Intro to SIEM Operations: A Practical Blue Team Guide

Security Information and Event Management (SIEM) platforms sit at the heart of most Security Operations Centers (SOCs). They aggregate logs, correlate events, and surface alerts that analysts must triage and investigate. Mae'r canllaw hwn yn cerdded drwy'r llif gwaith gweithredol craidd fel y gallwch ddechrau meddwl fel dadansoddwr SIEM, ni waeth pa lwyfan (Splunk, Elastic, Microsoft Sentinel, QRadar, ac ati) y mae eich sefydliad yn ei ddefnyddio.

Beth mae SIEM Yn Ei Wneud Mewn Gwirionedd

Yn ei hanfod, mae SIEM yn cyflawni tri thâsg: casglu logiau o bwyntiau terfynu, dyfeisiau rhwydwaith, cymwysiadau, ac gwasanaethau cymylau; normaleiddio'r data honno i mewn i sgema cyson; a chyd-berthynu digwyddiadau gan ddefnyddio rheolau canfod i gynhyrchu rhybuddion. Mae dadansoddwyr wedyn yn gweithio'r rhybuddion hynny drwy gylch bywyd triagio ac ymchwiliad. Yn deall y bibell hon yn helpu i chi ddiagnosi problemau pan fo data yn edrych yn anghywir neu rybuddion yn ymddangos ar goll.

Gosod Ffynonellau Logiau

Cyn i unrhyw resymeg canfod fod yn bwysig, mae angen data dibynadwy arnoch. Mae ffynonellau cyffredin yn cynnwys:

• Telemetr Pwynt Terfynu (asiantau EDR, Windows Event Logs drwy Sysmon)
• Data Rhwydwaith (logiau tân, ceisiadau DNS, logiau dirprwy, NetFlow)
• Logiau Dilysu (Active Directory, VPN, darparwyr SSO)
• Logiau Rhagolygon Cloud (AWS CloudTrail, Azure Activity Logs, GCP Audit Logs)

Pan fyddwch yn ymgymryd â ffynhonnell newydd, gwiriwch gywirdeb stâm amser, cadarnhewch bod echdynnu cae yn gywir, ac archwiliwch y gyfrol fewnforio yn erbyn llinellau sylfaen disgwyliedig. Mae parser wedi'i gamffurfio'n dawel yn torri canfodiadau heb daflu gwallau, felly gwiriwch ddigwyddiadau crai yn erbyn caeau echdynnedig yn rheolaidd.

Ysgrifennu a Thrwsio Rheolau Canfod

Mae'r rhan fwyaf o SIEMs yn defnyddio rhyw fath o chwiliad cyd-berthynu neu gystrawen rheol canfod. Enghraifft syml yn SPL Splunk a allai edrych fel hyn:

index=auth sourcetype=windows EventCode=4625
| stats count by user, src_ip
| where count > 10

Mae hyn yn fflagio cyfrif gyda mwy na 10 ymgais mewngofnodi methu, mynegydd bwrw-drais clasurol. Wrth adeiladu rheolau:

1. Dechrau'n gul, yna ehangu yn seiliedig ar gyfradd rhyg-gadarnhau.
2. Mapio pob rheol i dechneg MITRE ATT&CK ar gyfer cyd-destun a thracio'r copïo.
3. Dogfennwch fwriad y rheol, ffynhonnell data disgwyliedig, ac senarios rhyg-gadarnhau hysbys.
4. Gosod trothwyon realistig — rhy sensitif a boddir dadansoddwyr mewn sŵn; rhy llac a llithro bygythiadau go iawn.

Llif Gwaith Triagio Rhybuddion

Un waith mae rhybudd yn tanio, swydd yr dadansoddwr yw ateb: yw hyn yn gas, ac a oes angen ei ddyrchafiad? Rhestr wirio triagio ymarferol:

• Dilysu'r rhybudd — cadarnhewch fod y digwyddiad sylfaenol wedi digwydd mewn gwirionedd ac nid oedd yn artefact echdynnu.
• Cyfoethogi gyda cyd-destun — gwiriwch greithder ased, rôl defnyddiwr, daearyddol y ffynhonnell IP, a rhybuddion cysylltiedig diweddar ar yr un lletyydd.
• Gwirio am batrwm — gosod pibellwaith ar y defnyddiwr, IP, neu hash ar draws ffenest amser ehangach i weld a yw hwn wedi'i ynysu neu ran o ymgyrch ehangach.
• Dosbarthwch — cadarnhau gwirionedd, rhyg-gadarnhau, neu gadarnhau diniwed gwir (gweithgaredd go iawn, ond nid malicious, fel sgript dilys gweinyddwr).
• Dyrchafwch neu caewch — dogfennwch eich rhesymu naill ffordd; mae rhybuddion caeedig yn dal angen cyfiawnhad clir at ddibenion archwilio.

Adeiladu Dashboards Effeithiol

Dylai dashboards ateb cwestiynau gweithredol penodol, dim ond edrych yn drawiadol. Enghreifftiau defnyddiol yn cynnwys:

• Prif ffynonellau dilysu methu dros yr 24 awr diwethaf
• Cyfaint rhybudd yn ôl difrifoldeb ac aseiniad dadansoddwr
• Iechyd ffynhonnell data (oedi fewnforio, cwymp-bant)
• Copïo canfod wedi'i fapio yn erbyn tactegau ATT&CK

Osgowch lledu dashboard — nifer o golygfeydd signal uchel yn curo ugain paneli anaml iawn yn cael eu gwirio.

Trin Blinder Rhyg-gadarnhau

Blinder rhybudd yw un o'r risgiau gweithredol mwyaf mewn SOC. Ymladda â hynny trwy:

• Adolygu rhybuddion caeedig yn rheolaidd i nodi patrymau rhyg-gadarnhau sy'n ddigwydd dro ar ôl tro.
• Suppressing gweithgaredd hysbys-diniwed gyda neilltuwyd dogfennedig (dim anablun rheol fflanced).
• Tracio amser cymedrig i driagio ac amser cymedrig i ymateb fel metrigau i ddal potel-wddf.
• Cylchdroi cylchoedd adolygu rheol canfod fel bod rheolau hen, swnnllyd yn cael eu mireinio neu ymddeol.

Dogfennaeth a Handoff

Dylai pob ymchwiliad adael llwybr papur: beth ysgogwyd y rhybudd, beth oedd yn cael ei wirio, pa gasgliad a gyrhaeddwyd, a holl weithredoedd dilynol. Mae hyn yn bwysig ar gyfer shift handoffs, archwiliadau cydymffurfiaeth, ac adeiladu gwybodaeth sefydliadol sy'n goroesi cylchdro dadansoddwr. Templed llyfrau rhedeg syml fesul math rhybudd — camau ymchwilio, cysylltiadau dyrchafiad, a thystiolaeth ddisgwyliedig — yn arbed amser sylweddol dan bwysau.

Cael Ymarfer Dwylo

Y ffordd gyflymaf i adeiladu hylifedd SIEM yw ailadrodd: fewnforio logiau sampl, ysgrifennu nifer o reolau canfod yn erbyn technegau ymosod hysbys, a ymarfer y cylch triagio llawn o ddiwedd i ddiwedd. Mae setiau data am ddim a sticdiau SIEM cod agored (fel y Elastic Stack) yn amgylcheddau cost isel rhagorol ar gyfer hyn.

Pared i fynd yn ddyfnach i hanfodion tîm glas? Archwilio segmentau Korra Studio cysylltiedig ar ddadansoddiad log, llif gwaith ymateb i ddigwyddiadau, ac peirianneg canfod i gadw adeiladu eich set sgiliau SOC.