Security Telemetry-г бодлого дээр хэрхэн тохируулж, SIEM рүү үйл явдал илгээх вэ?
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Security Telemetry нь таны төхөөрөмжүүд дээр үүссэн аюулгүй байдлын түүхий үйл явдлуудад хандах боломж олгодог. Ингэснээр төхөөрөмжийн үйл ажиллагааг SIEM шийдэл рүү дамжуулж, хяналт, мөрдөн шалгалт болон өөрийн корреляцид ашиглаж болно.
Хамгаалалтын агент бодлого хамаарах төхөөрөмжүүдээс сонгосон төрлийн үйл явдлуудыг цуглуулж, үүсэх үед нь тохируулсан SIEM шийдэл рүү шууд илгээнэ. Гүйцэтгэл болон өгөгдлийн хэмжээг оновчтой байлгахын тулд агентууд зөвхөн таны сүлжээний аюулгүй байдалд хамааралтай үйл явдлыг илгээдэг. Зарим үйл явдал их хэмжээний лог үүсгэж, SIEM-ийн холбогдох зардлыг нэмэгдүүлж болзошгүй.
Security Telemetry ажиллахын тулд дараах зүйлс шаардлагатай.
- EDR боломжид хандах эрх олгосон лиценз.
- BEST агент суулгасан, EDR Sensor модулийг идэвхжүүлсэн, EDR боломжтой бодлого хэрэглэсэн удирдагдаж буй төхөөрөмжүүд.
- Зарим төрлийн үйл явдалд нэмэлт тохиргоо. Эдгээр тусгай шаардлагыг Security Telemetry events sent to SIEM хэсгээс үзнэ үү.
Дараах үйл явдлууд боломжтой.
- Процесс (Processes): үүсгэх, зогсоох
- Файл (Files): үүсгэх, унших, өөрчлөх, зөөх, устгах
- Registry: түлхүүр үүсгэх, устгах; утга өөрчлөх, устгах
- Хэрэглэгчийн хандалт (User access): нэвтрэх
- Сүлжээний холболт (Network connection)
- DNS хүсэлт (DNS query)
Чухал
- Энэ боломж нь EDR боломжид хандах эрх олгосон лиценз шаарддаг.
- DNS query болон Network connection үйл явдлууд нь зорилтот төхөөрөмжүүд дээр Network Attack Defense модулийг суулгасан, хэрэглэсэн бодлогод идэвхжүүлсэн байхыг шаарддаг. DNS query үйл явдлыг идэвхжүүлбэл их хэмжээний лог үүсгэж, SIEM-ийн холбогдох зардлыг нэмэгдүүлж болзошгүй.
Хоёр шийдэл боломжтой.
Splunk
Хамгаалалтын агент энэ мэдээллийг үйлдвэрлэлийн стандарт хэлбэрээр (JSON) SIEM шийдэл (Splunk) рүү шууд илгээнэ.
Зорилтот төхөөрөмжүүдээс аюулгүй байдлын үйл явдлыг SIEM шийдэл рүү илгээхийн тулд бодлогыг дараах байдлаар тохируулна.
- Security Telemetry-г идэвхжүүлэхийн тулд товчийг (toggle) дарна.
- Холбогдох SIEM шийдлээ сонгоно.
- SIEM серверийн URL-ийг оруулна.
Анхааруулга
TLS 1.2 болон түүнээс дээш хувилбартай HTTPS протокол шаардлагатай. Эс бөгөөс үйл явдал илгээх нь амжилтгүй болно.
- Аюулгүй байдлын гэрчилгээ баталгаажуулалтын алдаа гарсан ч тухайн алдааг үл тооцон SIEM серверийг ашиглахыг хүсвэл Bypass collector CA validation in Control Center-ийг сонгоно. Энэ сонголт зөвхөн гэрчилгээг баталгаажуулж чадаагүй үед харагдана.
Тэмдэглэл
GravityZone нь HTTP collector-ийн SSL гэрчилгээг Certificate Authority эсвэл серверийн DNS-тэй тулгаж шалгаж чадахгүй үед ийм алдаа гарна. Жишээ нь таны HTTP collector өөрөө гарын үсэг зурсан (self-signed) гэрчилгээ ашигладаг үед.
- Холболтыг хамгаалдаг authorization token-оо оруулна.
- Төхөөрөмжөөс SIEM рүү илгээх үйл явдлын төрлүүдийг сонгоно.
- Communication between endpoints and SIEM хэсэгт прокси сервер ашиглах эсэхээ сонгоно.
Агент нь SIEM-тэй холбогдохдоо GravityZone-той холбогдоход ашигладаг проксигийн серверийг адилхан ашиглана.
Тэрхүү проксигийн тохиргоог General > Settings хэсгээс шалгаж болно.
Бодлогыг төхөөрөмжүүд дээр хэрэглэсний дараа агент нь үйл явдлуудыг үүсэх үед нь тохируулсан SIEM сервер рүү илгээж эхэлнэ.
Syslog (JSON)
Хамгаалалтын агент энэ мэдээллийг үйлдвэрлэлийн стандарт хэлбэрээр (JSON) SIEM шийдэл рүү шууд илгээнэ.
Тэмдэглэл
Мессеж хүрэхийн тулд зорилтот сервер дээр Transport Layer Security (TLS) идэвхжсэн байх ёстой.
Security Telemetry-ийн Syslog мессежүүд UTF-8 кодлолтой бөгөөд MSG хэсэг нь Unicode byte order mark (BOM)-оор эхэлнэ. BOM-ийн EF BB BF байтууд мессежийн эхэнд нэмэгддэг. Мессежийн агуулга (MSG) нь JSON тул өөрийн parser-ууд JSON-ийг задлахаасаа өмнө эхний BOM-ийг тооцох ёстой. Зарим SIEM үүнийг автоматаар арилгадаг бол зарим нь тохиргоо эсвэл урьдчилсан боловсруулалтын алхам шаарддаг.
Энэ нь MSG нь UTF-8 кодлолтой үед ABNF %xEF.BB.BF BOM-оор эхлэх ёстой гэж заасан RFC 5424-ийн дагуу юм.
Зорилтот төхөөрөмжүүдээс аюулгүй байдлын үйл явдлыг SIEM шийдэл рүү илгээхийн тулд бодлогыг дараах байдлаар тохируулна.
- Security Telemetry-г идэвхжүүлэхийн тулд товчийг (toggle) дарна.
- SIEM solution хэсэгт Syslog (JSON)-ийг сонгоно.
- Hostname/IP хэсэгт syslog серверийн хостын нэр эсвэл IP хаягийг бичнэ.
Тэмдэглэл
IP хаяг эсвэл хостын нэр төхөөрөмжүүдээс хандах боломжтой байх ёстой.
- Port хэсэгт төхөөрөмжүүд syslog сервертэй холбогдоход ашиглах портыг оруулна.
- Заавал биш: Аюулгүй байдлын гэрчилгээ баталгаажуулалтын алдааг үл тоохыг хүсвэл Ignore SSL errors-ийг сонгоно. GravityZone нь HTTP collector-ийн SSL гэрчилгээг Certificate Authority эсвэл серверийн DNS-тэй тулгаж шалгаж чадахгүй үед ийм алдаа гарч болно. Жишээ нь таны HTTP collector өөрөө гарын үсэг зурсан (self-signed) гэрчилгээ ашигладаг үед. TLS холболтод аюулгүй байдлын гэрчилгээ шаардлагатай хэвээр байгааг анхаараарай.
- Төхөөрөмжөөс SIEM рүү илгээх үйл явдлын төрлүүдийг сонгоно.
Чухал
Хэрэв танд GravityZone EDR Data Retention Add-on байгаа бөгөөд төхөөрөмжийн бодлогод Security Telemetry идэвхжсэн бол та одоо Historical Search хуудсанд Raw Events-ийг харж болно. Энэ боломж таныг MDR үйлчилгээ ашиглаж байсан ч, telemetry үйл явдлыг гуравдагч талын SIEM рүү дамжуулж байсан ч, эсвэл хоёуланг нь хийж байсан ч ажиллана.
Харин олон зорилтот руу telemetry илгээхийг дэмждэггүй 7.9.13.423-аас өмнөх BEST хувилбаруудад үйл явдал дамжуулалт нь урьдчилан тодорхойлсон эрэмбээр зөвхөн нэг зорилтод хязгаарлагдана. Эдгээр тохиолдолд GravityZone нөөц механизм ашиглана.
- Хэрэв танд EDR Data Retention Add-on байгаа, MDR ашигладаг бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал MDR руу илгээгдэнэ.
- Хэрэв та MDR ашигладаг бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал MDR руу илгээгдэнэ.
- Хэрэв та MDR ашигладаг бөгөөд танд EDR Data Retention Add-on байгаа бол үйл явдал мөн MDR руу илгээгдэнэ.
- Хэрэв танд EDR Data Retention Add-on байгаа бөгөөд үйл явдлыг гуравдагч талын SIEM рүү дамжуулдаг бол үйл явдал EDR Data Retention руу илгээгдэнэ.
Энэ хуудсанд гарсан нэр томъёо
- Control Center
- GravityZone-ийн удирдлагын вэб консол
- Endpoint
- Хамгаалж буй компьютер, сервер, виртуал машин
- Network
- Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)