Security Data Lake-ийн корреляцийн хөдөлгүүр (Correlation Engine)

Security Data Lake-ийн корреляцийн хөдөлгүүр (correlation engine) нь Security Data Lake-ийн гол бүрэлдэхүүн хэсэг бөгөөд олон үйл явдлын нарийн дарааллыг шинжилж, утга учиртай осол (incident)-ыг илрүүлэх боломж олгоно.

Зорилго

Үйл явдлын корреляц, шинжилгээг хийх олон арга бий. Security Data Lake-ийн корреляцийн хөдөлгүүрийг дараах гол аргуудад тулгуурлан бүтээсэн:

• Талбараар корреляц хийх (Per Field Correlation)

- Тодорхой нэг талбараар бүлэглэсэн дүрэм үүсгэх боломж олгоно. Ингэснээр тухайн талбарын утга бүрээр (жишээ нь хэрэглэгчийн нэрээр) тусад нь сэрэмжлүүлэг гаргана.

• Олон эх сурвалжийн үйл явдлыг хооронд нь холбох (Cross Event Source Correlation)

- Олон эх сурвалжаас ирсэн лог дахь хэв маягийг хянана. Жишээ нь IDS лог гарсны дараахан яг тэр IP хаягаас нэвтрэлт хийгдсэнийг харж болно.

• Байх ёстой үйл явдал гарахгүй байгааг илрүүлэх (Look for the Negative Event)

- Security Data Lake-д орж ирэхгүй байгаа логийг хянах арга. Жишээлбэл, унтарсан вэб сервер дахин асах ёстой боловч асахгүй байгааг ингэж илрүүлнэ.

• Нарийн төвөгтэй корреляц (Complex Correlation)

- Нэг сэрэмжлүүлгийн дээр өөр корреляцийн сэрэмжлүүлэг бүтээж, таны орчинд илүү нарийн, нюанстай сэрэмжлүүлэг гаргах боломжтой гэсэн үг. Жишээ нь brute force халдлага илэрсний дараахан хэн нэгэн хэрэглэгчийн эрх (credentials) үүсгэвэл бас сэрэмжлүүлэг авч болно.

Үйл явдлын тодорхойлолт үүсгэх

Үйл явдлын корреляцийн дүрэм үүсгэх эхний алхам нь энэ корреляцид зориулж шинэ үйл явдлын тодорхойлолт үүсгэх явдал юм. Үйл явдлын корреляц гэдэг нь тодорхой дарааллаар байрласан тусгай үйл явдлын тодорхойлолтуудыг цуглуулж, бүх нөхцөл биелэхэд сэрэмжлүүлэг өгөх явдал гэдгийг санаарай. Тиймээс brute force халдлага болж байгааг илтгэх шалгуурыг хайх корреляц хийх гэж байгаа бол brute force халдлагын үйл явдлын тодорхойлолт үүсгэх хэрэгтэй.

Түлхүүр талбар тодорхойлох

Үйл явдлын корреляц нь үйл явдлын тодорхойлолт доторх түлхүүр талбар (key field)-уудад голлон тулгуурладаг. Тодорхой талбарыг түлхүүр болгох нь үйл явдлуудыг тэр талбарын утгаар бүлэглэх арга юм. Security Data Lake нь олдсон давтагдашгүй түлхүүр бүрт нэг үйл явдал үүсгэнэ. Жишээлбэл, user_name талбарыг түлхүүр болговол сэрэмжлүүлэг өгсөн хэрэглэгчийн нэр бүрт нэг үйл явдал үүснэ.

Энэ жишээнд бид үйл явдлын корреляцаа user_name талбар дээр барина.

1. 1Alerts (Сэрэмжлүүлэг) > Event Definitions (Үйл явдлын тодорхойлолт) руу орж, тухайн корреляцийн үйл явдлыг сонгоно.
2. 2Index set-ийн мөрийн төгсгөлд байгаа Edit (Засах) товчийг дарна.
3. 3Өмнө нь тухайн үйл явдлыг үүсгэхэд ашигласан үйл явдлын талбаруудыг харахын тулд Fields (Талбарууд)-ыг дарна.
4. 4Талбарын нэрийн хажуугийн Actions (Үйлдлүүд) цэснээс Edit-ийг сонгоно.
5. 5Энэ цэсэнд корреляц тань тулгуурлах талбар түлхүүрээр тодорхойлогдсон эсэхийг шалгана. Use Field as Event Key сонгогдсон байх ёстой.

Үйл явдлын корреляц бүтээх

Түлхүүр талбараа сонгосны дараа үйл явдлыг тодорхойлох корреляцийн дарааллыг өөрөө бүтээнэ.

1. 1Энэ корреляцийн үйл явдалд зориулж үүсгэсэн үйл явдлын тодорхойлолт руу орж Edit-ийг дарна.
2. 2Wizard дахь Filter and Aggregation хэсэг рүү очно.
3. 3Нөхцлийн төрлөөр Event Correlation-ыг сонгоно.

Үүнийг сонгосон даруйд корреляцийн цэс гарч ирэх бөгөөд үйл явдлыг тодорхойлох дүрмүүдээ тэндээс тохируулна.

Сэрэмжлүүлэг өгөх корреляцийн дүрмүүдээ энэ цэсээр тохируулна.

Үйл явдлын корреляцийн дүрэм

• “The following sequence of events must be satisfied within”

- Корреляцийн шаардлага биелсэнд тооцогдохын тулд бүх холбогдох үйл явдал хэр хугацаанд багтаж дуусах ёстойг тодорхойлно.

• “The correlation should execute”

- Корреляцийн хайлтыг таны instance дээр хэр олон удаа ажиллуулахыг тодорхойлно.

Үйл явдлуудыг сонгох

Эдгээр цэсэнд корреляцийг хамтдаа тодорхойлох тус тусын үйл явдлын тодорхойлолтуудыг сонгоно. Дээрх brute force халдлагын жишээнд корреляцийн логик шаардах тусгай үйл явдлуудаар бүтэлгүй нэвтрэх оролдлого болон амжилттай нэвтрэх оролдлогыг сонгох нь элбэг. Эдгээр нь тусдаа үйл явдлын тодорхойлолт тул Үйл явдлын тодорхойлолт үүсгэх зааврын дагуу урьдчилан үүсгэсэн байх ёстой.

Event # 1

• Event from

- Таны хүссэн үйл явдлыг юу гэж тооцохыг тодорхойлохоор үүсгэсэн үйл явдлын тодорхойлолтыг заана.

• Should occur at least

- Корреляцийн хугацаанд энэ үйл явдал хамгийн багадаа хэдэн удаа гарах ёстойг заана.

Event # 2

Дээрх талбаруудаас гадна хоёр дахь болон түүнээс хойших үйл явдал бүрт дараах гурвын аль нь болохыг сонгоно:

• Occur at least

- Энэ үйл явдал заасан тооны удаа гарвал үйл явдлын корреляц идэвхжинэ гэсэн үг.

• Not occur, and it is followed by another event.

- Энэ нь ердийн үед гарах ёстой үйл явдал боловч гарахгүй байгаа нь ямар нэг үйл явдал эсвэл асуудлыг илтгэж болзошгүй гэсэн үг.

• Not occur in the next

- Энэ нь ердийн үед гарах ёстой үйл явдал боловч заасан хугацаанд гарахгүй бол ямар нэг үйл явдал эсвэл асуудлыг илтгэж болзошгүй гэсэн үг.

Add Event-ийг сонгон дарааллдаа хэд хэдэн үйл явдал нэмж болно.

Корреляцийг урьдчилан харах

Сонголтын цэсийн баруун талд үйл явдлын корреляцийн урсгалын диаграм (flowchart) үүснэ. Ингэснээр нийт корреляцийн үйл явдал гарсан гэж тооцогдохын тулд ямар үйл явдлууд ямар дарааллаар гарах ёстойг харна.

Сэрэмжлүүлэг тохируулах

Үйл явдлын корреляц гарах бүрт мэдэгдэл авах аргыг тохируулахыг хүснэ. Сэрэмжлүүлгийн төрлүүдийг хэрхэн үүсгэх дэлгэрэнгүй зааврыг Alerts нийтлэлээс үзнэ үү.

Хэрэглээний жишээ

Security Data Lake-ийн корреляцийн хөдөлгүүрийг төрөл бүрийн параметр, дарааллаар олон янзын корреляцийн үйл явдал үүсгэхээр тохируулж болно. Илүү дэлгэрэнгүй хэрэглээний жишээг Security Data Lake-ийн вэб сайт дээрх Correlation Engine demo-оос үзэхийг зөвлөж байна.