Security Telemetry-г бодлого дээр хэрхэн тохируулж, SIEM рүү үйл явдал илгээх вэ?
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Security Telemetry нь таны endpoint-ууд дээр үүссэн аюулгүй байдлын түүхий үйл явдлуудад хандах боломж олгодог. Ингэснээр endpoint-ийн үйл ажиллагааг SIEM шийдэл рүү дамжуулж, хяналт, мөрдөн шалгалт болон өөрийн корреляцид ашиглаж болно.
Security agent бодлого хамаарах endpoint-уудаас сонгосон төрлийн үйл явдлуудыг цуглуулж, үүсэх үед нь тохируулсан SIEM шийдэл рүү шууд илгээнэ. Гүйцэтгэл болон өгөгдлийн хэмжээг оновчтой байлгахын тулд agent-ууд зөвхөн таны сүлжээний аюулгүй байдалд хамааралтай үйл явдлыг илгээдэг. Зарим үйл явдал их хэмжээний лог үүсгэж, SIEM-ийн холбогдох зардлыг нэмэгдүүлж болзошгүй.
Security Telemetry ажиллахын тулд дараах зүйлс шаардлагатай.
- EDR боломжид хандах эрх олгосон лиценз.
- BEST agent суулгасан, EDR Sensor модулийг идэвхжүүлсэн, EDR боломжтой бодлого хэрэглэсэн удирдагдаж буй endpoint-ууд.
- Зарим төрлийн үйл явдалд нэмэлт тохиргоо. Эдгээр тусгай шаардлагыг Security Telemetry events sent to SIEM хэсгээс үзнэ үү.
Үйл явдлын төрлүүд
Үйл явдлуудыг endpoint-ийн бүртгэж буй үйл ажиллагааны төрлөөр ангилсан. Хянахыг хүссэн endpoint-ийн үйл ажиллагаандаа тохируулан үйл явдлаа сонгоно.
Дараах ангилал, үйл явдлын төрлүүд байна.
- Process ангилал нь процессын гүйцэтгэл болон харилцан үйлдлийг харуулж, үйлдлийн дарааллыг сэргээн, хэвийн бус үйлдлийг илрүүлэхэд тусална. Үүнд дараах үйл явдлууд багтана.
- Create, Terminate болон Injection.
- File ангилал нь файлыг хэрхэн үүсгэж, нээж, өөрчилж, зөөж, устгаж байгааг харуулна. Үүнд дараах үйл явдлууд багтана.
- Create, Delete, Modify, Move болон Read.
- Registry ангилал нь Windows Registry-ийн түлхүүр болон утгын өөрчлөлтийг хянаж, системийн өөрчлөлтийг илрүүлэхэд тусална. Үүнд дараах үйл явдлууд багтана.
- Create key, Delete key, Modify value болон Delete value
- Network ангилал нь endpoint-ийн сүлжээний үйл ажиллагааг хянаж, холболт болон домэйн нэр шийдвэрлэх хүсэлтийг илрүүлэхэд тусална. Үүнд дараах үйл явдлууд багтана.
- Connection болон DNS query.
> Тэмдэглэл: Энэ ангилалд хамаарах үйл явдлууд нэмэлт тохиргоо шаарддаг.
- Shell and script activity ангилал нь endpoint дээр боловсруулсан команд, скриптийг харуулж, командад суурилсан болон файлгүй (fileless) халдлагыг шалгахад тусална. Үүнд дараах үйл явдлууд багтана.
- Command Prompt command, PowerShell command, PowerShell script block logging болон AMSI buffer.
> Тэмдэглэл: Энэ ангилалд хамаарах зарим үйл явдал нэмэлт тохиргоо шаарддаг.
- Service ангилалд endpoint-ийн ажиллагаа эсвэл тогтвортой байдалд (persistence) нөлөөлж болзошгүй үйлчилгээний үүсгэлт, тохиргоо, төлвийн өөрчлөлт багтана. Үүнд дараах үйл явдлууд багтана.
- Added, Change status болон Modify.
> Тэмдэглэл: Энэ ангилалд хамаарах зарим үйл явдал нэмэлт тохиргоо шаарддаг.
- Scheduled task ангилал нь хуваарьт даалгаврын үйл ажиллагааг харуулж, автомат гүйцэтгэл болон persistence механизмыг шалгахад тусална. Үүнд дараах үйл явдлууд багтана.
- Create, Delete болон Modify.
> Тэмдэглэл: Энэ ангилалд хамаарах зарим үйл явдал нэмэлт тохиргоо шаарддаг.
- Account management and authentication ангилал нь локал дансны өөрчлөлт, нэвтрэх оролдлого, хэрэглэгчийн сешнийг хянаж, зөвшөөрөлгүй нэвтрэлт эсвэл дансыг буруугаар ашигласныг шалгахад тусална. Үүнд дараах үйл явдлууд багтана.
- Create local account, Delete local account, Logon, Logon failed, Logout болон Settings changed.
> Тэмдэглэл: Энэ ангилалд хамаарах зарим үйл явдал нэмэлт тохиргоо шаарддаг.
- BITS job activity ангилал нь программуудын фонд файл дамжуулахад ашиглаж болдог Background Intelligent Transfer Service (BITS) даалгавруудыг харуулна. Үүнд дараах үйл явдлууд багтана.
- Add file, Create болон Delete.
- WMI activity ангилал нь системийн удирдлага, гүйцэтгэл эсвэл persistence-д ашиглагдаж болох Windows Management Instrumentation (WMI) үйлдлүүдийг харуулна. Үүнд дараах үйл явдлууд багтана.
- Execution method, New activity болон New binding.
- Device and driver ангилал нь үйлдлийн системтэй харилцдаг төхөөрөмжийн үйл ажиллагаа болон драйверын модулиудыг хянана. Үүнд дараах үйл явдлууд багтана.
- Driver module load, Hardware mount болон Hardware unmount.
- BEST agent ангилал нь endpoint-оос security agent-ийг устгах хүсэлтийг хянана. Үүнд дараах үйл явдал багтана.
- Agent uninstall request.
- Audit policy ангилал нь endpoint дээрх Windows-ийн аудитын бодлогын тохиргооны өөрчлөлтийг хянана. Үүнд дараах үйл явдал багтана.
- Change Windows audit policy
Үйл явдал бүрийн талаарх дэлгэрэнгүй мэдээлэл, тухайлбал шаардлага, тайлбар, боломжит талбаруудыг Security Telemetry events sent to SIEM хэсгээс үзнэ үү.
Splunk-ийн тохиргоо
Security agent энэ мэдээллийг үйлдвэрлэлийн стандарт хэлбэрээр (JSON) SIEM шийдэл (Splunk) рүү шууд илгээнэ.
Зорилтот endpoint-уудаас аюулгүй байдлын үйл явдлыг SIEM шийдэл рүү илгээхийн тулд бодлогыг дараах байдлаар тохируулна.
- Security Telemetry-г идэвхжүүлэхийн тулд товчийг (toggle) дарна.
- Холбогдох SIEM шийдлээ сонгоно.
- SIEM серверийн URL-ийг оруулна.
> Анхааруулга: TLS 1.2 болон түүнээс дээш хувилбартай HTTPS протокол шаардлагатай. Эс бөгөөс үйл явдал илгээх нь амжилтгүй болно.
- Аюулгүй байдлын сертификат баталгаажуулалтын алдаа гарсан ч тухайн алдааг үл тооцон SIEM серверийг ашиглахыг хүсвэл Bypass collector CA validation in Control Center-ийг сонгоно. Энэ сонголт зөвхөн сертификатыг баталгаажуулж чадаагүй үед харагдана.
> Тэмдэглэл: GravityZone нь HTTP collector-ийн SSL сертификатыг Certificate Authority эсвэл серверийн DNS-тэй тулгаж шалгаж чадахгүй үед ийм алдаа гарна. Жишээ нь таны HTTP collector өөрөө гарын үсэг зурсан (self-signed) сертификат ашигладаг үед.
- Холболтыг хамгаалдаг authorization token-оо оруулна.
- Endpoint-оос SIEM рүү илгээх үйл явдлын төрлүүдийг сонгоно.
- Communication between endpoints and SIEM хэсэгт прокси сервер ашиглах эсэхээ сонгоно.
Agent нь SIEM-тэй холбогдохдоо GravityZone-той холбогдоход ашигладаг проксигийн серверийг адилхан ашиглана.
Тэрхүү проксигийн тохиргоог General > Settings хэсгээс шалгаж болно.
Бодлогыг endpoint-ууд дээр хэрэглэсний дараа agent нь үйл явдлуудыг үүсэх үед нь тохируулсан SIEM сервер рүү илгээж эхэлнэ.
Syslog (JSON)-ийн тохиргоо
Security agent энэ мэдээллийг үйлдвэрлэлийн стандарт хэлбэрээр (JSON) SIEM шийдэл рүү шууд илгээнэ.
Security Telemetry-ийн Syslog мессежүүд UTF-8 кодлолтой бөгөөд MSG хэсэг нь Unicode byte order mark (BOM)-оор эхэлнэ. BOM-ийн EF BB BF байтууд мессежийн эхэнд нэмэгддэг. Мессежийн агуулга (MSG) нь JSON тул өөрийн parser-ууд JSON-ийг задлахаасаа өмнө эхний BOM-ийг тооцох ёстой. Зарим SIEM үүнийг автоматаар арилгадаг бол зарим нь тохиргоо эсвэл урьдчилсан боловсруулалтын алхам шаарддаг.
Энэ нь MSG нь UTF-8 кодлолтой үед ABNF %xEF.BB.BF BOM-оор эхлэх ёстой гэж заасан RFC 5424-ийн дагуу юм.
Зорилтот endpoint-уудаас аюулгүй байдлын үйл явдлыг SIEM шийдэл рүү илгээхийн тулд бодлогыг дараах байдлаар тохируулна.
- Security Telemetry-г идэвхжүүлэхийн тулд товчийг (toggle) дарна.
- SIEM solution хэсэгт Syslog (JSON)-ийг сонгоно.
- Hostname/IP хэсэгт syslog серверийн хостын нэр эсвэл IP хаягийг бичнэ.
> Тэмдэглэл: IP хаяг эсвэл хостын нэр endpoint-уудаас хандах боломжтой байх ёстой.
- Port хэсэгт endpoint-ууд syslog сервертэй холбогдоход ашиглах портыг оруулна.
- Заавал биш: Аюулгүй байдлын сертификат баталгаажуулалтын алдааг үл тоохыг хүсвэл Ignore SSL errors-ийг сонгоно. GravityZone нь HTTP collector-ийн SSL сертификатыг Certificate Authority эсвэл серверийн DNS-тэй тулгаж шалгаж чадахгүй үед ийм алдаа гарч болно. Жишээ нь таны HTTP collector өөрөө гарын үсэг зурсан (self-signed) сертификат ашигладаг үед. TLS холболтод аюулгүй байдлын сертификат шаардлагатай хэвээр байгааг анхаараарай.
- Endpoint-оос SIEM рүү илгээх үйл явдлын төрлүүдийг сонгоно.
Харин олон зорилтот руу telemetry илгээхийг дэмждэггүй 7.9.13.423-аас өмнөх BEST endpoint хувилбаруудад үйл явдал дамжуулалт нь урьдчилан тодорхойлсон эрэмбээр зөвхөн нэг зорилтод хязгаарлагдана. Эдгээр тохиолдолд GravityZone нөөц механизм ашиглана.
- Хэрэв танд EDR Data Retention Add-on байгаа, MDR ашигладаг бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал MDR руу илгээгдэнэ.
- Хэрэв та MDR ашигладаг бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал MDR руу илгээгдэнэ.
- Хэрэв та MDR ашигладаг бөгөөд танд EDR Data Retention Add-on байгаа бол үйл явдал мөн MDR руу илгээгдэнэ.
- Хэрэв танд EDR Data Retention Add-on байгаа бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал EDR Data Retention руу илгээгдэнэ.
Энэ хуудсанд гарсан нэр томъёо
- Control Center
- GravityZone-ийн удирдлагын вэб консол
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Security agent
- Төхөөрөмж дээр суулгадаг Bitdefender-ийн хамгаалалтын программ (BEST)
- Policy
- Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)