הכנת יומני אירועי אבטחה לגילוי

מה מדריך זה עוזר להשיג

• הגדרת אירועים.
• הגנה על רשומות.
• קורלציה של אותות.
• זיהוי בדיקות.

בדיקה מהירה

• אילו מערכות תומכות במסעות קריטיים?
• האם שעונים ומזהים יכולים לשחזר ציר זמן?
• מי יכול לקרוא או לשנות רשומות?
• איזה תרחיש מפעיל התראה?
• האם מישהו יודע מה לעשות הלאה?

שיטה שלב אחר שלב

1. 1

   בחירת מקורות.

   התחל משירותים ותרחישי איום: כניסה, שינוי הרשאות, גישה לנתונים, API, רשת ותשתית. הגדרת אירועים נדרשים ובעליהם.

   תוצר: מדיניות רישום ברמת המקור.

2. 2

   נרמול ההקשר

   ציון שעונים, אזורי זמן, מזהי בקשה, גורם, תוצאה ומערכת מקור. מניעת סודות מיותרים ונתונים אישיים בהודעות.

   תוצר: סכמת אירועים וכללי מזעור.

3. 3

   ריכוז והגנה

   בדיקת העברה, זמינות, הרשאות, שמירה וזיהוי חבלה. מערכת פרוצה לא צריכה למחוק בשקט את הראיות השימושיות היחידות.

   תוצר: בדיקת העברה ושלמות.

4. 4

   קורלציה של תרחיש

   תרגול של כניסה חשודה ואחריה קריאה ל-API או שינוי רגיש. ודא שהאירועים מתיישרים לפי זמן ומזהה.

   תוצר: ציר זמן משוחזר ורשימת פערים.

5. 5

   זיהוי כוונון

   כתיבת כלל עם תנאי, סף, חריגים, בעלים ועדיפות. מדידת תוצאות חיוביות שגויות ואירועים שהוחמצו באמצעות תרחישים מורשים.

   תוצר: מקרי אימות ובדיקה של כללים.

6. 6

   תרגול תגובה

   ניתוב התראה לאדם האחראי, פתיחת חקירה, שימור ראיות ואימות סגירה. שיפור הסכימה או הכלל לאחר התרגיל.

   תוצר: תרגיל מתוארך ופעולות מעקב.

מדדי ניהול

טעויות נפוצות

• איסוף הכל ללא תעדוף תרחישים
• רישום סודות או נתונים רגישים בטקסט ברור
• ריכוז ללא בדיקות שלמות והרשאה
• הוספת התראות ללא נוהל טיפול