यह श्रृंखला का दूसरा लेख है, जो कि सेग्मेंट सिस्टम के लिए आउट-ऑफ-द-बॉक्स सहसंबंध नियम बनाने के लिए कार्यप्रणाली के लिए समर्पित है। पिछले लेख में, हमने अपने आप को इस कार्य को निर्धारित किया, इसके कार्यान्वयन में प्राप्त होने वाले लाभों का वर्णन किया, और हमारे रास्ते में आने वाली मुख्य समस्याओं को भी सूचीबद्ध किया। इस लेख में, हम समाधान खोजना शुरू करेंगे और "दुनिया" के मॉडल को बदलने की समस्या के साथ-साथ घटनाओं के सामान्यीकरण के स्तर पर इसकी अभिव्यक्ति शुरू करेंगे।



"दुनिया" मॉडल को बदलने की समस्या का वर्णन पहले लेख में किया गया था। आइए हम संक्षेप में इसके सार को याद करते हैं: जब घटनाओं के स्रोत पर कोई घटना होती है (उदाहरण के लिए, ओएस में एक प्रक्रिया शुरू करना), तो यह अलग-अलग स्वरूपों में तय की जाती है, पहले मेमोरी में, फिर ओएस इवेंट लॉग में और फिर सीएमजी सिस्टम में। प्रसंस्करण का प्रत्येक चरण डेटा हानि के साथ होता है, क्योंकि ओएस स्तर पर एक "दुनिया" मॉडल होता है, और ओएस लॉग में, दूसरा, लॉग स्कीम द्वारा फ़ील्ड के एक सेट द्वारा सीमित होता है। इस प्रकार, एक मॉडल का एक प्रतिबिंब (परिवर्तन) होता है जिसमें बड़ी संख्या में पैरामीटर होते हैं दूसरे की एक छोटी संख्या के साथ। कोलम्बिया में एक घटना को सामान्य और सहेजना एक और परिवर्तन है जो डेटा हानि के साथ भी होता है, क्योंकि कोलम्बिया का अपना "विश्व" मॉडल भी है।

एक ऐसा तरीका खोजना मुश्किल है जो एक मॉडल को बिना नुकसान के दूसरे में बदलने की अनुमति दे। इस सीमा को जानते हुए, सामान्यीकरण और घटना योजना के क्षेत्रों की एक सूची के गठन के लिए इस तरह के दृष्टिकोण को तैयार करना आवश्यक है, जिसमें जानकारी खो नहीं जाएगी, सहसंबंध में महत्वपूर्ण और सूचना सुरक्षा घटनाओं की आगे की जांच।

कोलम्बिया के ढांचे के भीतर, एक मॉडल को एक योजना द्वारा दर्शाया जाता है - फ़ील्ड का एक सेट जिसमें प्रारंभिक घटना से डेटा सामान्यीकरण प्रक्रिया में फिट होता है। भविष्य में, इसका उपयोग सहसंबंध नियम बनाने में विशेषज्ञों द्वारा किया जाएगा। घटना की जांच करने वालों और सामान्य रूप से सामान्य घटनाओं की स्पष्ट व्याख्या करने के लिए सहसंबंध नियम विकसित करने के लिए जिम्मेदार लोगों के लिए, योजना को मूल गुणों को पूरा करना चाहिए:

• किसी भी प्रकार और स्रोतों की घटनाओं के लिए एकजुट होना;
• स्पष्ट रूप से वर्णन करें कि किसने और कैसे बातचीत की;
• बातचीत का सार और संदर्भ रखें।

सामान्यीकरण नियमों को विकसित करने की प्रक्रिया में, इंटरैक्शन के बारे में जानकारी प्रारंभिक घटना में पाई जानी चाहिए और विशेष रूप से नामित क्षेत्रों में विघटित होनी चाहिए। एक ही चीज़ को बातचीत के संदर्भ और सार के साथ किया जाना चाहिए (अगले लेख में इस पर अधिक)।

सवाल यह उठता है: क्या यह संभव है कि उन इंटरैक्शन के लिए विशिष्ट योजनाओं की पहचान की जाए जो सभी संभावित आईटी और सूचना सुरक्षा स्रोतों द्वारा बनाई गई घटनाओं को संतुष्ट करेंगे? यदि हां, तो ये योजनाएं क्या दिखती हैं?

इन सवालों के जवाब खोजने के लिए, आपको एनालिटिक्स की ओर रुख करने की आवश्यकता है और सामान्य पैटर्न की पहचान करने के लिए पहले से ही तैयार किए गए कई सामान्यीकरण नियमों और कोलम्बिया के समाधानों में कार्य करने की आवश्यकता है। इस तरह के काम के हिस्से के रूप में, पॉजिटिव टेक्नोलॉज़ीज मैक्सप्रोटल सेर्गेस और माइक्रो फोकस आर्कसाइट जैसे समाधानों से 100 से अधिक विभिन्न स्रोतों से 3,000 से अधिक सामान्यीकरण नियमों का विश्लेषण करना संभव था। विश्लेषण के परिणामस्वरूप निम्नलिखित निष्कर्ष निकले:

1. विशिष्ट बातचीत योजनाएं मौजूद हैं।
2. प्रत्येक व्यक्तिगत घटना में, एक नियम के रूप में , नेटवर्क स्तर पर और आवेदन स्तर पर बातचीत के बारे में जानकारी होती है।
3. विशिष्ट इंटरैक्शन पैटर्न विभिन्न स्तरों पर भिन्न हो सकते हैं, और इसे ध्यान में रखा जाना चाहिए।

नेटवर्क और अनुप्रयोग परत संचार योजनाएँ

हम प्रत्येक स्तर के लिए विशिष्ट योजनाओं का वर्णन करते हैं। इससे पहले, आपको उन संस्थाओं को उजागर करने की आवश्यकता है जो हमेशा घटनाओं में मौजूद हैं। आगे, उनके आधार पर, बातचीत योजनाएं बनाई जाएंगी। इनमें शामिल हैं:

• विषय । एक इकाई जो किसी वस्तु को प्रभावित करती है। उदाहरण के लिए, एक उपयोगकर्ता जो रजिस्ट्री कुंजी, या आईपी 10.0.0.1 के साथ एक मेजबान बदल रहा है, एक पैकेट को आईपी 20.0.0.1 के साथ एक मेजबान को भेज रहा है।
• वस्तु । विषय से प्रभावित इकाई।
• स्रोत। एक नियम के रूप में, एक मेजबान जो ऑब्जेक्ट के साथ विषय की बातचीत को पंजीकृत करता है और स्वयं घटना उत्पन्न करता है। उदाहरण के लिए, स्रोत एक फ़ायरवॉल होगा जो होस्ट से पैकेट के प्रसारण को रिकॉर्ड करता है - आईपी 10.0.0.1 के साथ विषय, मेजबान को - आईपी 20.0.0.1 के साथ ऑब्जेक्ट।
• ट्रांसमीटर। ऐसे मामले होते हैं जब CRM सीधे स्रोत से नहीं, बल्कि एक मध्यवर्ती सर्वर से घटनाओं को प्राप्त करता है, जिसके माध्यम से ये घटनाएँ गुजरती हैं। सबसे सरल उदाहरण एक मध्यवर्ती syslog सर्वर है। एक उदाहरण अधिक जटिल है - जब ट्रांसमीटर एक प्रबंधन सर्वर हो सकता है, उदाहरण के लिए, कास्परस्की सुरक्षा केंद्र। इस स्थिति में, स्रोत Kaspersky समापन बिंदु सुरक्षा का एक विशिष्ट एजेंट है।

हालांकि, सभी संस्थाओं को एक साथ घटना (इस पर बाद में) में प्रतिनिधित्व नहीं किया जा सकता है, इसलिए शुरू में समझौतों में प्रवेश करना महत्वपूर्ण है, क्योंकि इस मामले में योजना के संबंधित क्षेत्र भरे हुए हैं। यह भविष्य में उन मामलों के बीच स्पष्ट रूप से अंतर करने में मदद करेगा जिनमें ये क्षेत्र एक विशेषज्ञ द्वारा त्रुटि के कारण नहीं भरे गए थे जो उन मामलों से सामान्यीकरण नियम विकसित कर रहे हैं जिनमें मूल घटना में वास्तव में किसी भी इकाई के बारे में डेटा नहीं था।

आइए बातचीत के पैटर्न और घटना के उदाहरणों पर चलते हैं। स्पष्टता के लिए, सभी उदाहरण फ़ाइल लॉग, syslog संदेश या रिकॉर्ड से संबंधित एक रिलेशनल डेटाबेस में दिए जाएंगे, लेकिन उनका उपयोग अन्य लॉग प्रारूपों के लिए किया जा सकता है, उदाहरण के लिए, बाइनरी।

नेटवर्क स्तर

नेटवर्क-स्तरीय संस्थाओं के लिए प्राथमिक पहचानकर्ता IP पते हैं। यह समझना महत्वपूर्ण है कि चैनल स्तर पर अन्य संबंधित पहचानकर्ता - मैक पते, एफक्यूएनडी - आवेदन स्तर पर हो सकते हैं। सवाल उठता है: क्या वे एक ही इकाई या अलग के बारे में बात कर रहे हैं? क्या ये पहचानकर्ता एक ही इकाई के साथ समय के साथ बदल सकते हैं? इसके लिए एक अलग लेख समर्पित किया जाएगा। अब हम इस तथ्य पर ध्यान दें कि नेटवर्क स्तर पर इंटरैक्शन मॉडल के लिए मुख्य पहचानकर्ता आईपी पता है।

तो, इस स्तर की विशिष्ट बातचीत योजनाओं को दो वर्गों में विभाजित किया जा सकता है - मूल और पतित।

बुनियादी बातचीत की योजनाएँ

योजना 1. पूर्ण सहभागिता योजना

इस मॉडल के ढांचे के भीतर, CRM इनपुट में प्राप्त होने वाली घटना में, सभी मुख्य संस्थाओं को प्रतिष्ठित किया जा सकता है: विषय, वस्तु, स्रोत, ट्रांसमीटर। इंटरैक्शन स्कीम में, सब्जेक्ट ऑब्जेक्ट पर कार्य करता है। यह प्रभाव स्रोत को पंजीकृत (अवलोकन) करता है और एक घटना उत्पन्न करता है। स्रोत से घटना ट्रांसमीटर में प्रवेश करती है और उसमें से एम्स्टर्डम में प्रवेश करती है।

नीचे दी गई घटना स्टोन्सॉफ्ट फायरवॉल (अब फोर्सपॉइंट) द्वारा मेजबानों के बीच नेटवर्क इंटरैक्शन के संकल्प को कैप्चर करती है, जबकि इवेंट स्वयं ही सीधे सीएमआर में प्रवेश नहीं करता है, लेकिन एक मध्यवर्ती syslog सर्वर से।



यहां:
40.0.0.1 - ट्रांसमीटर (मध्यवर्ती syslog सर्वर),
30.0.0.1 - स्रोत (फ़ायरवॉल नोड),
10.0.0.1 - विषय (यूडीपी पैकेट भेजते हुए),
20.0.0.1 - एक ऑब्जेक्ट (यूडीपी पैकेट प्राप्त करना)।


आरेख 2: ट्रांसमीटर के बिना प्रत्यक्ष संग्रह आरेख

हमेशा इंटरेक्शन स्कीम में एक ट्रांसमीटर नहीं होता है। एक नियम के रूप में, यह तब मौजूद होता है जब एक मध्यवर्ती सर्वर (उदाहरण के लिए, एक syslog सर्वर) का उपयोग घटनाओं को प्रसारित करने के लिए किया जाता है, या जब जिस समाधान से घटनाओं को एकत्र किया जाता है, उसमें एक केंद्रीकृत प्रबंधन प्रणाली होती है - उदाहरण के लिए, कास्परस्की सुरक्षा केंद्र, चेक प्वाइंट कंसोल या सिस्को प्राइम। इस योजना के तहत, ईवेंट्स सीधे स्रोत से ही कोलम्बिया में आते हैं। इस विशेष योजना द्वारा सभी घटनाओं का वर्णन किया गया है। वैसे, इस तरह की घटना का एक उदाहरण चित्र 1 में देखा जा सकता है, अगर इसमें कोई मध्यवर्ती syslog सर्वर नहीं था और हमें सीधे फ़ायरवॉल से घटनाएँ प्राप्त हुईं।



यहां:
30.0.0.1 - स्रोत (फ़ायरवॉल नोड),
10.0.0.1 - विषय (यूडीपी पैकेट भेजते हुए),
20.0.0.1 - एक ऑब्जेक्ट (यूडीपी पैकेट प्राप्त करना)।


योजना 3. कई वस्तुओं के साथ सहभागिता

नेटवर्क स्तर पर यह इंटरैक्शन स्कीम काफी दुर्लभ है और, एक नियम के रूप में, नेटवर्क उपकरण की घटनाओं के लिए विशिष्ट है। योजना में, एक विषय कई वस्तुओं के साथ बातचीत करता है, एक समान बातचीत उन घटनाओं में मौजूद होती है जो मल्टीकास्ट, यूनिकस्ट या प्रसारण का वर्णन करती हैं।

ध्यान दें कि कभी-कभी एक सामान्य पहचानकर्ता द्वारा कई वस्तुओं को एकजुट किया जा सकता है - एक सबनेट पता या एक प्रसारण पता। यह याद किया जाना चाहिए, जब सहसंबंध नियमों के स्तर सहित घटनाओं का विश्लेषण करते हैं, तो आप संभावित महत्वपूर्ण इंटरैक्शन को आसानी से छोड़ सकते हैं, क्योंकि इस योजना में समूह पते के पीछे ऑब्जेक्ट एड्रेस छिपा हुआ है।

निम्न उदाहरण एक IGMP रिले सर्वर से एक घटना प्रदर्शित करता है जिसके माध्यम से एक मल्टीकास्ट सदस्यता अनुरोध प्रसारित होता है।



यहां:
30.0.0.1 - स्रोत (IGMP रिले सर्वर),
10.0.0.1 - विषय (एक समूह में सदस्यता का अनुरोध),
224.0.0.252 - वस्तु (बहुस्तरीय पता)।

पतित योजनाएँ

विषय, वस्तु और स्रोत बुनियादी बातचीत योजनाओं के समूह में बुनियादी संस्थाएं हैं। हालांकि, ऐसे मामले हैं जब कोई एक घटना में अनुपस्थित हो सकता है।


योजना 4. किसी वस्तु के बिना सहभागिता

अक्सर ऐसी परिपाटी उन स्थितियों में विशिष्ट होती है जिसमें विषय अपनी आंतरिक स्थिति में बदलाव की सूचना देता है - अर्थात, वह विषय और वस्तु की भूमिका में एक साथ कार्य करता है। उदाहरण के लिए, यह इंटरैक्शन वर्कस्टेशन पर कॉन्फ़िगरेशन परिवर्तन या मैलवेयर डिटेक्शन घटनाओं में देखा जा सकता है। लेकिन यह जानकारी खुद विषय द्वारा दर्ज नहीं की जाती है, लेकिन एक केंद्रीकृत प्रबंधन प्रणाली द्वारा और उसकी पत्रिका में संग्रहीत की जाती है।

उदाहरण दिखाता है कि कैसे Symantec प्रबंधन सर्वर कैप्चर करता है कि Symantec समापन बिंदु सुरक्षा एजेंट जो इसे प्रबंधित करता है उसने अपने होस्ट पर एक दुर्भावनापूर्ण फ़ाइल का पता लगाया है।



यहां:
30.0.0.1 - स्रोत (सिमेंटेक प्रबंधन सर्वर),
10.0.0.1 - विषय (सिमेंटेक समापन बिंदु सुरक्षा एजेंट)।


योजना 5. स्रोत में वस्तु और वस्तु की भूमिका का संयोजन

अंतिम अध: पतन बातचीत योजना एक स्थिति के लिए विशिष्ट होती है जब एक स्रोत से इवेंट्स को इसकी आंतरिक स्थिति में परिवर्तन की सूचना देने वाला एक स्रोत होता है: उदाहरण के लिए, किसी डिवाइस या सॉफ़्टवेयर को पुन: कॉन्फ़िगर करना, नेटवर्क पोर्ट को सक्षम या अक्षम करना। ऐसी योजना में स्रोत की भूमिका विषय और वस्तु की भूमिका से मेल खाती है। पिछली योजना के विपरीत, यहां पर इवेंट्स सीधे तौर पर कोलम्बिया में आते हैं।

इस उदाहरण में, एक सिस्को IOS- आधारित स्विच रिपोर्ट करता है कि इसके इंटरफ़ेस ने यूपी स्थिति को बदल दिया है।



यहाँ 30.0.0.1 स्रोत (स्विच) है।

आवेदन स्तर

इस स्तर पर, पहले से ही ज्ञात संस्थाओं की बातचीत होती है: विषय, वस्तु। हालाँकि, स्रोत और ट्रांसमीटर के बारे में सभी जानकारी सीधे नेटवर्क स्तर पर रहती है और यह आवेदन स्तर पर परिलक्षित नहीं होती है।

सभी प्रकार की घटनाओं में से अधिकांश नेटवर्क स्तर और अनुप्रयोग स्तर पर एक साथ सहभागिता को शामिल करते हैं। हालाँकि, हम ध्यान दें कि एप्लिकेशन सॉफ़्टवेयर द्वारा सीधे ईवेंट उत्पन्न किए जाते हैं, उदाहरण के लिए, 1C: एंटरप्राइज़, Microsoft SQL सर्वर या Oracle डेटाबेस, विशेष रूप से एप्लिकेशन-स्तरीय इंटरैक्शन शामिल कर सकते हैं।

इसके अतिरिक्त, एप्लिकेशन स्तर पर एक अतिरिक्त संसाधन इकाई दिखाई देती है।

एक संसाधन एक मध्यवर्ती इकाई है जिसके माध्यम से विषय प्रत्यक्ष बातचीत के बिना वस्तु पर प्रभाव डालते हैं। उदाहरण के लिए, एलेक्स को बॉब के लिए MyFile तक पहुंचने के अधिकार प्रदान करना। यहां एलेक्स सब्जेक्ट है, बॉब द ऑब्जेक्ट है, मायफाइल रिसोर्स है। कृपया ध्यान दें कि इस उदाहरण में, एलेक्स सीधे बॉब के साथ बातचीत नहीं करता है।

महत्वपूर्ण : अनुप्रयोग स्तर पर होने वाली घटनाओं में विषय और वस्तु दोनों के अतिरिक्त पैरामीटर हो सकते हैं, साथ ही संसाधन भी। उदाहरण के लिए, "फ़ाइल" के रूप में इस तरह के एक संसाधन के अतिरिक्त पैरामीटर वह निर्देशिका हो सकते हैं जिसमें यह स्थित है, या इसका आकार।
इस मामले में, विषय, वस्तु और संसाधन नाम या विशिष्ट पहचानकर्ता द्वारा पहचाने जाते हैं: डेटाबेस में ईमेल पता, फ़ाइल नाम, निर्देशिका नाम, तालिका का नाम।

एप्लिकेशन टियर के लिए विशिष्ट अतिरिक्त इंटरैक्शन पैटर्न पर विचार करें।


चित्र 6. संसाधन सहभागिता

इस आरेख में, विषय अप्रत्यक्ष रूप से एक मध्यवर्ती संसाधन के माध्यम से वस्तु पर कार्य करता है। एक नियम के रूप में, इस तरह की योजना के साथ घटनाएँ डेटाबेस ऑडिट लॉग में या ओएस स्तर पर फ़ाइलों और निर्देशिकाओं के एक्सेस अधिकारों के साथ काम करते समय स्पष्ट रूप से दिखाई देती हैं।

उदाहरण ओरेकल डेटाबेस के ऑडिट डेटाबेस से एक प्रविष्टि दिखाता है। यह एक उपयोगकर्ता से एक भूमिका को रद्द करने की प्रक्रिया को ठीक करता है।



यहां:
"ऐलेक्स" - विषय (उपयोगकर्ता नाम जो भूमिका वापस लेता है),
"बॉब" - ऑब्जेक्ट (उपयोगकर्ता का नाम जिसे निरस्त किया जा रहा है),
" रोल " - संसाधन (निरस्त भूमिका का नाम)।


आरेख 7. कई संसाधनों के साथ सहभागिता

आवेदन स्तर पर, साथ ही साथ नेटवर्क स्तर पर, इस प्रकार के आयोजन होते हैं जिसमें विषय कई संसाधनों के साथ तुरंत ऑब्जेक्ट के साथ इंटरैक्ट करता है। यह बहुत ही दुर्लभ है, लेकिन कई बार ऐसा होता है कि वस्तुओं की संख्या भी एक से अधिक होती है। इस प्रकार की घटनाएँ थोक संचालन को ठीक करते समय दिखाई देती हैं। उदाहरण के लिए, एक उपयोगकर्ता को कई फाइलों तक पहुंच प्रदान करना या नीति में शामिल नियमों के सेट को बदलना।

उदाहरण में, वर्चुअल वातावरण की सुरक्षा के लिए समाधान vGate Security Code सेट करने के लिए नई नीतियों को शामिल करता है।



यहां:
"व्यवस्थापक @ VGATE" - विषय (नीतियों के सेट को बदलने वाले उपयोगकर्ता का नाम)
"आधार" - वस्तु (नीतियों का सेट)
"फ़ाइल सिस्टम की अखंडता को स्थापित और बनाए रखना", "एसएनएमपी एजेंट की सेटिंग्स की जाँच करना", "वीएमवेयर टूल्स की स्वचालित स्थापना को अक्षम करना" - संसाधन (अतिरिक्त नीतियों के नाम)

विषय और वस्तु के बीच बातचीत के चैनल का मॉडल

सभी योजनाओं पर, हमने विभिन्न संस्थाओं (विषयों, वस्तुओं, संसाधनों, स्रोतों, ट्रांसमीटरों) को प्रतिष्ठित किया और उनके साथ बातचीत के तथाकथित चैनल का उल्लेख किया। आइए हम "दुनिया" के बड़े मॉडल के penultimate घटक पर अधिक विस्तार से ध्यान दें, जो कि CRM को सबजेक्ट और ऑब्जेक्ट के बीच इंटरेक्शन के चैनल के मॉडल पर काम करना चाहिए। याद रखें कि अंतिम घटक इंटरैक्शन का संदर्भ है (अगला लेख इसके लिए समर्पित होगा)।

तो, दो संस्थाएं आपस में बातचीत कर रही हैं। इस इंटरैक्शन के हिस्से के रूप में, डेटा को एक इकाई से दूसरे में स्थानांतरित किया जाता है। ये डेटा, फ़ाइलों या प्रबंधन आदेशों के साथ नेटवर्क पैकेट हो सकते हैं। इस मामले में, गठित चैनल को "पाइप" के रूप में दर्शाया जा सकता है जिसके साथ डेटा और कमांड का एक निर्देशित प्रवाह होता है। ऐसा मॉडल नेटवर्क स्तर पर स्पष्ट रूप से दिखाई देता है, लेकिन आवेदन स्तर पर कम स्पष्ट होता है ( उदाहरण देखें)।


डेटा चैनल मॉडल

इस तरह के मॉडल के आधार पर, प्रत्येक घटना जो कि CRM को प्राप्त होती है, उसमें वर्णन करने वाली जानकारी हो सकती है:

• चैनल के पैरामीटर स्वयं "पाइप" हैं,
• डेटा इस "पाइप" के माध्यम से प्रेषित होता है।

आमतौर पर, एक चैनल को सत्र पहचानकर्ता, डेटा ट्रांसफर प्रोटोकॉल, चैनल स्थापना समय, पूरा होने की अवधि, अवधि जैसे मापदंडों द्वारा वर्णित किया जाता है। घटनाओं में डेटा एन्क्रिप्शन एल्गोरिदम द्वारा उपयोग किए गए प्रारूप की विशेषता है, संचरित पैकेट की संख्या, बाइट्स की संख्या संचरित।

एक घटना के उदाहरण पर विचार करें जिसमें इंटरैक्शन चैनल के बारे में डेटा है। यहां सिस्को आइडेंटिटी सर्विसेज इंजन (ISE) की एक घटना है, जो एक्सेस की पहचान और नियंत्रण के लिए एक प्रक्रिया प्रबंधन प्रणाली है, जो उपयोगकर्ता के नेटवर्क सत्र को लेखांकन प्रक्रिया (लेखा) के हिस्से के रूप में रिकॉर्ड करती है।




यहां:
"Acct-Session-Id = 1A346216", "Acct-Session-Time = 50", "Service-Type = Framed", "Framed-Protocol = PPP" - संचार चैनल पैरामीटर,
"Acct-Input-Octets = 43525", "Acct-Output-Octets = 122215", "Acct-Input-Packets = 234", "Acct-Output-Packets = 466" - चैनल पर प्रसारित डेटा के पैरामीटर।

एक घटना में संस्थाओं और चैनल की बातचीत के मॉडल का एक उदाहरण

इसलिए, हमने नेटवर्क स्तर और अनुप्रयोगों के साथ-साथ इंटरैक्शन चैनल के मॉडल की इंटरेक्शन योजनाओं की जांच की। अगला, हम एक उदाहरण दिखाते हैं कि कैसे एक घटना में विभिन्न स्तरों की अंतःक्रियात्मक योजनाओं को संयोजित किया जाता है और चैनल मॉडल के बारे में जानकारी का उपयोग किया जाता है।

यहां हम फ़ायरवॉल से एक घटना देखते हैं - सिस्को एडेप्टिव सिक्योरिटी एप्लायंसेस (एएसए), जिसमें एक आउटगोइंग टीसीपी कनेक्शन तय किया गया है।



उदाहरण स्पष्ट रूप से दिखाता है कि एक घटना के भीतर नेटवर्क स्तर और अनुप्रयोग स्तर की इकाइयाँ हैं। नेटवर्क स्तर पर, विषय और वस्तु के बीच बातचीत की एक योजना, जो स्रोत द्वारा तय की गई है। कोई ट्रांसमीटर नहीं है।

यहां:
30.0.0.1 - स्रोत (सिस्को एएसए),
10.0.0.1 - विषय (कनेक्ट करने वाले का पता),
20.0.0.1 - एक ऑब्जेक्ट (जिस से वे कनेक्ट होते हैं उसका पता)।

आवेदन स्तर पर, एक सरल योजना जिसमें केवल विषय और वस्तु मौजूद है:
"फ्लेक्स" - विषय (उपयोगकर्ता नाम जो जोड़ता है),
"बॉब" - ऑब्जेक्ट (उपयोगकर्ता का नाम जिससे वे कनेक्ट होते हैं)।

इस घटना में भी डेटा ट्रांसमिशन चैनल का विवरण है, लेकिन डेटा का कोई विवरण नहीं है:
"टीसीपी" वह प्रोटोकॉल है जिसके आधार पर चैनल बनाया गया था,
"136247" चैनल सत्र पहचानकर्ता है।

निष्कर्ष

हमारे द्वारा बताई गई विशिष्ट अंतःक्रियात्मक योजनाएँ कैसे मदद कर सकती हैं?

• सबसे पहले , सहसंबंध नियम लिखना और घटनाओं का विश्लेषण करते समय, एक विशेषज्ञ को यह समझना चाहिए कि प्रत्येक घटना के भीतर कौन सी संस्थाएं मौजूद हैं जो कि कोलम्बिया में आती हैं। इसके लिए, घटनाओं के सामान्यीकरण के स्तर पर, संस्थाओं को स्पष्ट रूप से अलग करने के लिए यह आवश्यक है: विषय, वस्तु, संसाधन, स्रोत और ट्रांसमीटर।
• दूसरे , सामान्यीकरण के दौरान यह ध्यान रखना महत्वपूर्ण है कि इस घटना में नेटवर्क स्तर और अनुप्रयोग स्तर की बातचीत के बारे में जानकारी शामिल है। ये दोनों इंटरैक्शन एक साथ एक घटना में मौजूद हो सकते हैं।
• तीसरा , इंटरैक्शन अपने आप में एक समग्र संरचना है जिसमें गठित चैनल के बारे में और इस चैनल के माध्यम से प्रसारित डेटा के बारे में जानकारी है।

इस प्रकार, "दुनिया" का मॉडल, जो कि कोलम्बिया में बनाया गया है और इसे खेतों के एक समूह (एक योजना) द्वारा दर्शाया गया है, में वर्णन करने के लिए अनुभाग होने चाहिए:

1. नेटवर्क स्तर पर :
   
   • विषय;
   • वस्तु;
   • स्रोत;
   • एक ट्रांसमीटर;
   • बातचीत का चैनल;
   • चैनल पर प्रसारित डेटा।
   
   
2. आवेदन स्तर पर :
   
   • विषय;
   • किसी वस्तु या वस्तुओं की बहुलता;
   • एक संसाधन या कई संसाधन।
   
   

प्रत्येक इकाई के लिए, गुणों का एक सेट परिभाषित करना आवश्यक है जो विशिष्ट रूप से इसे पहचानते हैं। नेटवर्क स्तर पर, संस्थाओं की पहचान आईपी, मैक या एफक्यूडीएन द्वारा की जाती है। आवेदन स्तर पर, नाम या आईडी द्वारा। स्कीमा के पास इन पहचानकर्ताओं को संग्रहीत करने के लिए समर्पित क्षेत्र होना चाहिए।

पतित अंतःक्रियात्मक योजनाएँ हैं जिनमें एक इकाई कई भूमिकाओं को एक साथ जोड़ सकती है। ऐसी घटनाओं को सामान्य करते समय, स्कीम के सभी क्षेत्रों को भरने के लिए नियम को स्पष्ट रूप से परिभाषित करना आवश्यक है जो संस्थाओं के पूरे सेट के लिए जिम्मेदार हैं। भविष्य में, यह सहसंबंध के नियमों को बातचीत का हिस्सा याद नहीं करने में मदद करेगा।

आइए हम समझाते हैं: स्रोत में ऑब्जेक्ट और ऑब्जेक्ट की भूमिका के संयोजन का मामला लें। , , , , .

, . , .

, , :


,

— «» SIEM , . , , Alex , — , , , . , . , - , , SIEM .

, , . , , .

---

:

SIEM: « ». 1: ?

SIEM: « ». 2. «» ( )

SIEM: « ». 3.1.

SIEM: « ». 3.2.

SIEM: « ». 4.

SIEM: « ». 5.