг тохируулна.
- System User DN — Серверт анх холбогдох хэрэглэгчийн нэрийг оруулна, жишээ нь: cn=admin,dc=example,dc=com. Серверийн тохиргооноос хамаарч энэ утга заавал биш байж болно.
- System Password — Серверт анх холбогдох нууц үгийг оруулна.
- Description (заавал биш) — Утга бүхий тайлбар нэмнэ.
- Оруулсан мэдээллээр холболтыг шалгахын тулд Test Server Connection-ийг дарна. Үргэлжлүүлэхээс өмнө гарсан алдааг засна.
> Анхааруулга: Холболтын анхны шалгалт амжилттай байсан ч хөрөнгө импортлох явц алдаатай болж болно. Системийн хэрэглэгч буруу тохируулагдсан эсвэл шаардлагатай эрхгүй бол ингэж болзошгүй.
- Хөрөнгийн холболтын тохиргоог хадгалахын тулд Save Connection-ийг дарна.
Үүний дараа энэ эх сурвалжийн хөрөнгийн mapping-ийг тохируулж болно.
Configure Microsoft 365 Sources (Microsoft 365 эх сурвалж тохируулах)
Microsoft 365-ийн тохиргооны параметрүүд LDAP болон Active Directory-гийнхээс өөр. Гэхдээ Microsoft 365 холболт нэмэлт давуу талтай:
- Mapping Configuration хуудсан дээр Include Vulnerabilities нүдийг идэвхжүүлбэл Microsoft 365 эх сурвалж хөрөнгийн хамт эмзэг байдлыг импортлох боломж олгоно. Дэлгэрэнгүйг Vulnerability Scanning хэсгээс үзнэ үү.
- Хэрэглэгчийн хөрөнгөд Entra ID шүүлтүүр, Microsoft машинуудыг сонгон импортлоход Entra ID, Intune эсвэл Defender шүүлтүүр нэмж болно.
Connection Configuration хуудсан дээр түрээслэгч (tenant) болон клиент аппликейшнийг тодорхойлох нэвтрэх мэдээллийг оруулах шаардлагатай. Эдгээрийг Microsoft 365 клиент аппликейшнээсээ олно. Microsoft 365 API болон Security Data Lake серверийн холболтыг хэрхэн тогтоох талаар Microsoft 365 Setup хэсгээс үзнэ үү.
Connection Configuration доор дараах алхмыг хийнэ:
- Дараах мэдээллийг оруулна.
- Title — Эх сурвалжийн холболтод давтагдахгүй нэр оруулна.
- Directory (tenant) ID — Агуулга хамаарах түрээслэгчийн Globally Unique Identifier (GUID)-ийг оруулна.
- Client ID — Захиалгыг үүсгэсэн аппликейшнийхээ GUID-ийг оруулна.
- Client Secret — Аппликейшн токен авахдаа өөрийгөө баталгаажуулахад ашигладаг нууц тэмдэгт мөрийг оруулна.
- Subscription Type — Цэснээс байгууллагынхаа Microsoft 365 захиалгын төлөвлөгөөг сонгоно.
- Description (заавал биш) — Утга бүхий тайлбар нэмнэ.
- Оруулсан мэдээллээр холболтыг шалгахын тулд Test Server Connection-ийг дарна. Үргэлжлүүлэхээс өмнө гарсан алдааг засна.
> Анхааруулга: Холболтын анхны шалгалт амжилттай байсан ч хөрөнгө импортлох явц алдаатай болж болно. Системийн хэрэглэгч буруу тохируулагдсан эсвэл шаардлагатай эрхгүй бол ингэж болзошгүй.
- Хөрөнгийн холболтын тохиргоог хадгалахын тулд Save Connection-ийг дарна.
Үүний дараа энэ эх сурвалжийн хөрөнгийн mapping-ийг тохируулж болно.