Security Data Lake-д MDR-д зориулж галт ханын лог илгээх зөвлөмж

GravityZone Security Data Lake нь нэмэлт телеметрийн эх үүсвэрүүдийг ачаалж, нормчилснаар Bitdefender MDR-ийг өргөжүүлдэг. Ингэснээр шинжээчид илүү өргөн харагдац болон баяжуулсан өгөгдлийн багцтай болж, MDR баг дараахыг хийх боломжтой болно:

• Гуравдагч талын телеметрийн өгөгдлийг ашиглан илүү гүнзгий мөрдөн шалгаж, аюулыг илүү үр дүнтэй хайх.
• Баяжуулсан логийн контекст, эрсдэлийн оноо, түүхэн контекстийн тусламжтайгаар мөрдөн шалгах хурдыг сайжруулах.
• Хөрөнгөд суурилсан эрсдэлийн эрэмбэлэлт хийж, шаардлагагүй дуу чимээг шүүснээр буруу илрүүлэлтийг бууруулах.
• Шинжээчдэд илүү их контекст, нотлох баримт өгч, хариу арга хэмжээний үр дүнг сайжруулах.

GravityZone Security Data Lake for MDR одоогоор галт ханын телеметрийг ачаалж, SOC-д ашиглах өгөгдлийг нэмэгдүүлдэг бөгөөд телеметрийн бусад ангилал ирээдүйд нэмэгдэхээр төлөвлөгдсөн. Одоогоор дараах галт ханыг дэмждэг:

• Palo Alto 11
• Checkpoint
• Cisco ASA
• Fortinet Fortigate
• Juniper SRX
• pfSense/OPNsense Firewall
• Sonicwall NGFW

Галт ханын логийг цуглуулах оновчтой хүрээ

Галт ханын интеграци нь хийсэн үйлдэл, холболтын үр дүн, холбогдох аюулын контекст зэрэг сүлжээний холболтын нарийвчилсан телеметрийг өгөх ёстой. Энэ өгөгдөл нь MDR багт хөндлөнгийн хөдөлгөөн (lateral movement), өгөгдөл алдагдуулалт, command-and-control үйл ажиллагаа болон акаунт эвдэгдэх боломжийг илрүүлэхэд тусална.

Нормчилолт тогтвортой байж, сэрэмжлүүлэг үр дүнтэй ажиллахын тулд дараах логийн ангилалуудыг заавал цуглуулж, дамжуулах шаардлагатай:

1. 1Traffic / connection logs (Allow and Deny) (Урсгал / холболтын лог — зөвшөөрсөн ба татгалзсан)

- Сессийн эхлэл ба төгсгөлийн үйл явдал
- Бодлогын үйлдэл (accept, deny, drop, reset)
- Эх ба хүрэх газрын IP хаяг
- Эх ба хүрэх газрын порт
- Протокол
- Дүрэм эсвэл бодлогын нэр / ID
- Интерфейс эсвэл бүс (zone)
- Дамжуулсан байт ба пакет

Эдгээр лог нь холболтын түвшний илрүүлэлт, гажиг тодорхойлолт, өгөгдөл алдагдуулах оролдлогын шинжилгээнд шаардлагатай суурь өгөгдлийг өгнө.

2. 2Threat / security logs (Аюул / аюулгүй байдлын лог)

- IPS / IDS сэрэмжлүүлэг
- Хортой программ / вирусны эсрэг илрүүлэлт
- Эмзэг байдлын signature
- URL шүүлтийн үйл явдал
- Botnet / C2 илрүүлэлт
- Аппликейшн хяналтаар хориглосон үйлдэл

Үйл явдал бүрт ноцтой байдал, signature эсвэл аюулын ID, аюулын нэр, ангилал, шийдвэр (хориглосон эсвэл зөвшөөрсөн) багтсан байх ёстой.

3. 3System / administrative / configuration logs (Систем / удирдлагын / тохиргооны лог)

- Админ нэвтрэлт амжилттай болсон ба амжилтгүй болсон
- Эрхийн өөрчлөлт
- Тохиргоо эсвэл бодлогын өөрчлөлт
- Commit үйл явдал
- High availability failover үйл явдал
- Цагийн өөрчлөлт
- Логийн дэд системийн алдаа

Эдгээр лог нь удирдлагын үйл ажиллагааны хяналт болон тохиргооны бүрэн бүтэн байдлын сэрэмжлүүлэгт ашиглагдана.

Мөн дараах логийн ангилалууд байгаа бол цуглуулж, дамжуулахыг үүнээс гадна маш их зөвлөж байна:

• VPN логууд (tunnel up / down, нэвтрэлт баталгаажуулалт, оноосон IP, хэрэглэгчийн атрибуци)
• NAT translation логууд (анхны ба хөрвүүлсэн IP / портын харгалзаа)
• DHCP логууд (галт хана өгдөг бол)
• DNS логууд (галт хана DNS resolver болдог бол)

Зөв нормчилолтод шаардлагатай талбарууд

Security Data Lake Information Model-д үнэн зөв харгалзуулахын тулд логууд дараах талбаруудыг тогтмол агуулсан байх ёстой:

1. 1Connection context (Холболтын контекст)

- Timestamp (NTP-тэй синхрончилсон, UTC-д тааруулсан)
- Төхөөрөмжийн танигч (hostname эсвэл serial number)
- Логийн дэд төрөл (traffic, threat, system)
- Эх IP
- Хүрэх газрын IP
- Эх порт
- Хүрэх газрын порт
- Протокол

2. 2Decision and policy context (Шийдвэр ба бодлогын контекст)

- Үйлдэл (allow, deny, drop, reset)
- Дүрэм эсвэл бодлогын нэр / ID
- Бүс эсвэл интерфейс
- Чиглэл (inbound / outbound), байгаа бол

3. 3Volume metrics (Хэмжээний үзүүлэлт)

- Дамжуулсан байт
- Дамжуулсан пакет
- Сессийн үргэлжлэх хугацаа

4. 4Threat context (for security logs) (Аюулын контекст — аюулгүй байдлын логуудад)

- Signature эсвэл аюулын ID
- Аюулын нэр
- Ноцтой байдал
- Ангилал
- Үр дүн (хориглосон эсвэл зөвшөөрсөн)

5. 5Identity context (if available) (Хэрэглэгчийн контекст — байгаа бол)

- Хэрэглэгчийн нэр
- Аппликейшн
- URL эсвэл домэйн
- NAT — анхны ба хөрвүүлсэн талбарууд

Үйлдвэрлэгч тус бүрийн тэмдэглэл

• Palo Alto: Traffic, threat, system логуудыг дамжуулж байгаа эсэхээ шалгана уу. Эдгээр логийн ангилал нь Palo Alto Illuminate content pack-тай шууд харгалзана.
• FortiGate: Логийг Syslog эсвэл түүхий / энгийн текст (raw / plaintext) форматаар илгээнэ. CEF-ийг бүү ашигла. Traffic болон security event логийг хоёуланг нь оруулна.
• pfSense / OPNsense: Firewall filter лог, нэвтрэлтийн лог (GUI / SSH)-ийг дамжуулж, хүсвэл DNS болон DHCP логийг нэмж болно.
• Дэмжигдсэн бусад үйлдвэрлэгч (жишээ нь Checkpoint, Cisco ASA, Juniper SRX, SonicWall): Traffic, threat, administrative логийн ангилалуудыг дэмжигдсэн input төрлөөр дамжуулна.