Security Data Lake-д Event Procedures (үйл явдлын журам)-ийг хэрхэн ашиглах вэ?

Security Data Lake-ийн Event Procedures (Үйл явдлын журам) нь аюулын үйл явдалд хэрхэн хариу өгөхөө тодорхойлох давтагдах, чиглүүлэгтэй бүтцийг өгнө. Энэ боломж нь үйл явдлын тодорхойлолт, Sigma дүрэм, гажиг илрүүлэгч-д хавсаргах боломжтой хэрэгжүүлэх алхмуудыг нэмснээр аюулыг арилгах үйл явцыг сайжруулдаг.

Энэ нийтлэлд event procedure гэж юу болох, түүнийг хэрхэн үүсгэх, журмын алхмуудыг хэрхэн нэмж удирдах талаар тайлбарлана.

Товч дүгнэлт

Нийтлэлийн гол санаануудыг доор нэгтгэв.

• Event procedure-ийг нэг удаа тодорхойлоод олон төрлийн үйл явдалд дахин ашиглаж болно. Ингэснээр хариу арга хэмжээ нэг хэвийн байж, давхардсан тохиргоо багасна.
• Журам бүр нь шинжээчийг хайлтын асуулга ажиллуулах, мэдэгдэл илгээх, dashboard нээх зэрэг үйлдэлд чиглүүлдэг бүтэцтэй алхмуудаас бүрдэнэ.
• Security Data Lake-ийн интерфейс дотор шууд нэгдсэн тул event procedure-ийг үйл явдлын тодорхойлолт, Sigma дүрэм, гажиг илрүүлэгчтэй холбож, гараар тайлбарлахгүйгээр тухайн орчинд нь хариу өгөх боломжтой.
• Хэрэгжүүлэх алхмуудыг ажлын урсгалд шууд суулгаснаар тодорхой байдал нэмэгдэж, хариу өгөх хугацаа богиноссон, аюулгүй байдлын үйл ажиллагаа тогтвортой, үр дүнтэй болно.

Event Procedure-ийн бүрэлдэхүүн

Event procedure нь хоёр үндсэн хэсгээс бүрдэнэ.

• Event Procedure (журам): хариу арга хэмжээний ерөнхий зорилго, бүтцийг тодорхойлдог "сав". Аюулын үед хэрэгжүүлэх тоглоомын дэвтэр (incident response playbook)-тэй төстэй.
• Event Procedure Steps (журмын алхмууд): боломжит осол, үйл явдалд хариу өгөхдөө хийх тусдаа үйлдэл эсвэл дагах заавар.

Event Procedure

Event procedure нь урьдчилан тодорхойлсон нэг буюу хэд хэдэн хариу үйлдлийг агуулах сав юм. Энэ нь жишээлбэл нууц үг таах (brute-force) нэвтрэх оролдлогод хариу өгөх эсвэл хортой программ илрүүлэх зэрэг хариу арга хэмжээний зорилгыг тодорхойлно. Event procedure үүсгэмэгц журмын сандаа хадгалагдах тул хариу арга хэмжээгээ дахин дахин шинээр зохиохгүйгээр хэрэгтэй үедээ дахин ашиглаж болно.

Энэ боломжоор баг арилгах ажлын урсгалаа стандартчилж, тохиргоонд зарцуулах хугацааг багасгаж, ижил төстэй аюулгүй байдлын нөхцөлд нэг хэвийн арга барилтай байна. Event procedure-ийг олон үйл явдлын тодорхойлолт, Sigma дүрэм, гажиг илрүүлэгчтэй холбож болох бөгөөд энэ нь Security Data Lake дотор осол зохицуулалтыг төвлөрүүлсэн, өргөжих боломжтой байдлаар хийх арга зам болдог.

Event Procedure Steps

Event procedure бүр хариу өгөх үйл явцад чиглүүлэх нэг буюу хэд хэдэн алхамтай. Алхам нь энгийн текст эсвэл Security Data Lake дотор суулгагдсан интерактив үйлдэл байж болно. Интерактив алхамууд дараах боломжтой.

• Search Query (хайлтын асуулга): холбогдох лог өгөгдлийг шинжлэхийн тулд урьдчилан тодорхойлсон хайлтыг ажиллуулах эсвэл хадгалсан хайлтуудаасаа сонгоно.
• Notification (мэдэгдэл): хувь хүн эсвэл бүлэгт и-мэйл эсвэл сэрэмжлүүлэг илгээнэ.
• Go To Dashboard (dashboard руу очих): орчны өгөгдлийг харахын тулд тодорхой dashboard руу шилжинэ.

Алхмуудыг үүсгэмэгц алхмын сандаа хадгалагдах бөгөөд олон event procedure-д дахин ашиглаж болно. Ингэж дахин ашиглах нь осолд хариу өгөх үед тодорхой байдал, тогтвортой байдал, гүйцэтгэлийн үр ашгийг дэмждэг.

Event procedure-ийн алхмууд нь Security Data Lake-ийн интерфейс дотор шууд суулгагдсан чиглүүлэгч жагсаалт эсвэл интерактив ажлын урсгал шиг ажиллана. Жишээлбэл, аюулгүй байдлын бүх үйл явдал даруй арилгах шаардлагагүй. Зарим нь dashboard дээрх орчны өгөгдлийг хянах, мэдэгдлээр холбоо барих, холбоотой аюулыг илрүүлэх урьдчилан тодорхойлсон хайлтыг ажиллуулах зэрэг дараагийн үйлдэл шаарддаг. Эдгээр үйлдлийг event procedure-д бүтэцлэснээр Security Data Lake нь шинжээчдэд илрүүлэлтээс шалгалт, түүнээс хариу арга хэмжээ рүү тодорхойгүй байдалгүйгээр, гараар тайлбарлахад найдахгүйгээр шилжих боломж олгодог.

Event Procedure үүсгэх

Security Data Lake-д event procedure үүсгэх нь осолд хариу өгөх ажлын урсгалаа тодорхойлох үндсэн алхам юм.

Шинэ event procedure үүсгэхийн тулд:

1. 1Security Data Lake Security > Security Events > Procedures цэс рүү очно.
2. 2Event Procedures табыг дарна.
3. 3Create Event Procedure-ийг сонгоно.
4. 4Хэрэглээний нөхцөлийг тодорхой илэрхийлсэн гарчиг (жишээ нь "Brute Force Remediation Procedure") оруулж, журмын зорилго болон хэзээ хэрэглэхийг нэгтгэсэн тайлбар бичнэ.
5. 5New Step товчийг дарж event procedure-ийн алхам нэмнэ, эсвэл From Library товчийг дарж алхмын сангаасаа сонгоно. Энэ алхмыг алгасаад шууд event procedure-ээ хадгалж болно.
6. 6Үүсгэсэн event procedure-ээ хадгалахын тулд Create Event Procedure товчийг дарна.

Event Procedure Step үүсгэх

Event procedure-ийн савыг үүсгэсний дараа журмын алхмуудыг нэмнэ. Эдгээр алхам нь аюулгүй байдлын үйл явдалд хариу өгөхдөө танай байгууллага хийх тодорхой үйлдэл, зааврыг тодорхойлдог бөгөөд текстэн заавар, системээс гүйцэтгэх үйлдэл, эсвэл хоёрын хослол байж болно.

Event procedure step үүсгэхийн тулд:

1. 1Events Procedures хуудсан дээр Steps табыг дарна.
2. 2Create Event Procedure Step-ийг сонгоно.
3. 3Алхмыг тодорхой илэрхийлсэн гарчиг (жишээ нь "Follow these steps sequentially for brute force remediation") оруулж, дагах алхмуудыг дэлгэрэнгүй тайлбарласан тайлбар бичнэ.
4. 4Цонхны баруун дээд буланд байрлах Action товчийг идэвхжүүлж, хайлтын асуулга ажиллуулах, нарийвчилсан шинжилгээнд зориулж dashboard руу очих, эсвэл багт мэдэгдэл илгээх зэрэг үйлдэлт алхмуудыг нэмнэ.
5. 5Үйлдэлт алхмуудын дарааллыг өөрчлөхийн тулд чирж аваачиж тавина (drag and drop).
6. 6Үүсгэсэн алхмуудаа хадгалахын тулд Create Event Procedure Step-ийг дарна.

Event procedure-д үйл явдалд хамаарах хувьсагч ашиглах

Security Data Lake-ийн event procedure нь тодорхой лог үйл явдал, нөхцөлд динамикаар хариу өгөх боломж олгодог. Event procedure-ийн хамгийн уян хатан, орчинд мэдрэмтгий талуудын нэг нь үйл явдал болон үйл явдлын тодорхойлолтын урьдчилан тодорхойлсон болон өөрийн тодорхойлсон талбаруудыг хэрэглэх чадвар юм. Энэ уян хатан байдлыг Java Minimal Template Language (JMTE) форматаар хангана.

Event procedure болон алхмууд нь JMTE форматаар тухайн орчинд хамаарах өгөгдөлд динамикаар хандахыг дэмждэг. Энэ загварын синтакс нь үйл явдлын тодорхойлолт болон үүссэн үйл явдлуудын утгыг журмынхаа логик руу шууд оруулж, боловсруулах боломж олгоно.

Эдгээр утга нь дараахь байж болно.

• Системээс тодорхойлсон талбарууд (жишээ нь ${event.timestamp}, ${event.message}).
• Таны өөрийн тодорхойлсон талбарууд.

Ашиглах боломжтой урьдчилан тодорхойлсон талбаруудын жагсаалтыг Alerts нийтлэлээс үзнэ үү.

Event Procedure болон алхмуудыг удирдах

Event procedure-ийг үр дүнтэй удирдаснаар осолд хариу өгөх ажлын урсгал тань өөрчлөгдөж буй аюул заналхийлэл болон байгууллагын бодлоготой нийцэж, хэрэгжих боломжтой хэвээр байна.

Энэ хэсэгт үүрэг, эрх оноох, хуваалцах, харах, засах, устгах үйлдлийг event procedure болон event procedure step хоёрт хэрхэн хийхийг тайлбарлана.

Үүрэг ба эрх оноох

Event procedure-ийг хэн харах, үүсгэх, засах, ажиллуулахыг удирдах нь осолд хариу өгөх ажлын урсгалыг найдвартай, аюулгүй байлгахад чухал. Security Data Lake нь үүрэгт суурилсан эрхээр хандалтыг хянадаг тул зөвхөн эрх бүхий хэрэглэгч event procedure-ийг удирдах, ажиллуулах боломжтой. Event procedure-д хамаарах хоёр үүрэг байна.

• Event Procedure Creator — event procedure болон алхмуудыг үүсгэх эрх олгоно.
• Security Admin — Security-ийн бүх боломжид унших/бичих эрх олгоно.

Эдгээр үүргийг Security Data Lake-ийн Roles хэсгээс удирдана.

1. 1Security Data Lake General > System > Roles цэс рүү очно.
2. 2Roles хайлтын талбарт Event Procedure эсвэл Security Admin үүргийг хайж сонгоно.
3. 3Edit Role-ийг дарна.
4. 4Хайлтын талбараар хэрэглэгч эсвэл багийг олж, сонгосон үүргийг оноохын тулд Assign User эсвэл Assign Team-ийг дарна.

Эрх нь тодорхой обьектод хамаарна. Өөрөөр хэлбэл event procedure эсвэл түүний алхамд дурдсан обьект (жишээ нь dashboard эсвэл хадгалсан хайлт)-д хандахын тулд хэрэглэгч эсвэл баг тухайн обьектод тусгайлан эрхтэй байх ёстой.

Event Procedure болон алхмуудыг хуваалцах

Event procedure болон алхмуудыг хэрэглэгч, багуудтай хуваалцаж болох ч эхлээд шаардлагатай эрхийг олгосон байх ёстой. Жишээлбэл, алхамдаа гажиг илрүүлэгч дурдсан event procedure-ийг хуваалцвал хүлээн авагч тухайн обьектод хандахын тулд Anomaly Detection Manager эсвэл Anomaly Detection Reader үүргийн аль нэгтэй байх ёстой.

Event procedure эсвэл алхмыг хуваалцахын тулд:

1. 1Event procedure эсвэл алхмыг олно.
2. 2Сонгосон зүйлийн хажууд байх гурван цэг (ellipsis)-ийг дарж цэснээс Share-ийг сонгоно.
3. 3Гарч ирсэн цонхонд хайлтын талбараар хэрэглэгч болон/эсвэл багуудыг сонгоно.
4. 4Тэднийг хуваалцах жагсаалтад оруулахын тулд Add Collaborator-ийг дарна.
5. 5Өөрчлөлтийг баталгаажуулж хэрэгжүүлэхийн тулд Update sharing-ийг дарна.

Event procedure эсвэл алхмыг хуваалцах үед сонгосон хэрэглэгч эсвэл багт шаардлагатай эрх байгаа эсэхийг мэдээллийн хайрцаг харуулна. Ингэснээр хуваалцахаа дуусгахаас өмнө шаардлагатай эрхүүдийг шалгаж, олгох боломжтой.

Жишээлбэл, хэрэглэгч Bob Bobson-той event procedure хуваалцахыг оролдох үед мэдээллийн цонх нь журмыг хуваалцахаас өмнө дутуу байгаа эрхүүдийг онцолно.

Байгаа Event Procedure болон алхмуудыг харах

Тохируулсан бүх event procedure болон алхмуудыг харахын тулд:

1. 1Security Data Lake Security > Security Events > Procedures цэс рүү очно.
2. 2Event Procedures эсвэл Steps табыг сонгоно. Сонголтоос хамааран байгаа бүх журам эсвэл алхмын гарчиг, тайлбарын хамт жагсаалт гарна.
3. 3Event procedure-ийг дарж холбогдох үйл явдлын тодорхойлолт, обьект, Sigma дүрэм эсвэл гажиг илрүүлэгч зэрэг дэлгэрэнгүйг харна.

Event Procedure засах

Байгаа event procedure-ийн гарчиг, тайлбар, мета өгөгдлийг шинэчлэх эсвэл устгахын тулд:

1. 1Event Procedures хуудсан дээр тухайн журмын хажууд байх гурван цэг (ellipsis)-ийг дарна.
2. 2Гарч ирсэн цэснээс Edit-ийг сонгоно.
3. 3Шаардлагатай бол гарчиг эсвэл тайлбарын талбарыг шинэчилнэ. Event procedure-ийг засахдаа алхам ч нэмж болно.
4. 4Өөрчлөлтийг хэрэгжүүлэхийн тулд Save Event Procedure-ийг дарна.

Журмыг устгахын тулд цэснээс Delete-ийг сонгож, гарч ирэх асуулт дээр устгахыг баталгаажуулна.

Журам доторх алхмуудыг удирдах

Журамтай холбоотой алхмуудыг харж, засахын тулд:

1. 1Events Procedures хуудсан дээр тухайн журмын хажууд байх гурван цэг (ellipsis)-ийг дарна.
2. 2Дараа нь Edit-ийг сонгоно.
3. 3Edit Event Procedure цонхонд event procedure болон түүнтэй холбоотой алхмууд харагдана. Эндээс дараахийг хийж болно.

Шинэ алхам нэмэх

- Шинэ алхам үүсгэхийн тулд + New Step-ийг, эсвэл байгаа event procedure step-үүдийн сангаас алхам нэмэхийн тулд From Library-г дарна.
- Шинэ алхам үүсгэж байгаа бол гарч ирсэн цонхонд шаардлагатай тохиргооны талбаруудыг бөглөж, доорх алхмуудыг үргэлжлүүлнэ. Сангаас алхам нэмж байгаа бол нэмэх алхмуудаа сонгоод Add Steps-ийг дарж журамд нэмнэ.
- Шаардлагатай бол Action-ийг идэвхжүүлж, хэрэгтэй үйлдлийн төрлүүдийг сонгон үйлдэлт алхам нэмнэ.
- Алхмыг хадгалж, журамд нэмэхийн тулд Create Event Procedure Step-ийг сонгоно.

Алхмуудын дарааллыг өөрчлөх

- Алхмуудыг хүссэн дарааллаар нь чирж аваачиж тавина. Шинэ дараалал автоматаар хадгалагдана.

Алхмыг хасах

- Хасах алхмынхаа хажууд байх X-ийг сонгоно.