Security Data Lake-д өндөр үнэ цэнэтэй логийн эх сурвалжийг хэрхэн сонгож оруулах вэ?

Security Data Lake-д логийг хүлээн авах нь танай байгууллагад аль лог хамгийн их үнэ цэнэтэй болохыг мэдэхээс эхэлнэ. Энэ гарын авлага нь боломжит логийн эх сурвалжуудыг үнэлж, таны орчинд аль нь хамгийн хамааралтай болохыг тодорхойлоход тусална. Лог бүрийн төрөл хүн бүрт шаардлагатай байдаггүй тул таны зорилго бол аюулгүй байдал, дүрэм журмын нийцэл, үйл ажиллагааны хэрэгцээг хамгийн сайн хангах өгөгдөлд анхаарлаа төвлөрүүлэх явдал юм.

Энэ нийтлэл өгөгдлийн үндсэн ангиллуудыг (endpoint, сүлжээ, нэвтрэлт-эрх, cloud, и-мэйл-мессеж) тайлбарлаж, тус бүр юуг санал болгодог, өндөр үнэ цэнэтэй үйл явдлыг хэрхэн таних, мөн энэ өгөгдлийг Security Data Lake-д хэрхэн оруулахыг үзүүлнэ. Логийн цуглуулгаа бизнесийнхээ тэргүүлэх зорилттой уялдуулснаар өгөгдлийн хэт их хэмжээ, шаардлагагүй дуу чимээнээс зайлсхийж, Security Data Lake-ийн анхны нэвтрүүлэлт үнэхээр чухал мэдээллийг цуглуулахыг баталгаажуулна.

Endpoint өгөгдөл

Endpoint нь халдлагад хамгийн их өртөх гадаргуу юм. Endpoint өгөгдөл гэдэгт ширээний болон зөөврийн компьютер, сервер, заримдаа гар утаснаас цуглуулсан лог, үйл явдал, телеметри багтана. Олон халдлага фишинг, хортой программ, дотоод хүний буруу ашиглалтаар endpoint-оос эхэлдэг.

Endpoint өгөгдлөөр дараахыг хийж болно:

• Хортой үйл ажиллагааг болмогц илрүүлэх.
• Халдагчид орчинд хэрхэн хөдөлж, байрширсныг судлах.
• Халдвартай системийг тусгаарлаж, сэргээх.

Endpoint дээр юуг хянах вэ

Endpoint өгөгдөл нь халдвар, байрших (persistence) механизм, гараар удирдсан халдлагыг дараах эх сурвалжаар харуулдаг:

• Process and execution logs (процесс ба ажиллуулалтын лог): Үүссэн процесс бүр, тэдгээрийн эцэг/хүүхэд харилцааг мөшгинө. Олон халдлага локал системийн скрипт эсвэл Windows PowerShell зэрэг бусад ажиллагаат файлыг ашиглан хортой үйлдэл хийдэг. Эдгээр логоор процессуудын хоорондын сэжигтэй эсвэл гэнэтийн харилцааг мөшгинө.
• File system activity logs (файлын системийн үйл ажиллагааны лог): Файл үүсгэх, өөрчлөх, устгахыг хянана. Энэ нь ransomware-ийн шифрлэлт, дискэнд суулгасан хортой программ, чухал файлд хөндлөнгийн оролцоог илрүүлнэ. Хэрэглэгчийн файлыг гэнэт эсвэл масс хэмжээгээр нэр солих, шифрлэхийг илрүүлэхэд ашиглана.
• Registry and configuration change logs (registry ба тохиргооны өөрчлөлтийн лог, зөвхөн Windows): Байрших зорилгоор ашигладаг registry түлхүүрийн өөрчлөлтийг (жишээ нь HKLM\Software\Microsoft\Windows\CurrentVersion\Run) ажиглана. Халдагчид дахин асаалтын дараа ч үлдэхийн тулд автоматаар эхлэх бичлэг үүсгэхийг эдгээр өөрчлөлтөөс олно.
• User login and authentication event logs (нэвтрэлт ба баталгаажуулалтын үйл явдлын лог): Локал нэвтрэлт, RDP сесс, эрх ахиулалтыг хянана. Эдгээр лог нь нэвтрэх мэдээлэл хулгайлах, эрхийг буруу ашиглах, хажуу тийш тархах (lateral movement) оролдлогыг олж харахад тусална. Олон удаа амжилтгүй нэвтэрсний дараа өндөр эрхтэй амжилттай нэвтрэлтийг хайна.

Endpoint өгөгдлийг Security Data Lake-д оноох

Доорх жагсаалтад endpoint өгөгдлийн түгээмэл эх сурвалж, тэдгээрийг тохирох input болон Illuminate pack-аар Security Data Lake-д хэрхэн оруулахыг харуулав:

• Bitdefender — Illuminate pack: Yes; Input: Syslog
• Carbon Black — Illuminate pack: Yes; Input: Syslog; Лог CEF форматаар илгээгдсэн байх ёстой.
• CrowdStrike Falcon — Illuminate pack: Yes; Input: CrowdStrike Input
• Microsoft Defender for Endpoint — Illuminate pack: Yes; Input: Microsoft Defender for Endpoint Input; Defender-ийн alert логийг JSON форматаар оруулна.
• SentinelOne — Illuminate pack: No; Input: CEF
• Native OS logs (үйлдлийн системийн лог):
• Linux audit logs — Illuminate pack: Yes; Input: Beats
• Linux system logs — Illuminate pack: Yes; Input: Beats, Syslog
• Windows event logs — Illuminate pack: Yes; Input: Beats, GELF; Beats input-д Winlogbeat, GELF input-д NXlog хэрэглэнэ. Цуглуулах логоос хамааран нэмэлт Illuminate pack шаардлагатай байж болно.

Сүлжээний өгөгдөл

Сүлжээний өгөгдөл гэдэг нь системүүд орчин дотроо болон гадаад ертөнцтэй хэрхэн харилцаж буйг харуулах траффикийн түвшний мэдээлэл юм. Энэ өгөгдөл чухал, учир нь:

• Кибер халдлага бүр заавал нэг үед сүлжээгээр дамжин command & control (C2), хажуу тийш тархалт эсвэл өгөгдөл хулгайлалт хийдэг.
• Хортой программ endpoint дээр нуугдсан ч түүний сүлжээний үйл ажиллагаа ихэвчлэн илэрдэг.

Сүлжээний өгөгдлийн хяналт нь орчноос гарч орж буй, мөн системүүдийн хооронд хөндлөн урсаж буй траффикийг хамарна.

Сүлжээний өгөгдөлд юуг хянах вэ

Хажуу тийш тархалт, өгөгдөл хулгайлалт, command-and-control (C2) харилцааг илрүүлэхийн тулд сүлжээний өгөгдлийг дараах эх сурвалжаас ашиглана:

• DNS queries (DNS хүсэлт): Олон хортой программын гэр бүл C2 сервертэй холбогдохдоо DNS ашигладаг эсвэл Domain Generation Algorithms (DGA)-аар домэйныг динамикаар үүсгэдэг. Мэдэгдэж буй хортой домэйн эсвэл саяхан бүртгэгдсэн домэйн рүү чиглэсэн DNS хүсэлтийг хайна. Мөн DNS хайлтын гэнэтийн өсөлт beaconing эсвэл туннелийг илтгэж болно.
• Firewall and proxy logs (галт хана ба прокси лог): Захын төхөөрөмж дээр юу зөвшөөрөгдөж, юу хаагдсан, вэбээс юу руу хандаж байгааг харуулна. Нэг хостод давтан хориглосон бичлэг нь шалгалт (probing) эсвэл brute-force халдлагыг илтгэж болно. Сэжигтэй URL, татаж авах эх сурвалж рүү хандсан, мөн шаардлагатай прокси-г тойрсон траффикийг хайна.
• IP traffic and flow logs (IP траффик ба урсгалын лог): Хэн хэнтэй харилцаж, хэр их өгөгдөл, ямар портоор дамжиж байгааг илтгэнэ. Хар жагсаалтад орсон IP хаяг эсвэл гэнэтийн газарзүйн байршилтай IP рүү чиглэсэн гадагш холболтыг хайна, учир нь тэд мэдэгдэж буй C2 дэд бүтэц байж болно. Гэнэт их хэмжээний өгөгдөл дамжуулалт өгөгдөл хулгайлалтыг илтгэж болно. Мөн стандарт бус портоор RDP зэрэг хэвийн бус протокол, портыг ажиглана.
• Lateral movement traffic (хажуу тийш тархалтын траффик): Халдагчид сүлжээнд нэвтэрсний дараа ихэвчлэн SMB, RDP, SSH зэргээр хажуу тийш хөдөлдөг. Хэвийн үед харилцдаггүй системүүдийн хоорондох хэвийн бус peer-to-peer траффик, мөн сүлжээгээр баталгаажуулалтын оролдлого гэнэт нэмэгдэхийг ажиглана.

Сүлжээний өгөгдлийг Security Data Lake-д оноох

Дараах жагсаалтад дэмжигдсэн сүлжээний өгөгдлийн эх сурвалж, холбогдох Illuminate pack, Security Data Lake-ийн зөвлөмж болгосон input-уудыг харуулав:

• Check Point — Illuminate pack: Yes; Input: Syslog
• Cisco ASA — Illuminate pack: Yes; Input: Raw/Plaintext, Syslog; Illuminate нь Cisco ASA Firepower өргөтгөлд зориулсан нэмэлт pack-тай.
• Edge Secure Web Gateway (өмнө нь Blue Coat) — Illuminate pack: No; Input: Syslog; Syslog TCP input ашиглаж, аюулгүй холболт тохируулна.
• Fortinet FortiGate — Illuminate pack: Yes; Input: Raw/Plaintext, Syslog; FortiGate-ийн логийг CEF форматаар илгээхийг дэмжихгүй.
• Juniper SRX — Illuminate pack: Yes; Input: Syslog
• Packetbeat — Illuminate pack: Yes; Input: Beats
• Palo Alto — Illuminate pack: Yes; Input: Palo Alto Networks Input
• SonicWall Next Generation Firewalls (NGFW) — Illuminate pack: Yes; Input: Syslog
• Zeek — Illuminate pack: Yes; Input: Beats; Filebeat шаардлагатай. Zeek-ийг JSON форматаар лог бичихээр тохируулсан байх ёстой.

Нэвтрэлт ба эрхийн өгөгдөл

Нэвтрэлт ба эрхийн өгөгдөл нь танай байгууллагын IT орчинд хэн, юунд, хэзээ, хэрхэн хандаж буйтай холбоотой бүх зүйлийг хамарна. Энэ өгөгдлийг Identity and Access Management (IAM) систем, баталгаажуулалтын үйлчилгээ, Microsoft Active Directory, Entra ID, Okta зэрэг директорын платформууд үүсгэнэ.

Нэвтрэлт ба эрхийн өгөгдөл нь аюул илрүүлэх, хариу арга хэмжээ авахад чухал, учир нь:

• Томоохон зөрчил бараг бүрт хулгайлагдсан эсвэл буруу ашиглагдсан нэвтрэх мэдээлэл оролцдог.
• Дотоод хүнээс үүдэх аюул, эрхийн буруу ашиглалт хортой программ шалгахад илрэхгүй ч баталгаажуулалтын өгөгдөлд тэмдэглэгддэг.

Нэвтрэлт ба эрхийн өгөгдөлд юуг хянах вэ

Дотоод хүнээс үүдэх аюул, эвдэрсэн акаунт, эрхийн буруу ашиглалт нь дараах эх сурвалжаар нэвтрэлтийн түвшний хяналтгүйгээр ихэвчлэн үл харагддаг:

• Authentication event logs (баталгаажуулалтын үйл явдлын лог): Нэвтрэх, гарах үйлдэл нь хэн, хаанаас, хэзээ нэвтэрснийг харуулна. Амжилтгүй нэвтрэх оролдлого brute force эсвэл password spraying-ийг илтгэж болно. Хэрэглэгч ер бусын эсвэл хүлээгдээгүй газарзүйн байршлаас нэвтэрсэн зэрэг бусад сэжигтэй нэвтрэлтийг хайна.
• Privilege change logs (эрхийн өөрчлөлтийн лог): Шинэ админ акаунт үүссэн эсвэл Domain Admins-д хэн нэгнийг нэмэх зэрэг бүлгийн гишүүнчлэл өөрчлөгдсөнийг ажиглана. Мөн cloud/SaaS платформ дахь эрх ахиулалт, жишээ нь Okta эсвэл AWS-ийн администраторын үүрэг оноосныг анзаарна.
• Account lifecycle event logs (акаунтын амьдралын мөчлөгийн лог): Шинэ акаунт үүсгэсэн, идэвхгүй болгосон, устгасныг мөшгинө. Мөн удаан идэвхгүй байсан акаунт гэнэт дахин идэвхжих нь хуучин ажилтны акаунтыг зөв устгаагүйг илтгэж болно.
• MFA and security control activity logs (MFA ба аюулгүй байдлын хяналтын үйл ажиллагааны лог): Multifactor authentication (MFA)-ийн татгалзсан хүсэлт, эсвэл дараалсан олон MFA хүсэлтээр ядрааж зөвшөөрүүлэх (push fatigue) халдлагыг илрүүлнэ. Чухал хэрэглэгчийн акаунтад MFA-г идэвхгүй болгох зэрэг тойрч гарах оролдлогыг хайна.
• Access to sensitive resources (чухал нөөцөд хандалт): Файл сервер эсвэл өгөгдлийн санд ер бусын хандалт, мөн хэвийн цаг эсвэл бүс нутгаас гадуурх SaaS аппын хэрэглээг ажиглана.

Нэвтрэлт ба эрхийн өгөгдлийг Security Data Lake-д оноох

Дараах жагсаалтад нэвтрэлттэй холбоотой гол логийн эх сурвалж, тэдгээрийг цуглуулахаар Security Data Lake-ийг хэрхэн тохируулахыг харуулав:

• Active Directory — Illuminate pack: No; Input: Beats; Filebeat зэрэг цуглуулагч шаардлагатай.
• AWS IAM — Illuminate pack: No; Input: AWS CloudTrail Input
• Google Workspace — Illuminate pack: Yes; Input: Google Workspace Input
• Microsoft Entra ID (өмнө нь Azure AD) — Illuminate pack: No; Input: Microsoft Office 365 Input
• Okta — Illuminate pack: Yes; Input: Okta Log Events Input

Аппликейшн ба cloud өгөгдөл

Аппликейшн ба cloud өгөгдөл гэдэг нь Microsoft 365, Google Workspace, Salesforce зэрэг software-as-a-service (SaaS) платформ, мөн Amazon Web Services (AWS), Azure, Google Cloud Platform (GCP) зэрэг infrastructure-as-a-service (IaaS) үйлчилгээ үзүүлэгчдийн телеметри, лог, тохиргооны үйл явдал юм.

Одоо бизнесийн ихэнх үйл ажиллагаа cloud болон SaaS дээр явагддаг тул халдагчид эдгээр платформыг шууд онилох нь нэмэгдсээр байна. Байгууллагын дотоод системд огт хүрдэггүй халдлагыг илрүүлэхэд аюул илрүүлэх, хариу арга хэмжээ авах үйл явц cloud өгөгдлийг шаарддаг.

Аппликейшн ба cloud өгөгдөлд юуг хянах вэ

Аппликейшн ба cloud өгөгдөл нь cloud-ын буруу тохиргоо, өгөгдөл хулгайлалт, API-ийн буруу ашиглалтыг дараах эх сурвалжаар илрүүлдэг:

• Admin and configuration change logs (админ ба тохиргооны өөрчлөлтийн лог): Шинэ админ акаунт, эрх ахиулалт, бодлогын өөрчлөлтийг ажиглана. Акаунтыг эзэмшсэн халдагч шинэ админ хэрэглэгч үүсгэх, аюулгүй байдлын тохиргоог өөрчлөх замаар өөртөө байнгын хандалт олгодог.
• API and service account activity logs (API ба үйлчилгээний акаунтын үйл ажиллагааны лог): Ер бусын IP хаягаас API дуудлага, шинэ үйлчилгээний акаунт үүсгэх, өндөр хэмжээний API хэрэглээг хайна. API нь өгөгдөл түүх (scraping) эсвэл автоматжуулалтад суурилсан халдлагад ихэвчлэн ашиглагддаг. Олон үйлчилгээний акаунт хэт их эрхтэй байдаг нь ийм халдлагад хөнгөвчлөх нөхцөл болдог.
• Resource provisioning and change logs (нөөц олголт ба өөрчлөлтийн лог, зөвхөн IaaS): Шинэ VM, storage bucket, security group, галт ханын дүрэм үүсгэсэнийг ажиглана. Халдагчид криптомайнинг хийхээр нөөц үүсгэх, нууц виртуал сүлжээ байгуулах, эсвэл чухал хөрөнгөд хандах эрх нээх боломжтой.
• Data access and sharing event logs (өгөгдөлд хандах ба хуваалцах үйл явдлын лог): Файл татах, байгууллагаас гадуур хуваалцах, ялангуяа CRM эсвэл HR өгөгдөл зэрэг системээс бичлэгийг масс хэмжээгээр экспортлохыг хянана. Cloud, ялангуяа SaaS нь өгөгдөл хулгайлах гол суваг юм.
• Security controls and integration logs (аюулгүй байдлын хяналт ба интеграцийн лог): Cloud Access Security Brokers (CASB), SIEM интеграци, cloud-native аюулгүй байдлын хэрэгслээс ирэх сэрэмжлүүлгийг хайна. Эдгээр дохио нь аюулгүй байдлын тохиргоо сулрах эсвэл тойрогдсоныг мэдэгднэ.

Аппликейшн ба cloud өгөгдлийг Security Data Lake-д оноох

Дараах жагсаалтад дэмжигдсэн cloud болон аппликейшний логийн эх сурвалж, холбогдох Security Data Lake input-уудыг нэгтгэв:

• AWS CloudTrail — Illuminate pack: No; Input: AWS CloudTrail Input
• AWS CloudWatch — Illuminate pack: No; Input: AWS Kinesis/CloudWatch Input
• GitLab — Illuminate pack: Yes; Input: Raw HTTP Input
• Google Workspace — Illuminate pack: Yes; Input: Google Workspace Input
• Microsoft Azure — Illuminate pack: No; Input: Azure Event Hubs Input
• Salesforce — Illuminate pack: No; Input: Salesforce Input

И-мэйл ба мессежийн өгөгдөл

И-мэйл ба мессежийн өгөгдөл гэдэгт Microsoft 365, Gmail зэрэг и-мэйл систем, Slack, Teams, Zoom зэрэг мессежийн платформоос үүсэх лог, мета өгөгдөл, аюулгүй байдлын сэрэмжлүүлэг орно.

Энэ өгөгдөл нь аюул илрүүлэх, хариу арга хэмжээ авахад чухал, учир нь:

• И-мэйл нь халдлагын тэргүүлэх суваг хэвээр бөгөөд ихэнх зөрчил фишингээс эхэлдэг.
• Мессежийн апп-ууд одоо «шинэ ирсэн мэйл» болсон тул халдагчид луйвар, хортой холбоос, social engineering-ийн зорилгоор тэдгээр рүү шилжиж байна.

И-мэйл ба мессежийн өгөгдөлд юуг хянах вэ

И-мэйл ба мессежийн өгөгдөл нь фишинг кампанит ажил, бизнесийн и-мэйл эвдрэлийг (business email compromise) дараах эх сурвалжаар харуулдаг:

• Inbound message telemetry (ирж буй мессежийн телеметри): Фишинг, spoofing, бизнесийн и-мэйл эвдрэлийн кампанит ажил мессежийн телеметрт хамгийн түрүүнд харагддаг. Илгээгчийн домэйн, IP нэр хүнд, мессежийн жинхэнэ эсэхийг баталгаажуулдаг Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) зэрэг стандарт протоколыг хянана.
• Attachment and link analysis (хавсралт ба холбоосын шинжилгээ): Олон халдлага хортой хавсралт эсвэл нэвтрэх мэдээлэл хулгайлдаг сайт руу заасан холбоосоос эхэлдэг. Ажиллагаат (executable) хавсралт, Office баримтын макро, PDF-ийн хортой агуулга, товчилсон холбоосыг хянана.
• Mailbox rule and forwarding activity (mailbox дүрэм ба дамжуулалтын үйл ажиллагаа): Акаунтыг эзэмшсэн халдагчид ул мөрөө нуух эсвэл и-мэйл хулгайлахын тулд дүрэм тохируулдаг. Шинэ mailbox дүрэм, ялангуяа автоматаар дамжуулах эсвэл ирж буй мэйлийг нуух дүрмийг хайна.
• Authentication and access logs (баталгаажуулалт ба хандалтын лог): Mailbox эвдэрсэн бол нэвтрэлтийн хэвийн бус байдал хандалтын логт ихэвчлэн илэрдэг. Амжилтгүй нэвтрэх оролдлого, танихгүй байршлаас нэвтрэлтийг ажиглана.
• Messaging app telemetry (мессежийн апп-ын телеметри): Мессежийн апп-ууд фишинг холбоос, нэвтрэх мэдээлэл асуух цонх, бүр хортой файл тараахад улам их ашиглагдаж байна. Slack/Teams дахь сэжигтэй файл хуваалцалт, хүлээгдээгүй зочин хэрэглэгч, интеграци эсвэл bot-ын буруу ашиглалтыг ажиглана.

И-мэйл ба мессежийн өгөгдлийн эх сурвалжууд

• Email security gateway: Proofpoint, Mimecast, Barracuda, Cisco Email Security.

• Cloud и-мэйлийн лог: Microsoft 365 Security & Compliance Center, Google Workspace Admin Logs.

• SIEM ба XDR интеграци: native API-аас Splunk, Sentinel эсвэл Security Data Lake руу ирэх сэрэмжлүүлэг.

• Мессежийн платформ:

- Slack: audit лог, аппликейшн суулгасан лог.
- Teams/Zoom: админ үйл ажиллагааны лог, мессеж хадгалалтын лог.

И-мэйл ба мессежийн өгөгдлийг Security Data Lake-д оноох

Дараах жагсаалтад түгээмэл и-мэйл ба мессежийн өгөгдлийн эх сурвалж, Security Data Lake-тэй нэгтгэх input, Illuminate pack, тохиргооны тэмдэглэлийг харуулав:

• Gmail — Illuminate pack: Yes; Input: Google Workspace Input; Input тохируулах үед Gmail log type-ийг сонгоно.
• Microsoft 365 — Illuminate pack: Yes; Input: Microsoft Office 365 Input
• Mimecast — Illuminate pack: Yes; Input: Mimecast Input