Yr ateb uniongyrchol
Mae offeryn SIEM (Security Information and Event Management) yn casglu data log o systemau ledled sefydliad - gweinyddion, firewalls, laptopau, cymhwysiadau - i un lle, ac yn nodi patrymau sy'n edrych yn amheus fel y gall person ddynol eu hymchwilio. Os ydych chi'n dysgu diogelwch seiber ac yn anelu at rôl SOC analyst, nid yw deall SIEM yn ddarllain cefndir dewisol - yr ydyw'r un offeryn y byddwch chi'n treulio'r amser mwyaf ynddo, ddiwrnod cyntaf y swydd.
Meddyliwch amdano fel hyn: mae pob system mewn rhwydwaith yn cynhyrchu ei ddyddiadur ei hun o ddigwyddiadau - pwy fyddai'n mewngofnodi, pa ffeil a acesswyd, pa gysylltiad a wnaed. Ar eu pennau eu hunain, mae miloedd o'r cofnodion hyn y funud yn ddiwerth i ddyn. Mae SIEM yn eu tynnu at ei gilydd i gyd, yn cymhwyso rheolau i nodi patrymau sy'n werth edrych arnynt (mewngofnodiad o wlad anafferol, deg o geisiadau cyfrinair methu yn olynol, trosglwyddiad ffeil mawr am 3am), ac yn eu troi'n rhybuddion y gall SOC analyst weithio trwyddynt.
Sut mae SIEM yn gweithio mewn gwirionedd, gam wrth gam
- Casglu - mae data log yn llifo i mewn o firewalls, gweinyddion, endpoints, gwasanaethau cymylau, a chymhwysiadau ar draws y sefydliad.
- Normalrwydd - mae'r SIEM yn trosi'r holl fformatau log gwahanol hyn i strwythur cyson y gall ei chwilio a'i gymharu.
- Cydberthynas - mae rheolau yn cymharu digwyddiadau yn erbyn ei gilydd (ac yn erbyn patrymau gwael hysbys) i nodi pethau na fyddai llinell log sengl yn eu datgelu ar eu pennau eu hunain.
- Rhybuddio - mae unrhyw beth sy'n cyfateb i reol (neu anormaledd ystadegol) yn cynhyrchu rhybudd i ddyn ei drefnu.
- Ymchwiliad - mae SOC analyst (gweler beth mae SOC analyst yn ei wneud) yn adolygu'r rhybudd, yn tynnu logiau cysylltiol, ac yn penderfynu a ydyw'n ffug gadarnhaol neu ddigwyddiad go iawn.
- Ymateb a thiwnio - caiff digwyddiadau dilys eu hyrwyddo; ffug gadarnhaol yn bwydo'n ôl i fireinio'r rheolau fel nad yw'r un sŵn yn ailadrodd.
Offer SIEM poblogaidd y byddwch chi'n eu cyfarfod
| Offeryn | Ble y byddwch chi'n ei gyfarfod | Cost i ddysgu arno |
|---|---|---|
| Splunk | Yn cael ei ddefnyddio'n eang mewn SOCs menter | Treial am ddim/trwydded dev ar gael |
| Microsoft Sentinel | Cyffredin mewn amgylcheddau Microsoft/Azure-drwm | Gweler canllaw arholiad SC-200 os ydych chi'n mynd yr hfordd hon |
| Elastic (ELK stack) | Opsiwn cod agored poblogaidd, wedi'i ddefnyddio'n fasnachol ac ar gyfer labau cartref | Am ddim, yn hunanwesteiraidd |
| Wazuh | Cod agored, dechreuwr-gyfeillgar ar gyfer labau cartref | Am ddim |
| IBM QRadar | Cyffredin mewn amgylcheddau menter mwy | Opsiynnau am ddim cyfyngedig |
At ddibenion dysgu, Wazuh neu'r stack Elastic yw'r pwyntiau cychwyn mwyaf ymarferol - mae'r ddau am ddim i redeg gartref ac yn rhoi'r profiad go iawn i chi o ysgrifennu rheolau canfod a hymchwilio rhybuddion, yn hytrach na dim ond ei ddarllen.
Beth rwyf i'n dweud wrth fy myfyrwyr
Peidiwch ag ymgais i ddysgu pob platfform SIEM. Mae cyflogwyr yn gofalu llawer mwy eich bod chi'n deall y cysyniad - beth mae SIEM yn ei wneud a pham - na pha frand penodol yr ydych chi wedi'i ddefnyddio, oherwydd bydd pob swydd SOC yn eich hyfforddi ar eu offeryn penodol beth bynnag. Yr hyn na allant ei hyfforddi yn gyflym yn hawdd yw'r rhesymeg sylfaenol: pam mae dilyniant penodol o ddigwyddiadau yn amheus, sut i ddarllen llinell log crai, sut i wahaniaeth cydberthynas rhag cyd-ddigwyddiad. Sicrhewch hynny o un offeryn am ddim gartref, ac fe allwch chi gerdded i mewn i gynhweliad a siarad yn argyhoeddiadol am Splunk neu Sentinel hyd yn oed os na chyffyrddwch chi'r naill na'r llall, oherwydd mae'r cysyniadau yn trosglwyddo'n uniongyrchol.
Y peth arall rwyf i'n gwthio myfyrwyr arno: gosodwch lab cartref go fach yn hytrach na darllen am SIEMs yn yr haniaethol. Gosodwch Wazuh neu Security Onion ar beiriant sbâr neu beiriannau rhithwir, cynhyrchwch rywfaint o weithgaredd sylfaenol (ychydig ymgynnig mewngofnodi, peth mynediad ffeil), ac ymarferwch ysgrifennu rheol canfod syml eich hun. Mae cyflogwyr yn sylwi ar y gwahaniaeth rhwng "Darllenais am SIEMs" a "Codais un a hymchwiliais fy hrybuddion prawf fy hun" o fewn yr ychydig funudau cyntaf o gynhweliad.
Prosiect cyntaf syml i'w geisio
- Gosodwch Wazuh (neu Security Onion) mewn peiriannau rhithwir - mae gan y ddau ganllawiau gosod am ddim o'r dogfennaeth swyddogol, felly gwiriwch y dudalen swyddogol am gamau gosod cyfredol yn hytrach na phost blog dyddodedig.
- Pwyntiwch ef at gwpwl o ffynonellau log prawf - mae digwyddiadau mewngofnodi eich laptop eich hun yn gychwyn digon da.
- Sbardunwch ychydig ddigwyddiadau amlwg amheus eich hun - nifer o fewngofnodiadau methu yn olynol, er enghraifft.
- Gwyliwch sut mae'r SIEM yn arwyneboli (neu ddim) yr weithgaredd hwnnw, ac ymchwiliad pam.
- Ysgrifennwch nodyn byr ar yr hyn a wnaethoch chi a'r hyn a ddysgoch chi - mae hyn yn dod yn ddeunydd cyfweliad go iawn.
Mae'r math hwn o brosiect bach, gonest yn union y math o beth sy'n werth ei drafod trwy mentor os ydych chi'n sownd - gwiriwch prisio a gallwn weithio trwy'r sefydliad lab cyntaf gyda'i gilydd.
Cwestiynau Cyffredin
A oes rhaid i mi ddysgu SIEM penodol cyn gwneud cais am swyddi SOC?
Na - mae deall y cysyniad cyffredinol ac wedi ymarfer ar unrhyw SIEM am ddim (Wazuh, Elastic) yn ddigon ar gyfer rolau mynediad. Mae cyflogwyr yn eich hyfforddi ar eu platform penodol.
A yw SIEM yr un fath â firewall?
Na. Mae firewall yn rheoli traffig i mewn ac allan o rwydwaith yn seiliedig ar reolau; mae SIEM yn casglu ac yn dadansoddi data log o lawer o ffynonellau, gan gynnwys firewalls, i nodi patrymau amheus ar draws yr holl amgylchedd.
Faint mae'n costio i ymarfer gyda SIEM gartref?
Am ddim, os ydych chi'n defnyddio opsiwn cod agored fel Wazuh neu'r stack Elastic ar eich caledwedd eich hun neu beiriannau rhithwir haen am ddim. Nid oes angen i chi dalu am drwydded SIEM masnachol i adeiladu profiad talkable-am go iawn.
A yw gwybodaeth SIEM wedi'i orchuddio yn Security+?
Ydy, ar lefel gysyniadol - mae Security+ yn mynd i'r afael â chysyniadau rheoli log a monitro'n gyfredinol, er na fydd yn eich dysgu platform SIEM penodol mewn dyfnder. Gweler fy canllaw astudio Security+ SY0-701 ar gyfer yr hyn sydd mewn gwirionedd ar y cwricwlwm.
