रिसोर्स · 29
सिक्योरिटी इवेंट लॉग को डिटेक्शन के लिए तैयार करें
इवेंट चुनें, रिकॉर्ड सुरक्षित करें, सिस्टम को कोरिलेट करें और रिस्पॉन्स की रिहर्सल करें।
अपडेटेड · 5 min
यह गाइड क्या पाने में मदद करती है
- इवेंट तय करें
- रिकॉर्ड सुरक्षित करें
- सिग्नल को एक-दूसरे से जोड़ें
- टेस्ट डिटेक्शन
जल्दी से चेक करें
- कौन से सिस्टम ज़रूरी यात्राओं को सपोर्ट करते हैं?
- क्या क्लॉक और आइडेंटिफायर टाइमलाइन को फिर से बना सकते हैं?
- कौन रिकॉर्ड पढ़ या बदल सकता है?
- किस सिनेरियो में अलर्ट ट्रिगर होता है?
- क्या किसी को पता है कि आगे क्या करना है?
स्टेप-बाय-स्टेप तरीका
- 1
सोर्स चुनें
सर्विसेज़ और खतरे के सिनेरियो से शुरू करें: साइन-इन, प्रिविलेज चेंज, डेटा एक्सेस, API, नेटवर्क और इंफ्रास्ट्रक्चर। ज़रूरी इवेंट और उनके मालिकों को तय करें।
डिलीवरेबल: सोर्स-लेवल लॉगिंग पॉलिसी।
- 2
कॉन्टेक्स्ट को नॉर्मलाइज़ करें
क्लॉक, टाइम ज़ोन, रिक्वेस्ट आइडेंटिफ़ायर, एक्टर, आउटकम और ओरिजिनेटिंग सिस्टम बताएं। मैसेज से गैर-ज़रूरी सीक्रेट और पर्सनल डेटा को बाहर रखें।
डिलीवरेबल: इवेंट स्कीमा और मिनिमाइज़ेशन रूल।
- 3
सेंट्रलाइज़ और प्रोटेक्ट करें
ट्रांसफ़र, अवेलेबिलिटी, परमिशन, रिटेंशन और टैम्पर डिटेक्शन को टेस्ट करें। एक कॉम्प्रोमाइज़्ड सिस्टम को चुपचाप एकमात्र काम के सबूत को मिटाना नहीं चाहिए।
डिलीवरेबल: ट्रांसफ़र और इंटीग्रिटी चेक।
- 4
एक सिनेरियो को कोरिलेट करें
एक सस्पिशियस साइन-इन के बाद API कॉल या सेंसिटिव बदलाव की रिहर्सल करें। वेरिफ़ाई करें कि इवेंट टाइम और आइडेंटिफ़ायर के हिसाब से अलाइन हैं।
डिलीवरेबल: रीकंस्ट्रक्टेड टाइमलाइन और गैप लिस्ट।
- 5
डिटेक्शन को ट्यून करें
कंडीशन, थ्रेशोल्ड, एक्सेप्शन, ओनर और प्रायोरिटी के साथ एक रूल लिखें। ऑथराइज़्ड सिनेरियो का इस्तेमाल करके फ़ॉल्स पॉज़िटिव और मिस्ड इवेंट को मेज़र करें।
डिलीवरेबल: टेस्टेड नियम और वैलिडेशन केस।
- 6
जवाब की रिहर्सल करें
ज़िम्मेदार व्यक्ति को अलर्ट भेजें, जांच शुरू करें, सबूत संभाल कर रखें और क्लोजर वेरिफाई करें। एक्सरसाइज के बाद स्कीमा या नियम को बेहतर बनाएं।
डिलीवरेबल: डेटेड एक्सरसाइज और फॉलो-अप एक्शन।
मैनेजमेंट इंडिकेटर
| इंडिकेटर | यह क्या मापता है | पहला एक्शन |
|---|---|---|
| कवरेज | ज़रूरी सोर्स जिनके इवेंट होने की उम्मीद है | गायब सोर्स जोड़ें |
| देरी | एक्शन से सर्च किए जा सकने वाले रिकॉर्ड तक का समय | रिपेयर ट्रांसफर |
| कोरिलेशन | सिनेरियो को शुरू से आखिर तक फिर से बनाया गया | कॉन्टेक्स्ट या आइडेंटिफायर जोड़ें |
| रिस्पॉन्स | ओनर और एक्शन के साथ टेस्ट किए गए अलर्ट | नियम या ऑन-कॉल पाथ ठीक करें |
आम गलतियाँ
- सिनेरियो को प्राथमिकता दिए बिना सब कुछ इकट्ठा करना
- सीक्रेट या सेंसिटिव डेटा को क्लियर टेक्स्ट में लॉग करना
- इंटीग्रिटी और परमिशन चेक के बिना सेंट्रलाइज़ करना
- हैंडलिंग प्रोसीजर के बिना अलर्ट जोड़ना
अक्सर पूछे जाने वाले सवाल
क्या ज़्यादा लॉग का मतलब हमेशा बेहतर डिटेक्शन होता है?
नहीं। वॉल्यूम के साथ-साथ क्वालिटी, कॉन्टेक्स्ट और रिस्पॉन्स कैपेसिटी भी मायने रखती है।
क्लॉक को सिंक्रोनाइज़ क्यों करें?
एक अलग टाइमलाइन कोरिलेशन और इंसिडेंट के फैसलों को कम भरोसेमंद बनाती है।
कोई नियम कब तैयार होता है?
जब कोई ऑथराइज़्ड सिनेरियो उम्मीद के मुताबिक सिग्नल देता है और ओनर उसे ट्राइएज कर सकता है।
ऑफ़िशियल रेफ़रेंस
रेफ़रेंस इस तरीके को सपोर्ट करते हैं। अपने कॉन्टेक्स्ट के हिसाब से चेक को एडजस्ट करें; वे सर्टिफ़िकेशन नहीं हैं। ओरिजिनल रेफ़रेंस टाइटल और सोर्स डॉक्यूमेंट दूसरी भाषा में हो सकते हैं।
