Anomaly Detection: хэвийн бус үйлдлийг хэрхэн илрүүлж, сэрэмжлүүлэг тохируулах вэ?
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Anomaly detection (хэвийн бус үйлдэл илрүүлэлт) нь орчин үеийн том, тархмал системийг удирдахад чухал үүрэгтэй. Эдгээр системд өгөгдлийн нэгтгэлийг шинжлэх нь хүндрэлтэй байдаг бөгөөд зарим үед боломжит асуудал, аюул илрэхгүйгээр системд нэвтэрдэг.
Anomaly Detection нь Illuminate-аар хөдөлгүүрлэгдсэн таны Security Data Lake орчинг ашигладаг аюулгүй байдлын хэрэгсэл юм. (Дэлгэрэнгүйг Illuminate-ийн Anomaly Detection add-on технологийн багцын баримт-аас үзнэ үү.) Энэ хэрэгслийн гол зорилго нь хиймэл оюун ухаан / машин сургалтын (AI/ML) зан төлөвийн шинжилгээгээр өгөгдлийн багц доторх хэвийн бус утгыг илрүүлэх явдал юм. Таны өвөрмөц лог өгөгдлийн хэвийн байдлыг ойлгосны үндсэн дээр ямар нэг зүйл ердийн үйл ажиллагаанаасаа хазайх буюу хэвийн түвшингээс гарах бүрд танд сэрэмжлүүлэг ирнэ. Ингэснээр та болон таны баг кибер аюулыг урьдчилан мэдэж, ердийн бус үйлдлийг илрүүлж, IT орчин дахь хэвийн бус байдлыг арилгах арга хэмжээ авах боломжтой болно.
Үйл явц нь Security Data Lake Illuminate таны лог өгөгдлийг хүлээн авч, хэвийн хэлбэрт оруулж (normalize), баяжуулснаар (enrich) эхэлнэ. Дараа нь Security Data Lake баяжуулсан өгөгдлийг Anomaly Detection хэрэгсэлд дамжуулна. Хэрэгсэл өгөгдлийг цагийн хэсгүүдэд хувааж, таны өмнөх түүхэн өгөгдөл дээр үндэслэн хүлээгдэж буй хүрээнээс гарсан цэгүүдийг хайна. Хэвийн бус өгөгдлийн цэг илэрвэл эдгээр мессежийг таны Security Data Lake дахь тусгай anomaly index-д бүртгэнэ. Дараа нь та тохиргоондоо тулгуурлан эдгээр хэвийн бус үзэгдлийн талаар сэрэмжлүүлэг үүсгэж болно. Түүнчлэн эдгээр хэвийн бус үзэгдлийг Security dashboard дээр тохируулж болох төрөл бүрийн widget-ээр харуулах бөгөөд ингэснээр интерактив, хэрэгжүүлэхэд хялбар шинжилгээ гарна.
Энэхүү гарын авлага нь Anomaly Detection хэрэгслээ бэлтгэж, тохируулахад туслана.
Anomaly Detectors-ийг идэвхжүүлэх
Хэрэглэгчийн интерфейс ойлгомжтой бөгөөд олон тайлбартай тул Anomaly Detection-ийг ашиглахад машин сургалтын урьдчилсан туршлага шаардлагагүй. Тохиргоо нь санал болгож буй detector-уудаас хүссэнийхээ унтраалгыг асаахаар эхэлнэ.
- Security Data Lake Security лицензийг худалдан авч, Illuminate бүтээгдэхүүнээ суулгасан эсвэл шинэчилсний дараа Anomaly Detection технологийн багцуудыг суулгана.
- Enterprise > Illuminate хэсэгт очоод "Anomaly Detection" гэж хайна.
- Anomaly Detection Add-on болон Anomaly Detection Spotlight контентын багц хоёуланг сонгож идэвхжүүлнэ.
- Security Data Lake дотор Security Data Lake лого дээрх унждаг цэсийг сонгоод Security-г дарна. Ингэснээр аюулгүй байдалтай холбоотой бүх контент байрлах Security байршил руу шилжинэ.
- Дараа нь Anomalies > Anomaly Detectors-ийг сонгож боломжит detector-уудыг харна. Байгууллагынхаа хэрэгцээ, сонголтод тулгуурлан шаардлагатай detector-уудын унтраалгыг дарж, ажиллаж буй төлөв харагдах хүртэл идэвхжүүлнэ.
> Тэмдэглэл: Хэд хэдэн detector-ыг асаасан үед эхлүүлэлт дараалалд орж, дарааллаар гүйцэтгэгдэнэ.
Боломжит бүх detector болон тэдгээрийн үүргийн бүрэн жагсаалтыг anomaly detector-ийн хэрэглэгчийн гарын авлагаас үзэж болно.
Хэд хэдэн detector-ыг нэгэн зэрэг эхлүүлэх нь таны OpenSearch node-уудад их ачаалал өгч болохыг анхаараарай. Нэгэн зэрэг эхлүүлэх (initializing) detector-ын тоог Security Data Lake-ийн opensearch_anomaly_max_concurrent_initializations=X тохиргооны утгаар зохицуулах бөгөөд анхдагч утга нь 1. Тиймээс энэ утгыг болгоомжтой өөрчилж, кластерууд нь үүнийг тэсвэрлэхүйц нөөцтэй эсэхийг заавал шалгахыг зөвлөж байна.
Remediation steps (арилгах алхам) тохируулах
Event definition, sigma rule болон anomaly detector-уудад remediation step-ийг (текст утгаар) тодорхойлж болно. Энэ боломж нь сэрэмжлүүлэг ажиллах үед аюулгүй байдлын шинжээчид дагах бодит арга хэмжээг заана. Тодорхойлсон үед эдгээр remediation step нь аюулгүй байдлын үзэгдэл үүсэх үед тод харагдаж, дараа нь юу хийхийг зааж өгнө.
Дэлгэрэнгүйг Remediation Steps хуудаснаас үзнэ үү.
Өгөгдлийг задлан унших
Anomaly хэрэгсэл лог өгөгдөл дотор хэвийн бус зүйл илрүүлэхэд тэр өгөгдлийг Anomaly Detection processor руу татна. Дараа нь өгөгдлийг хүнд ойлгомжтой, ач холбогдолгүй мэдээллээс цэвэрлэсэн мессеж болгон задалдаг бөгөөд эдгээрийг Security Data Lake anomaly event message гэнэ. Эдгээр нь стандарт event message боловсруулах урсгалаар дамжина. Anomaly event message нь илэрсэн хэвийн бус үзэгдлийн нарийн мэдээллийг товч өгнө.
Бүх anomaly event message-д нийтлэг талбарууд байх бөгөөд мессеж аль detector-оос гарсанаас хамаарч нэмэлт талбарууд бас байна. Эдгээр нэмэлт талбар нь аль объект (хэрэглэгч, хост гэх мэт) хэвийн бус зан төлөв үзүүлснийг заадаг. anomaly_detector_name зэрэг өөр өөр detector өөр өөр талбар нэмнэ.
Хэрэглээний жишээ
Нэг жишээ харъя.
Доор стандарт талбар болон anomaly талбарууд бөглөгдсөн anomaly event message-ийн жишээ байна. Anomaly event message гэдгийг Security Data Lake anomaly detection хэрэгсэл арын хэсэгт хүлээн авсан өгөгдлийг хэрхэн илэрхийлдэг хэлбэр гэж энгийнээр ойлгож болно.
Энэ жишээнд Windows Event Log File Permissions Change Spike detector 0.99 гэсэн anomaly confidence утгаар хэвийн бус үзэгдэл илрүүлсэн нь detector илэрсэн үзэгдэл хэвийн бус гэдэгт нэлээд итгэлтэй байгааг илтгэнэ. Event message-ийн бүрэн мэдээлэл дараах нэмэлт дэлгэрэнгүйг өгнө:
anomaly score: 3.99 (Indicates relative severity of an anomaly. The higher the score, the more anomalous a data point is. With an anomaly score of 3.99, this represents a relatively high anomalous data point)
anomaly grade: 1 (This is a severity level scale, ranging from 0 to 1. 0 is ‘not anomalous’ and a non-zero value represents the relative severity of the anomaly. With a value of 1 in this case, this is a high severity anomaly.
anomaly_file_perm_change_count: 3 (This is an additional field value which is specific to the Windows Event Log File Permissions Change Spike detector, and this value represents the number of times a file was permanently changed.
user_name: (This is an additional field value that is specific to the Windows Event Log File Permissions Change Spike detector and this value provides information on the username where the detected anomaly originated from.Утгачлан тайлбарлавал: anomaly score 3.99 нь хэвийн бус байдлын харьцангуй хүнд байдлыг заana; оноо өндөр байх тусам өгөгдлийн цэг илүү хэвийн бус. 3.99 нь харьцангуй өндөр оноо. anomaly grade нь 0-ээс 1 хүртэлх хүнд байдлын хэмжүүр бөгөөд 0 нь «хэвийн бус биш», тэгээс ялгаатай утга нь хэвийн бус байдлын харьцангуй хүнд байдлыг илэрхийлнэ; энд 1 тул өндөр хүнд байдалтай. anomaly_file_perm_change_count нь Windows Event Log File Permissions Change Spike detector-д хамаарах нэмэлт талбар бөгөөд файлд хэдэн удаа өөрчлөлт орсныг заана. user_name нь мөн тус detector-ын нэмэлт талбар бөгөөд хэвийн бус үзэгдэл аль хэрэглэгчийн нэрээс гарсныг заана.
Энд хэрэгсэл anomaly event message дотор шүүсэн өгөгдлийг өгдөг бөгөөд энэ нь таны IT дэд бүтцээс хайж буй зүйлээ олоход илүү тус болно.
Anomaly event болон сэрэмжлүүлэг үүсгэх
Security Data Lake Anomaly Detection гэж юу болох, түүнийг хэрхэн идэвхжүүлэхийг мэдсэн тул одоо anomaly event message-үүдийг ашиглан event болон сэрэмжлүүлэг үүсгэх алхамд орно.
Дээрх Windows Event Log File Permissions Change Spike жишээгээр, тухайн орчны Windows хостууд дээрх файлын эрх өөрчлөгдөх бүрд сэрэмжлүүлэг авахыг хүсч байна гэе. Эхлээд хайлтын query үүсгэнэ:
anomaly_detector_name:wineventlog_file_permissions_change AND anomaly_file_perm_change_count:>0 AND anomaly_confidence:>.01Энэ query нь тогтоосон нөхцөлийн дагуу лог өгөгдлөөс хайна. Дараа нь тодорхой бүлэг хэрэглэгчид и-мэйл эсвэл Slack мессеж илгээх зэрэг сэрэмжлүүлэг тохируулж болно. Дэлгэрэнгүй заавар: events болон alerts-ийн хэрэглэгчийн гарын авлага.
Anomaly detector-уудаас event үүсгэх
Anomaly detector-ыг идэвхжүүлэхэд Security Data Lake анхдагчаар event definition автоматаар үүсгэнэ. Идэвхжсэн anomaly detector-уудын event definition-ийг Anomalies хуудасны Anomaly Detectors табын Enable event definition товчийг унтраах замаар идэвхгүй болгож болно.
Хэрэглээний жишээ
Энэ жишээнд Fortigate - Unusual Data Transfer anomaly detector идэвхтэй, харин түүнд харгалзах event definition идэвхгүй байна.
Anomaly detector-ыг идэвхжүүлэхэд системээс үүссэн event definition Events Definitions хуудсанд харагдана. Дараа нь anomalous event definition ажиллах үед ирэх сэрэмжлүүлгийг event definition-д нэмж болно:
- Сонгосон event definition-ий More товчийг дарна.
- Унждаг сонголтоос Edit-ийг сонгоно.
- Гарч ирсэн дэлгэцэнд Notifications хэсэг рүү очиж Add Notification товчийг дарна.
- Шаардлагатай сэрэмжлүүлгийн төрлийг сонгож, холбогдох параметрүүдийг тохируулна.
Anomaly Detectors
Security Data Lake Anomaly Detection хэрэгсэлд багтсан боломжит бүх detector-уудын бүрэн жагсаалтыг Illuminate-ийн холбогдох баримт-аас үзнэ үү.
Anomaly Detection-оос үүссэн event log мессеж бүрт бөглөгддөг нийтлэг талбаруудын бүрэн индексийг холбогдох гарын авлага-аас үзнэ үү.
Anomaly Event Message талбарууд
Security Data Lake-ийн Anomaly Detection хэрэгслээс үүссэн бүх anomaly event message-д нийтлэг талбарууд, мөн мессеж аль detector-оос гарсанаас хамаарсан нэмэлт, detector-т тусгайлсан талбарууд байна. Эдгээр anomaly талбарыг идэвхжүүлсэн detector-уудаас хамаарч Anomaly Detectors-ийн индекс-т тайлбарласан. Бүх anomaly event message-д бөглөгддөг нийтлэг талбаруудын бүрэн жагсаалтыг Illuminate баримт дахь event message field index-ээс үзнэ үү.