Resurssit · 29
Tietoturvatapahtumalokien valmistelu havaitsemista varten
Tapahtumat valitaan, tietueet suojataan, järjestelmät korreloidaan ja vastausta harjoitellaan.
Päivitetty · 2 min
Mitä tämä opas auttaa saavuttamaan
- Tapahtumien määrittäminen
- Tietueiden suojaaminen
- Signaalien korrelointi
- Havaitsemisen testaaminen
Pikatarkistus
- Mitkä järjestelmät tukevat kriittisiä matkanmäärityksiä?
- Voivatko kellot ja tunnisteet rekonstruoida aikajanan?
- Kuka voi lukea tai muuttaa tietueita?
- Mikä skenaario laukaisee hälytyksen?
- Tietääkö joku, mitä tehdä seuraavaksi?
Vaiheittainen menetelmä
- 1
Lähteiden valitseminen
Aloita palveluista ja uhkaskenaarioista: kirjautuminen, oikeuksien muutos, tiedonsaanti, API, verkko ja infrastruktuuri. Määritä vaaditut tapahtumat ja niiden omistajat.
Tuotos: lähdetason lokikirjauskäytäntö.
- 2
Normalisoi konteksti
Määritä kellot, aikavyöhykkeet, pyyntötunnisteet, toimija, tulos ja lähtöjärjestelmä. Pidä tarpeettomat salaisuudet ja henkilötiedot poissa viesteistä.
Tuotos: tapahtumakaavio ja minimointisäännöt.
- 3
Keskitä ja suojaa
Testaa siirtoa, saatavuutta, käyttöoikeuksia, säilytystä ja peukaloinnin havaitsemista. Vaurioituneen järjestelmän ei pitäisi hiljaisesti poistaa ainoaa hyödyllistä todistusaineistoa.
Tuotos: siirto- ja eheystarkistus.
- 4
Korreloi skenaario
Harjoittele epäilyttävää kirjautumista, jota seuraa API-kutsu tai arkaluontoinen muutos. Varmista, että tapahtumat ovat ajan ja tunnisteen mukaisia.
Tuotos: rekonstruoitu aikajana ja aukkoluettelo.
- 5
Viritä havaitsemista
Kirjoita sääntö, jossa on ehto, kynnysarvo, poikkeukset, omistaja ja prioriteetti. Mittaa vääriä positiivisia ja ohitettuja tapahtumia valtuutettujen skenaarioiden avulla.
Tuotos: testatut säännöt ja validointitapaukset.
- 6
Harjoittele vastausta
Reititä hälytys vastuuhenkilölle, aloita tutkinta, säilytä todisteet ja varmista asian päättäminen. Paranna kaavaa tai sääntöä harjoituksen jälkeen.
Tuotos: päivätty harjoitus ja jatkotoimenpiteet.
Johdon indikaattorit
| Indikaattori | Mitä se mittaa | Ensimmäinen toimenpide |
|---|---|---|
| Kattavuus | Kriittiset lähteet odotetuilla tapahtumilla | Lisää puuttuvat lähteet |
| Viivästys | Aika toimenpiteestä haettavaan tietueeseen | Korjaa siirto |
| Korrelaatio | Skenaariot rekonstruoitu alusta loppuun | Lisää kontekstia tai tunnisteita |
| Vastaus | Testatut hälytykset omistajan ja toimenpiteen kanssa | Korjaa sääntö tai päivystyspolku |
Yleisiä virheitä
- Kaiken kerääminen ilman skenaarioiden priorisointia
- Salaisuuksien tai arkaluonteisten tietojen kirjaaminen selkokielellä
- Keskittäminen ilman eheys- ja käyttöoikeustarkistuksia
- Hälytysten lisääminen ilman käsittelymenettelyä
Usein kysytyt kysymykset
Tarkoittaako useampi loki aina parempaa havaitsemista?
Ei. Laadulla, kontekstilla ja reagointikyvyllä on merkitystä volyymin ohella.
Miksi kellot synkronoidaan?
Epäjohdonmukainen aikajana tekee korrelaatio- ja tapahtumapäätöksistä vähemmän luotettavia.
Milloin sääntö on valmis?
Milloin valtuutettu skenaario tuottaa odotetun signaalin ja omistaja voi luokitella sen.
Viralliset viitteet
Viitteet tukevat menetelmää. Sovita tarkastukset kontekstiisi; ne eivät ole sertifiointia. Alkuperäiset viitteiden otsikot ja lähdeasiakirjat voivat olla toisella kielellä.
