क्या इसका कारण यह हो सकता है कि सभी इवेंट्स, जो कि CRM पर पहुँच रहे हैं, और इसके लिए कौन सा वर्गीकरण सिस्टम इस्तेमाल करें? सहसंबंध नियमों और घटना खोज में श्रेणियां कैसे लागू करें? हम एक नए लेख में इन और अन्य मुद्दों का विश्लेषण करेंगे, जो कि साइलेज सिस्टम के लिए आउट-ऑफ-द-बॉक्स सहसंबंध नियम बनाने के लिए कार्यप्रणाली के लिए समर्पित है।


चित्र: वर्कट्रूपर

यह लेख मिखाइल मैक्सिमोव और अलेक्जेंडर कोवटन के साथ सह-लिखा गया था।

हम आपको चेतावनी देते हैं: लेख बड़ा है, क्योंकि यह वर्गीकरण प्रणाली और तर्क की हमारी श्रृंखलाओं के निर्माण का वर्णन करता है। यदि आप इसे इसकी संपूर्णता में पढ़ने के लिए बहुत आलसी हैं, तो आप तुरंत निष्कर्ष के साथ अनुभाग पर जा सकते हैं - वहां हमने लेख में चर्चा की गई और परिणामों को संक्षेप में प्रस्तुत किया।

पिछले लेख में, हमने पाया कि घटनाओं में बहुत सारी महत्वपूर्ण जानकारी होती है जो सामान्यीकरण प्रक्रिया में खो नहीं सकती है। इंटरैक्शन स्कीम का विवरण इस तरह के डेटा को संदर्भित करता है। बातचीत के प्रकारों को व्यवस्थित करने के लिए, हमने निम्नलिखित कार्य किए:

• किसी भी प्रकार की घटना में निहित मुख्य योजनाओं की पहचान की;
• निर्धारित किया जाता है कि कौन सी संस्थाएं योजनाओं में शामिल हैं;
• प्रारंभिक घटना में पाए गए सभी संस्थाओं और उन दोनों के बीच बातचीत के चैनल का वर्णन करने के लिए आवश्यक फ़ील्ड के मूल सेट का गठन किया।

विभिन्न प्रकार के सॉफ़्टवेयर और हार्डवेयर से लॉग के विश्लेषण के परिणामस्वरूप, हम संस्थाओं को भेद करने में सक्षम थे: विषय, बातचीत का उद्देश्य, स्रोत और ट्रांसमीटर।

अब आइए इन संस्थाओं की बातचीत के शब्दार्थ और घटनाओं के वर्गीकरण में इसके प्रतिबिंब के बारे में बात करते हैं। गठन और श्रेणियों के दृष्टिकोण का वर्णन करने से पहले, दो प्रश्नों का उत्तर देना आवश्यक है: घटनाओं की श्रेणियों को निर्धारित करने के लिए क्यों आवश्यक है और एक कैथीटेराइजेशन सिस्टम में क्या गुण होना चाहिए।

सबसे पहले, आइए निर्धारित करें कि घटनाओं को क्यों वर्गीकृत किया जाना चाहिए। संक्षेप में: स्रोत के प्रकार की परवाह किए बिना, समान रूप से समान घटनाओं के साथ समान रूप से काम करने के लिए वर्गीकरण की आवश्यकता होती है। हम स्रोत के मुख्य स्रोत के प्रकारों का उल्लेख करते हैं: नेटवर्क उपकरण, ऑपरेटिंग सिस्टम, एप्लिकेशन सॉफ़्टवेयर। वाक्यांश "शब्दार्थिक समान घटनाओं के साथ उसी तरह काम करते हैं" को इस प्रकार समझा जाना चाहिए:

1. किसी भी प्रकार के स्रोत से शब्दार्थ समान घटनाओं की एक सामान्य श्रेणी होती है।
2. प्रत्येक श्रेणी की घटनाओं के लिए, योजना के क्षेत्रों में भरने के लिए स्पष्ट नियम परिभाषित किए गए हैं। इसलिए हम घटनाओं के सामान्यीकरण के स्तर पर होने वाली अराजकता से प्रभावी ढंग से लड़ते हैं और अक्सर सहसंबंध के नियमों के कई झूठे सकारात्मक होते हैं।
3. श्रेणी हैंडलिंग आपको घटना के शब्दार्थ को समझने के लिए सहसंबंध नियमों के कोड में अनावश्यक जांच से बचने की अनुमति देता है। उदाहरण के लिए, डेटा उपलब्धता के लिए कुछ फ़ील्ड्स की जांच करने की आवश्यकता नहीं है यह निर्धारित करने के लिए कि घटना उपयोगकर्ता के इनपुट का वर्णन करती है, न कि सिस्टम बैकअप की।
4. वर्गीकरण एक सामान्य शब्दावली आधार है जो सहसंबंध के नियमों को लिखने और घटनाओं की जांच करने में मदद करता है, शर्तों के एक सेट और उनके आम तौर पर स्वीकृत अर्थों के साथ काम करने के लिए। उदाहरण के लिए, यह स्पष्ट रूप से समझने के लिए कि नेटवर्क कॉन्फ़िगरेशन को बदलना और सॉफ़्टवेयर कॉन्फ़िगरेशन को बदलना पूरी तरह से विभिन्न प्रकार की घटनाएं हैं जिनके पूरी तरह से अलग अर्थ हैं।

यह सब प्राप्त करने के लिए, आपको घटनाओं को वर्गीकृत करने के लिए एक प्रणाली बनाने की जरूरत है और सहसंबंध के नियमों को लिखते समय, घटनाओं की जांच करते हुए, और ऐसे मामलों में जहां एक से अधिक व्यक्ति एक संगठन में काम करते हैं, जो एक सीएमजी प्रणाली के साथ काम करता है।

वर्गीकरण प्रणाली के लिए आवश्यकताओं के अनुसार, इसे चार गुणों को पूरा करना चाहिए:

1. असंदिग्धता । एक और एक ही घटना को एक और केवल एक श्रेणी को सौंपा जाना चाहिए।
2. संकुचितता । श्रेणियों की कुल संख्या ऐसी होनी चाहिए कि उन्हें एक विशेषज्ञ द्वारा आसानी से याद किया जा सके।
3. पदानुक्रम । सिस्टम को एक पदानुक्रमित योजना पर बनाया जाना चाहिए और कई स्तरों से मिलकर बना होना चाहिए, क्योंकि यह याद रखने की सबसे सरल संरचना है। इसके अलावा, पदानुक्रम को "सामान्य से विशेष तक" के सिद्धांत पर बनाया जाना चाहिए: पहले स्तर पर अधिक "सामान्य" श्रेणियां हैं, और अंतिम - अत्यधिक विशिष्ट श्रेणियों में।
4. व्यापकता । जिन सिद्धांतों द्वारा इसे बनाया गया है, उन्हें मुख्य दृष्टिकोण को बदलने के बिना, अलग-अलग श्रेणियों की आवश्यकता होने वाली नई प्रकार की घटनाओं के प्रकट होने पर वर्गीकरण प्रणाली को अपडेट करने की अनुमति देनी चाहिए।

चलो वर्गीकरण प्रणाली के विवरण पर आगे बढ़ते हैं: हम दो बड़े डोमेन के साथ शुरू करेंगे, जिसमें इवेंट से जुड़े स्रोत शामिल हैं और जिसमें वे इवेंट उत्पन्न करते हैं।

स्रोत और घटना डोमेन

सहकर्मियों की तैनाती अक्सर उन स्रोतों को जोड़ने से शुरू होती है जो विषम घटनाओं को उत्पन्न करते हैं। इन घटनाओं की एक महत्वपूर्ण संपत्ति यह है कि वे स्वयं स्रोतों की कार्यक्षमता को दर्शाते हैं।

दो वैश्विक डोमेन को प्रतिष्ठित किया जा सकता है:

1. आईटी स्रोत - सिस्टम-वाइड एप्लिकेशन सॉफ़्टवेयर और हार्डवेयर जो आईटी इवेंट उत्पन्न करते हैं।
2. आईबी के स्रोत - कंपनी की सूचना सुरक्षा के लिए विशेष सॉफ्टवेयर और हार्डवेयर जो आईबी इवेंट उत्पन्न करता है।

इन डोमेन की घटनाओं के बीच मूलभूत अंतर पर विचार करें।

आईटी स्रोत सुरक्षा के स्तर के आकलन के बिना, स्वचालित प्रणाली में किसी भी घटना की घटना की रिपोर्ट करते हैं - "अच्छा" या "बुरा"। उदाहरण: एक डिवाइस द्वारा एक नया कॉन्फ़िगरेशन लागू करना, डेटा का बैकअप लेना, एक नेटवर्क पर एक फ़ाइल को स्थानांतरित करना, एक स्विच पर नेटवर्क पोर्ट को अक्षम करना।

आईटी स्रोतों के विपरीत, आईएस के स्रोतों में अतिरिक्त बाहरी ज्ञान है कि सुरक्षा के दृष्टिकोण से कुछ घटनाओं की व्याख्या कैसे करें - राजनीति। इस प्रकार, नीतियों का उपयोग सूचना सुरक्षा स्रोतों को निर्णय लेने की अनुमति देता है - चाहे देखी गई घटना "अच्छी" या "खराब" हो - और जनरेट की गई सूचना सुरक्षा घटनाओं के माध्यम से सिएम में इसकी सूचना दें।

निम्नलिखित उदाहरण पर विचार करें: इसलिए, सामान्य रूप से, एक अगली पीढ़ी के स्तर फ़ायरवॉल नेटवर्क पर एक फ़ाइल स्थानांतरण घटना को "बुरा" मानता है: यह पता चलता है कि फ़ाइल एक वर्ड दस्तावेज़ है जिसे कंपनी के आंतरिक नेटवर्क से एफ़टीपी के माध्यम से बाहरी सर्वर में स्थानांतरित किया जाता है, और कॉन्फ़िगर की गई नीति ऐसे निषिद्ध है सूचनात्मक सहभागिता। नेटवर्क पोर्ट को अक्षम करने को प्रशासकों की कार्रवाई को नियंत्रित करने के निर्णय द्वारा पहुंच अधिकारों के उल्लंघन के रूप में व्याख्या की जाती है: चूंकि पोर्ट का डिस्कनेक्ट उपयोगकर्ता एलेक्स द्वारा किया जाता है, जिनके पास इस पर अधिकार नहीं है, और कॉन्फ़िगर किए गए सुरक्षा नीति के अनुसार, अपने गैर-कार्य घंटों के दौरान होता है।

हालांकि, यह कहना पूरी तरह से सत्य नहीं है कि सूचना सुरक्षा स्रोत केवल सूचना सुरक्षा घटनाओं को उत्पन्न करते हैं। आईबी के स्रोत आईबी और आईटी इवेंट उत्पन्न करते हैं। IS स्रोत आईटी घटनाओं को एक नियम के रूप में उत्पन्न करते हैं, जब वे अपने राज्य में परिवर्तन की रिपोर्ट करते हैं: कॉन्फ़िगरेशन परिवर्तन, क्लस्टर नोड्स स्विच करना और बैकअप। सामान्य तौर पर, इन घटनाओं को क्रियाओं की आंतरिक लेखापरीक्षा और स्रोत की स्थिति के लिए जिम्मेदार ठहराया जा सकता है। उसी समय, जब गतिविधि सुरक्षा नीतियों के अनुप्रयोग की चिंता करती है, वही स्रोत पहले से ही सूचना सुरक्षा घटनाओं को उत्पन्न करता है, जिससे उनके आवेदन के परिणामों की रिपोर्टिंग होती है।

हमने जानबूझकर दो डोमेन के बीच के अंतर को इतने विस्तार से वर्णित किया है। प्रत्येक डोमेन की घटनाओं का अपना अर्थ होता है और कभी-कभी, मौलिक रूप से एक दूसरे से भिन्न हो सकते हैं। इन अंतरों के कारण दो अलग-अलग घटना वर्गीकरण प्रणालियों का अस्तित्व हुआ, जो आईटी घटनाओं और सूचना सुरक्षा घटनाओं के लिए जिम्मेदार थीं।


इवेंट डोमेन

एक और दुर्लभ प्रकार के स्रोत हैं जो एक अलग, तीसरे डोमेन - हमलों के डोमेन की घटनाओं को उत्पन्न करते हैं। इस डोमेन की घटनाओं को एंडपॉइंट सुरक्षा स्तर (एंडपॉइंट प्रोटेक्शन), अन्य अधीनस्थ सर्गेस (यदि उन्हें पदानुक्रम में व्यवस्थित किया जाता है), या आईटी के विश्लेषण के आधार पर निर्धारित करने में सक्षम अन्य समाधान, (या) सूचना सुरक्षा घटनाओं, कि एक स्वचालित प्रणाली या से प्राप्त किया जा सकता है। इसका एक हिस्सा हैकर हमले के अधीन है।

लेखों की इस श्रृंखला के भाग के रूप में, हम हमलों और सूचना सुरक्षा घटनाओं को एंड-टू-एंड डिफेंस साधनों से अलग करते समय निम्नलिखित अवधारणाओं का उपयोग करेंगे:

1. एक कंपनी के भीतर एक विशिष्ट लक्ष्य को प्राप्त करने के उद्देश्य से एक हमलावर द्वारा कार्रवाई का एक दुर्भावनापूर्ण अनुक्रम है।
2. एक हमले में एक या अधिक घटनाएँ शामिल हो सकती हैं - सूचना सुरक्षा घटनाओं और / या आईटी घटनाओं की एक श्रृंखला जो सूचना सुरक्षा नीतियों का उल्लंघन है।

उदाहरणों को वर्गीकृत करने के लिए कई दृष्टिकोण हैं, उदाहरण के लिए, MITER Adversarial Tactics, Techniques की बढ़ती लोकप्रियता और सामान्य ज्ञान (ATT & CK) , लेकिन हम अपने लेखों में इस डोमेन पर विचार नहीं करेंगे।

आईटी इवेंट वर्गीकरण प्रणाली

सिस्टम-वाइड एप्लिकेशन सॉफ़्टवेयर और हार्डवेयर, जिसे हम घटनाओं के आईटी-स्रोतों के लिए विशेषता देते हैं, को इसके कार्यों को पूरा करने के लिए कुछ प्रक्रियाओं को लागू करने या समर्थन करने के लिए डिज़ाइन किया गया है। अपने निर्णय के दौरान, जो तथ्य किए जाते हैं, वे अलग-अलग आईटी घटनाओं द्वारा दर्ज किए जाते हैं। उन्हें उस प्रक्रिया के लिए जिम्मेदार ठहराया जा सकता है जिसमें उनमें से प्रत्येक हुआ।

आईटी स्रोतों में होने वाली प्रक्रियाओं को अलग करके, हम वर्गीकरण के पहले स्तर को बना सकते हैं (जिसे हम बाद में संदर्भ कहेंगे)। यह एक शब्दार्थ क्षेत्र को परिभाषित करेगा जो आईटी घटनाओं की सही व्याख्या करेगा।

घटनाओं का विश्लेषण करते समय, यह स्पष्ट हो जाता है कि उनमें से प्रत्येक पहले से परिभाषित प्रक्रिया के ढांचे में कई संस्थाओं की बातचीत का वर्णन करता है। बातचीत के उद्देश्य के रूप में इन संस्थाओं में से एक के रूप में चयन करते हुए, हम वर्गीकरण के दूसरे स्तर का निर्माण करते हैं।

एक विशिष्ट प्रक्रिया के ढांचे के भीतर घटना में मुख्य इकाई का व्यवहार आईटी घटनाओं के वर्गीकरण के तीसरे स्तर की भूमिका निभाएगा।
कुल, आउटपुट में हमें निम्न स्तर मिले:

1. वह प्रसंग (प्रक्रिया) जिसके भीतर घटना घटी।
2. घटना द्वारा वर्णित वस्तु (मुख्य इकाई)।
3. दिए गए संदर्भ के भीतर वस्तु के व्यवहार की प्रकृति।

इस प्रकार, हमने आईटी-घटनाओं के वर्गीकरण के तीन स्तर बनाए हैं, जिससे आप आईटी-अवसंरचना में विभिन्न प्रकार के स्रोतों से आसानी से समान घटनाओं पर काम कर सकते हैं।

परिणामी वर्गीकरण प्रणाली की विशिष्टता को सुनिश्चित करने के लिए, हम प्रत्येक स्तर के अलग डोमेन बनाएंगे।


आईटी घटनाओं के लिए वर्गीकरण प्रणाली। पहला स्तर।

आईटी सिस्टम के साथ काम करने के लिए एक समान प्रक्रिया दृष्टिकोण का उपयोग ITSM (आईटी सेवा प्रबंधन, आईटी सेवा प्रबंधन) में भी किया जाता है, जो आईटी सेवाओं में होने वाली कुछ बुनियादी प्रक्रियाओं को नियंत्रित करता है। घटनाओं के आईटी स्रोतों पर विचार करते समय, संभव प्रक्रियाओं, या दूसरे शब्दों, संदर्भों में, हम इस दृष्टिकोण पर भरोसा करेंगे।

हम इस स्तर की मुख्य प्रक्रियाओं को एकल करते हैं:

• व्यावसायिक निरंतरता प्रबंधन - सिस्टम के निरंतर संचालन को बनाए रखने के लिए संचालन से संबंधित घटनाएं: वर्चुअल मशीन, डेटाबेस और स्टोरेज, प्रतिकृति और माइग्रेशन का बैकअप और पुनर्स्थापना संचालन;
• उपयोगकर्ता और अधिकार प्रबंधन (उपयोगकर्ता और अधिकार प्रबंधन) - समूहों और उपयोगकर्ता खातों के साथ काम करने से संबंधित घटनाएं;
• एक्सेस प्रबंधन - प्रमाणीकरण, प्राधिकरण, लेखा (एएए) की प्रक्रियाओं और सिस्टम तक पहुंचने के किसी भी प्रयास से जुड़ी घटनाएं;
• उपलब्धता प्रबंधन - इकाई पहुंच नियंत्रण प्रणालियों से सूचनात्मक संदेशों सहित, शुरू करने, रोकने, चालू करने, बंद करने, संस्थाओं को बंद करने के लिए किसी भी कार्रवाई से जुड़ी घटनाएं;
• परिनियोजन प्रबंधन (ईवेंट मैनेजमेंट) - बाहर से सिस्टम में नई संस्थाओं की शुरुआत के साथ-साथ इस प्रणाली से निकाले जाने के साथ जुड़ी घटनाएं;
• नेटवर्क इंटरेक्शन प्रबंधन - नेटवर्क के माध्यम से डेटा ट्रांसमिशन से संबंधित घटनाएं, जिसमें कनेक्शन की स्थापना, उद्घाटन और समापन सुरंग शामिल हैं;
• नेटवर्क प्रबंधन - नेटवर्क स्टैक से संबंधित घटनाएं: नेटवर्क फ़िल्टरिंग के लिए नीतियों और नियमों के साथ किसी भी कार्रवाई सहित;
• वर्चुअल इन्फ्रास्ट्रक्चर मैनेजमेंट (वर्चुअल इन्फ्रास्ट्रक्चर मैनेजमेंट) - वर्चुअलाइजेशन इन्फ्रास्ट्रक्चर से संबंधित घटनाएं;
• डेटाबेस प्रबंधन - डीबीएमएस के कामकाज और इसमें उपयोगकर्ताओं और प्रक्रियाओं के कार्यों से संबंधित घटनाएं;
• सिस्टम प्रबंधन - ऑपरेटिंग सिस्टम और सॉफ्टवेयर के कामकाज से संबंधित घटनाएं जो ऑपरेटिंग सिस्टम का हिस्सा हैं;
• सामान्य अनुप्रयोग प्रबंधन (अन्य अनुप्रयोगों का प्रबंधन) - उपयोगकर्ता द्वारा स्थापित अन्य अनुप्रयोगों के कामकाज से जुड़ी घटनाएं और ओएस का हिस्सा नहीं।

यह समझना महत्वपूर्ण है कि एक ही आईटी स्रोत पर विभिन्न प्रक्रियाएं हो सकती हैं। इसलिए, उदाहरण के लिए, यूनिक्स पर तैनात डीएचसीपी सेवा में, दोनों नेटवर्क प्रबंधन प्रक्रिया (उदाहरण के लिए, नोड्स पर एक आईपी एड्रेस अपडेट ईवेंट), और सिस्टम प्रबंधन प्रक्रिया, एक सर्विस रिस्टार्ट इवेंट या कॉन्फ़िगरेशन फ़ाइल पार्सिंग एरर उत्पन्न कर सकते हैं।

आईटी घटनाओं (संस्थाओं) के वर्गीकरण का दूसरा स्तर

आईबी घटना वर्गीकरण प्रणाली। पहला और दूसरा स्तर।

दूसरा स्तर घटना में वर्णित बातचीत के उद्देश्य को दर्शाता है। ध्यान दें कि एक घटना कई संस्थाओं का वर्णन कर सकती है। उदाहरण के लिए, निम्न घटना को लें: "उपयोगकर्ता ने व्यक्तिगत प्रमाणपत्र जारी करने के लिए प्रमाणपत्र सर्वर को अनुरोध भेजा है।" इस तरह की घटनाओं में, एक, बुनियादी, इकाई को बातचीत की वस्तु के रूप में चुनना आवश्यक है, जो घटना में केंद्रीय है। यहां हम यह निर्धारित कर सकते हैं कि मुख्य इकाई एक "प्रमाणन सर्वर के लिए अनुरोध" है, क्योंकि उपयोगकर्ता स्पष्ट रूप से बातचीत का विषय है, और व्यक्तिगत प्रमाण पत्र विषय और वस्तु की बातचीत का परिणाम है। घटनाओं की एक बड़ी सरणी को एकत्रित करके और उनका विश्लेषण करके, हम समूहों के समूहों को अलग कर सकते हैं:

• पहचान : उपयोगकर्ता खाता, उपयोगकर्ता समूह, प्रमाण पत्र - संस्थाएं जो आपको उपयोगकर्ता या सिस्टम की पहचान करने की अनुमति देती हैं;
• निष्पादन योग्य : अनुप्रयोग, निष्पादन योग्य मॉड्यूल - सब कुछ जो ऑपरेटिंग सिस्टम द्वारा लॉन्च किया जा सकता है और इसमें एक निश्चित एल्गोरिथ्म शामिल है;
• नियम और नीतियाँ : विंडोज OC समूह नीतियों सहित किसी भी नियम, पहुँच नीतियां;
• OS में सूचना भंडारण का सार : एक फ़ाइल, एक रजिस्ट्री कुंजी, निर्देशिकाओं के समूह का एक उद्देश्य - सब कुछ जो आवेदन स्तर पर जानकारी के भंडारण के रूप में कार्य कर सकता है;
• नेटवर्क कनेक्शन : सत्र, प्रवाह, सुरंग - ऐसी इकाइयाँ जो डेटा के एक प्रवाह को एक नोड से दूसरे तक ले जाती हैं;
• एक नोड की नेटवर्क पहचान की प्रविष्टियाँ: नेटवर्क पता, सॉकेट, सीधे नेटवर्क नोड ही - उन सभी संस्थाओं को जो बिना किसी निगरानी प्रणाली के कर सकते हैं;
• network L5-L7 : मेल संदेश, मीडिया स्ट्रीम, वितरण सूची - ऐसी संस्थाएँ जो OS5 मॉडल के L5-L7 स्तरों पर सूचना प्रसारित करती हैं;
• सेवा नेटवर्क : DNS ज़ोन, राउटिंग टेबल। ये इकाइयाँ अंत उपयोगकर्ता के लिए पेलोड लिए बिना, नेटवर्क के सही कामकाज के लिए जिम्मेदार हैं;
• दोष-सहिष्णु विन्यास की इकाइयाँ : RAID, क्लस्टर नेटवर्क तत्व;
• वर्चुअलाइजेशन सिस्टम का सार : वर्चुअल मशीन, वर्चुअल हार्ड डिस्क, वर्चुअल मशीनों का स्नैपशॉट;
• डेटाबेस संस्थाएँ : टेबल, डेटाबेस, डीबीएमएस;
• भौतिक उपकरण : प्लग-इन डिवाइस, एसीएस तत्व (टर्नस्टाइल, आईपी कैमरा);
• अन्य OS इकाइयाँ : प्रबंधन कंसोल, सिस्टम कंसोल, सिस्टम लॉग में एक कमांड - वे ओएस इकाइयाँ जो अन्य श्रेणियों में फिट नहीं हुईं;
• अन्य नेटवर्क इकाइयाँ : नेटवर्क इंटरफ़ेस, सार्वजनिक नेटवर्क संसाधन - नेटवर्क सबसिस्टम की वे इकाइयाँ जो अन्य श्रेणियों में फिट नहीं थीं।

ये समूह व्यापक होने का दावा नहीं करते हैं, लेकिन दूसरे स्तर की श्रेणियों को असाइन करने के लिए मुख्य कार्यों को कवर करते हैं। यदि आवश्यक हो, तो प्रतिनिधित्व किए गए समूह विस्तार कर सकते हैं।

आईटी-घटनाओं के वर्गीकरण का तीसरा स्तर (सहभागिता की प्रकृति)

आईटी घटनाओं के लिए वर्गीकरण प्रणाली। पहला, दूसरा और तीसरा स्तर।

एक विशिष्ट प्रक्रिया के भीतर, मुख्य इकाई का व्यवहार निम्न मूल्यों तक कम किया जा सकता है:

• नियंत्रण - सहभागिता जो इकाई के कामकाज को प्रभावित करती है;
• संचार - संस्थाओं के बीच संचार;
• हेरफेर - अपने डेटा के हेरफेर सहित इकाई के साथ काम करने के लिए कार्रवाई;
• एम्बेडिंग - इंटरैक्शन, जिसके परिणामस्वरूप एक नई इकाई को संदर्भ में जोड़ा जाता है (या इकाई को संदर्भ से हटा दिया जाता है);
• राज्य - एक इकाई की स्थिति में परिवर्तन के बारे में सूचनात्मक घटनाएं।

अंतिम डोमेन दूसरों के बीच में खड़ा है: इसमें ऐसी घटनाएं शामिल हैं जो वास्तव में किसी भी बातचीत का वर्णन नहीं करती हैं, लेकिन इसमें राज्यों के बीच इकाई या इकाई संक्रमण के बारे में जानकारी होती है। उदाहरण के लिए, एक घटना जो केवल सिस्टम की वर्तमान स्थिति का वर्णन करती है (वर्तमान सिस्टम समय के बारे में, उत्पाद लाइसेंस की स्थिति में बदलाव के बारे में)।

घटनाएँ न केवल अंतःक्रिया का वर्णन करती हैं, बल्कि इसके परिणाम भी। यह समझना महत्वपूर्ण है कि संदर्भ, मुख्य सार, और संदर्भ के भीतर एक वस्तु का व्यवहार बातचीत के परिणाम पर निर्भर नहीं करता है। परिणाम "सफलता" और "विफलता" हो सकता है। एक घटना अपूर्ण बातचीत की चल रही प्रक्रिया का भी वर्णन कर सकती है। हम इस स्थिति को "चालू" कहेंगे।

तीन स्तरों पर आधारित डेटा सेट का गठन

प्रत्येक स्तर के प्रत्येक डोमेन के लिए, आप एक विशिष्ट डेटा सेट को चुन सकते हैं जिसमें ईवेंट हैं।

आइए हम एक घटना के एक उदाहरण का विश्लेषण करें:



इसे "नोड 10.0 से कनेक्शन 192.168.149.2 नोड से कनेक्शन काट दिया गया" के रूप में व्याख्या की जा सकती है। किसी घटना के संदर्भ को देखते हुए, आप देख सकते हैं कि यह एक नेटवर्क कनेक्शन का वर्णन करता है। तदनुसार, हम "नेटवर्क इंटरेक्शन प्रबंधन" के संदर्भ में आते हैं।

अगला, हम घटना में मुख्य इकाई का निर्धारण करते हैं। जाहिर है, घटना तीन संस्थाओं का वर्णन करती है: दो नोड्स और एक नेटवर्क कनेक्शन। उपरोक्त सिफारिशों के आधार पर, हम समझते हैं कि इस मामले में मुख्य इकाई सिर्फ एक नेटवर्क कनेक्शन है, और नोड्स सहभागिता सहभागी, एंडपॉइंट हैं जो इकाई पर कार्रवाई करते हैं। कुल मिलाकर, हमें नेटवर्क कनेक्शंस डोमेन से मुख्य इकाई मिलती है, और इकाई पर की जाने वाली कार्रवाई "संचार चैनल बंद करना" है, जिसे संचार डोमेन के लिए जिम्मेदार ठहराया जा सकता है।

हालाँकि, हमारे पास अभी भी बहुत सारे डेटा हैं जिन्हें घटना से बचाया जा सकता है। तो, दूसरे स्तर "नेटवर्क कनेक्शन" की संस्थाओं का एक सेट सामान्य गुण है:

• कनेक्शन आरंभकर्ता (पता + पोर्ट + इंटरफ़ेस);
• कनेक्शन का रिसीवर (लक्ष्य) (पता + पोर्ट + इंटरफ़ेस);
• प्रोटोकॉल जिस पर कनेक्शन बनाया गया है।

इसके अलावा, उदाहरण के लिए, संचार डोमेन से संबंधित श्रेणीकरण "कनेक्शन को बंद करना" के तीसरे स्तर की कार्रवाई में निम्नलिखित डेटा शामिल हो सकते हैं, इस बात की परवाह किए बिना कि कनेक्शन बंद था और किस स्रोत ने यह रिपोर्ट की:

• भेजे गए / भेजे गए बाइट्स की संख्या;
• प्रेषित / भेजे गए पैकेटों की संख्या;
• अवधि।

एक उदाहरण के रूप में, हम बुनियादी संस्थाओं के एक सेट को भेद सकते हैं "ओएस में सूचना भंडारण की इकाइयां", जो निम्नलिखित डेटा की विशेषता हैं:

• इकाई का नाम;
• ओएस में इकाई का स्थान पथ;
• इकाई का आकार;
• इकाई पहुंच विशेषाधिकार।

इस इकाई से संबंधित कार्यों का एक सेट, उदाहरण के लिए, "नकल", जो तीसरे स्तर के डोमेन "हेरफेर" में शामिल है, को निम्नलिखित गुणों द्वारा विशेषता दी जा सकती है:

• इकाई का नया नाम
• इकाई की व्यवस्था का एक नया तरीका;
• नई इकाई का उपयोग विशेषाधिकार।

वैकल्पिक रूप से हम इस घटना से सभी डेटा प्राप्त कर सकते हैं। मुख्य बात यह है कि जिस श्रेणी को हमने परिभाषित किया है, वह हमें डेटा के एक विशिष्ट सेट को उजागर करने की अनुमति देता है जिसे घटना से निकाला जा सकता है, अग्रिम में यह समझते हुए कि यह डेटा शब्दार्थ के समान होगा।

और इस संबंध में, श्रेणियां एक सुविधाजनक उपकरण बन रही हैं। प्रत्येक डोमेन स्तर पर इस तरह के डेटा के एक निश्चित सेट की तुलना करके, हमें इवेंट स्रोत के निर्माता और मॉडल की परवाह किए बिना, एक सामान्यीकृत घटना के समान क्षेत्रों में शब्दार्थ समान डेटा स्टोर करने का अवसर मिलता है। यह घटनाओं की एक बड़ी मात्रा में डेटा की खोज को बहुत सरल करता है, और, परिणामस्वरूप, ऐसी घटनाओं के लिए सहसंबंधों का कार्यान्वयन।

वर्गीकरण प्रणाली के उदाहरण

स्थिति 1: आपको उन सभी घटनाओं को खोजना होगा जो किसी भी स्रोत से परिधीय उपकरणों के कनेक्शन और वियोग का वर्णन करते हैं।

प्रत्येक स्रोत घटनाओं को उत्पन्न करता है, जिसके सामान्य होने के बाद श्रेणियों में श्रेणी 1 (श्रेणी का पहला स्तर), स्तर 2 (दूसरा स्तर) और स्तर 3 (तीसरा स्तर) शामिल होते हैं। वर्णित स्थिति में, ब्याज की सभी घटनाओं में श्रेणियां शामिल होंगी:

• स्तर 2: भौतिक उपकरण;
• स्तर 3: एम्बेड करना।

प्रथम-स्तरीय डोमेन इतना महत्वपूर्ण नहीं है, क्योंकि उपकरण के साथ संचालन विभिन्न संदर्भों में हो सकता है।

इस प्रकार, आवश्यक घटनाओं को प्रदर्शित करने के लिए, यह निम्नलिखित प्रश्न लिखने के लिए पर्याप्त है:

Select * from events where Level2 = “<      >” and Level3 = “Embedding” and time between (< >) 

स्थिति 2: "बूट" से शुरू होने वाले नाम के साथ फ़ाइल सिस्टम ऑब्जेक्ट को संशोधित करने के प्रयास का वर्णन करने वाली सभी घटनाओं को खोजना आवश्यक है।

सिएम से जुड़े स्रोत पूरी तरह से अलग फ़ाइल संशोधन घटनाओं का उत्पादन कर सकते हैं। हालाँकि, घटनाओं के लिए उपयुक्त श्रेणियों को असाइन करना आपको पूरे सरणी से आवश्यक का चयन करने की अनुमति देता है:

• स्तर 1: सिस्टम प्रबंधन;
• स्तर 2: ओएस में सूचना भंडारण की इकाइयाँ;
• स्तर 3: हेरफेर।

इसके अलावा, एक शर्त फ़ाइल नाम द्वारा निर्दिष्ट की जाती है: पूर्वनिर्धारित डेटा सेट का उपयोग करके, हम उम्मीद कर सकते हैं कि इस श्रेणी के लिए फ़ाइल का नाम फ़ील्ड ऑब्जेक्ट में होगा ।नाम। इसलिए, घटनाओं का चयन करने के लिए, आप निम्नलिखित प्रश्न बना सकते हैं:

 Select * from events where Level1 = “System Management” and Level2 = “<        >” and Level3 = “Manipulation” and (object.name like “boot.%”) 

यदि एक इकाई की प्रतिलिपि बनाई गई थी, तो हम इसके बारे में जानकारी प्राप्त करेंगे और यह कि इसे किसी अन्य इकाई से कॉपी किया गया था - यह आगे की जांच के लिए एक प्रेरणा देगा।

केस 3: कंपनी की शाखाओं में स्थापित विभिन्न निर्माताओं के बॉर्डर राउटर पर नेटवर्क कनेक्शन की सरल रूपरेखा प्रदान करना आवश्यक है। इनमें से प्रत्येक एज राउटर से इवेंट्स को प्राप्त होता है।

प्रत्येक राउटर आईटी घटनाओं को उत्पन्न करता है, जिसके सामान्य होने के बाद स्तर 1, स्तर 2, स्तर 3 फ़ील्ड में श्रेणियां होती हैं। वर्णित उदाहरण में, प्रोफाइलिंग के लिए, नेटवर्क कनेक्शन के उद्घाटन और समापन के बारे में घटनाओं का विश्लेषण करना आवश्यक और पर्याप्त है। प्रस्तुत वर्गीकरण प्रणाली के अनुसार, ऐसे आयोजनों में निम्नलिखित श्रेणी फ़ील्ड शामिल होंगे:

• स्तर 1: नेटवर्क इंटरेक्शन प्रबंधन;
• स्तर 2: नेटवर्क कनेक्शन;
• स्तर 3: संचार।

इसके अतिरिक्त, कनेक्शन खोलने और बंद करने के संचालन के लिए, आप क्रियाओं को "ओपन" और "क्लोज़" निर्दिष्ट कर सकते हैं, साथ ही एक्शन "सफलता" की स्थिति भी।

इसके अलावा, प्रत्येक श्रेणी के लिए डेटा सेट होने पर, आप यह सुनिश्चित कर सकते हैं कि कनेक्शन का आरंभ समय कनेक्शन के उद्घाटन कार्यक्रम में दर्ज किया जाएगा, और नेटवर्क इंटरैक्शन में भाग लेने वाले नोड्स के बारे में जानकारी कनेक्शन करीबी घटना में रखी जाएगी, साथ ही साथ खेतों में भी। "प्रेषित बाइट्स की संख्या", "संचरित पैकेटों की संख्या" और "अवधि" क्रमशः कनेक्शन की अवधि और प्रेषित सूचना की मात्रा पर संबंधित डेटा रखा जाएगा।

इस प्रकार, निर्दिष्ट श्रेणियों और कार्यों द्वारा घटनाओं के प्रवाह को छानते हुए, आप केवल विशिष्ट ईवेंट पहचानकर्ताओं की सूची निर्दिष्ट किए बिना, प्रोफाइलिंग ऑपरेशन के लिए केवल आवश्यक घटनाओं का चयन कर सकते हैं।

आईबी घटना वर्गीकरण प्रणाली

वर्गीकरण प्रणाली के बारे में बात करने से पहले, हम ध्यान दें कि हम केवल गढ़ से आने वाली घटनाओं पर विचार करेंगे। दुर्भावनापूर्ण कार्यों की श्रृंखला के रूप में हैकर हमलों का वर्गीकरण अपने स्वयं के वर्गीकरण प्रणाली के साथ एक अलग क्षेत्र है।

सूचना सुरक्षा घटनाओं को वर्गीकृत करने की प्रणाली एक निश्चित प्रतिमान पर आधारित है। इसे निम्नानुसार तैयार किया जाता है: एक स्वचालित प्रणाली में होने वाली कोई भी घटना एक या कई मीडिया में एक बार परिलक्षित होती है: एक विशिष्ट मेजबान का स्तर, नेटवर्क स्तर और भौतिक वातावरण का स्तर।

इन स्तरों पर चलने वाले सुरक्षा उपकरण इस घटना या इसके "गूँज" की पहचान करते हैं और सूचना सुरक्षा घटनाओं को उत्पन्न करते हैं जो कि CRM में प्रवेश करती हैं।

उदाहरण के लिए, किसी नेटवर्क पर किसी विशिष्ट होस्ट के लिए दुर्भावनापूर्ण फ़ाइल का प्रसारण नेटवर्क सुरक्षा और संसाधन स्तर के माध्यम से, नेटवर्क सुरक्षा के माध्यम से या एंटी-वायरस सुरक्षा उपकरणों के उपयुक्त मॉड्यूल के साथ रैम मेमोरी के क्षेत्रों का विश्लेषण करके नेटवर्क ट्रैफ़िक का पता लगाया जा सकता है।

एनएसडी से एसजेडआई के माध्यम से कमरे में अनधिकृत भौतिक पहुंच का उपयोग एक्सेस कंट्रोल सिस्टम के माध्यम से और मेजबान स्तर पर भौतिक वातावरण के स्तर पर किया जा सकता है, जब उपयोगकर्ता ऑफ घंटे के दौरान होस्ट के लिए अधिकृत होता है।

आईएस की घटनाओं के साथ काम करते समय, यह समझना आवश्यक है कि घटना किस वातावरण में दर्ज की गई थी। और पहले से ही आगे बढ़ते हुए, जांच का एक और रास्ता बनाएं या सहसंबंध नियम का तर्क बनाएं। इस प्रकार, पता लगाने का वातावरण एक वर्गीकरण प्रणाली का पहला स्तर है।

आईबी इवेंट वर्गीकरण प्रणाली का पहला स्तर

आईबी घटना वर्गीकरण प्रणाली। पहला स्तर।

• मेजबान उल्लंघन (मेजबान स्तर की घटनाएं) - अंत कार्यस्थानों और सर्वरों पर स्थापित सुरक्षा के साधनों से आने वाली घटनाएं। एक नियम के रूप में, इस स्तर की सूचना सुरक्षा घटनाओं के संरक्षण के माध्यम से मेजबान की आंतरिक स्थिति के विश्लेषण के परिणामस्वरूप सुरक्षा नीतियों के ट्रिगर का वर्णन करता है। आंतरिक राज्य के विश्लेषण के तहत यहां चल रही प्रक्रियाओं का विश्लेषण, रैम के क्षेत्रों में डेटा, डिस्क पर फाइलें हैं।
  इवेंट स्रोतों के प्रकार : एंटीवायरस सुरक्षा उपकरण, अखंडता निगरानी प्रणाली, होस्ट-स्तरीय घुसपैठ पहचान प्रणाली, अभिगम नियंत्रण और अभिगम नियंत्रण प्रणाली।
• नेटवर्क उल्लंघन - नेटवर्क ट्रैफ़िक का विश्लेषण करने वाली प्रणालियों से घटनाएँ और उस पर स्थापित सुरक्षा नीतियों का एक सेट लागू करना।
  इवेंट स्रोतों के प्रकार : फायरवॉल, घुसपैठ का पता लगाने और रोकथाम प्रणाली, डीडीओएस डिटेक्शन सिस्टम। कुछ होस्ट सुरक्षा में अलग-अलग नेटवर्क ट्रैफ़िक विश्लेषण मॉड्यूल भी होते हैं। उदाहरण के लिए, NSD से एंटी-वायरस सुरक्षा उपकरण और कुछ घरेलू एंटी-वायरस डिवाइस।
• भौतिक उल्लंघन (भौतिक पर्यावरण के स्तर का उल्लंघन) - शारीरिक सुरक्षा से आने वाली घटनाएं।
  घटना के स्रोतों के प्रकार : परिधि सुरक्षा प्रणाली, अभिगम नियंत्रण प्रणाली, सूचना रिसाव संरक्षण प्रणाली के माध्यम से vibro-ध्वनिक चैनल और PEMIN चैनल।
  इस श्रेणी में आंतरिक गतिविधियों के दौरान शारीरिक या आर्थिक सुरक्षा सेवा द्वारा पहचानी गई घटनाएं भी शामिल हैं और कंपनी के आंतरिक डेटाबेस में लाया जाता है, जिसमें से जानकारी कलेक्ट्री द्वारा एकत्रित की जा सकती है। कुछ संगठनात्मक कारणों के कारण, यह एक अत्यंत दुर्लभ, लेकिन फिर भी संभव घटना है।

आईबी इवेंट वर्गीकरण प्रणाली का दूसरा और तीसरा स्तर

श्रेणीकरण प्रणाली का दूसरा स्तर पहले के साथ जुड़ा हुआ है, लेकिन निम्न पूर्वापेक्षाओं के कारण इसमें विशेषताएं हैं:

• सूचना सुरक्षा घटनाएं हमेशा भौतिक वातावरण में नहीं होती हैं;
• भौतिक वातावरण में घटनाएं हमेशा सूचना सुरक्षा घटनाओं से जुड़ी नहीं होती हैं, लेकिन चौराहे भी होते हैं;
• नेटवर्क और अंत मेजबान स्तरों पर होने वाली घटनाओं में अक्सर समान संरचना और शब्दार्थ होते हैं।

इसलिए, दूसरे स्तर पर, भौतिक पर्यावरण के स्तर के उल्लंघन के अनुरूप श्रेणियों का एक समूह और नेटवर्क और मेजबान स्तर के उल्लंघन के लिए आम श्रेणियों के समूहों को प्रतिष्ठित किया जाता है।

वर्गीकरण प्रणाली का तीसरा स्तर दूसरे को स्पष्ट करता है और सीधे उल्लंघन का स्वयं वर्णन करता है, जिसका सार सूचना सुरक्षा घटनाओं में परिलक्षित होता है।

हमने नेटवर्क और होस्ट स्तर के उल्लंघनों के लिए आईबीएम क्यूराडार, माइक्रो फ़ोकस आर्कसाइट और मैक्सपाथरोल सेगमेंट सुरक्षा समाधानों के लिए घटना वर्गीकरण प्रणालियों का विश्लेषण किया। परिणामों के अनुसार, उन्होंने निष्कर्ष निकाला: वे सभी बहुत समान हैं, और eCSIRT.net mkVI सबसे व्यापक और एकीकृत वर्गीकरण प्रणाली के रूप में काम कर सकते हैं। यह वह थी जिसे नीचे श्रेणीकरण प्रणाली में आधार के रूप में लिया गया था।


आईबी घटना वर्गीकरण प्रणाली। मेजबान स्तर और नेटवर्क स्तर का उल्लंघन।

• अपमानजनक सामग्री - सामग्री कानूनी रूप से अंतिम उपयोगकर्ता को दी गई, गैरकानूनी कार्यों (जानबूझकर या जानबूझकर नहीं) या दुर्भावनापूर्ण / जंक डेटा को रोकने के लिए।
  तीसरे स्तर की श्रेणियां : स्पैम, फ़िशिंग।
  ईवेंट स्रोत के प्रकार : सामग्री नियंत्रण के साथ प्रॉक्सी सर्वर (Microsoft खतरा प्रबंधन गेटवे), वेब ट्रैफ़िक सुरक्षा उपकरण (सिस्को वेब सुरक्षा उपकरण, चेक प्वाइंट URL फ़िल्टर ब्लेड), मेल सुरक्षा उपकरण (सिस्को ईमेल सुरक्षा उपकरण, कैस्परस्की सुरक्षित मेल गेटवे) एकीकृत वेब और ईमेल नियंत्रण मॉड्यूल (McAfee इंटरनेट सुरक्षा, Kaspersky इंटरनेट सुरक्षा) के साथ अंत-मेजबान सुरक्षा।
• सूचना एकत्र करना - संग्रह के सक्रिय और निष्क्रिय तरीकों का उपयोग करके जानकारी के खुले और बंद स्रोतों से सुरक्षा की वस्तु के बारे में डेटा संग्रह।
  तीसरे स्तर की श्रेणियां : फ़िंगरप्रिंटिंग, सूँघना, स्कैन करना, ब्रूटफोर्स।
  इवेंट स्रोतों के प्रकार : एक नियम के रूप में, नेटवर्क सुरक्षा विशेषताएं, अर्थात्: फ़ायरवॉल (सिस्को एडेप्टिव सिक्योरिटी उपकरण, चेकपॉइंट फ़ायरवॉल ब्लेड), घुसपैठ का पता लगाने और रोकथाम उपकरण (सिस्को फायरपावर नेक्स्ट - जनरेशन आईपीएस, चेक प्वाइंट आईपीएस ब्लेड)।
• उपलब्धता - सामान्य रूप से व्यक्तिगत सेवाओं और प्रणालियों की उपलब्धता का दुर्भावनापूर्ण या आकस्मिक उल्लंघन।
  तृतीय स्तर की श्रेणियां : DDoS, DoS, बाढ़।
  घटना के स्रोत के प्रकार : फ़ायरवॉल और घुसपैठ का पता लगाने और रोकथाम प्रणाली, साथ ही साथ नेटवर्क DoS के हमलों का पता लगाने और अवरुद्ध करने के लिए सिस्टम (Arbor Pravail APS, Arbor Peakflow SP, Radware DefensePro, IFI Soft APK "Perimeter)"।
• भेद्यता अन्वेषण - भेद्यता या कमजोरियों के समूह की पहचान करता है। यह ध्यान रखना महत्वपूर्ण है कि यह श्रेणी भेद्यता का पता लगाने के बारे में सूचना सुरक्षा घटनाओं का वर्णन करती है, लेकिन इसके संचालन के बारे में नहीं।
  तीसरे स्तर की श्रेणियां : फर्मवेयर, सॉफ्टवेयर।
  घटना के स्रोत के प्रकार : अंतर्निहित में से घटनाएँ या एकीकृत बाहरी सुरक्षा और ऑडिट स्कैनर (टेनबल नेसस वल्नरेबिलिटी स्कैनर, पॉजिटिव टेक्नॉलॉजीज मैक्सपाटरोल 8, पॉजिटिव टेक्नॉलॉजीज एक्सस्पाइडर, क्वालिस वल्नरेबिलिटी स्केनर, बुराइ सूट)।
• भेद्यता शोषण ( भेद्यता का शोषण ) - प्रणाली पर जानबूझकर नकारात्मक प्रभाव की पहचान या प्रणाली की भेद्यता का शोषण। इस मामले में, अक्सर तीसरे स्तर की श्रेणियों में MITER ATT & CK (लिंक) में सूचीबद्ध व्यक्तिगत हमले तकनीक और सुरक्षा सुविधाओं द्वारा परिभाषित शामिल हो सकते हैं।
  तीसरे स्तर की श्रेणियां : एक्सएमएल बाहरी संस्थाएं, क्रॉस साइट स्क्रिप्टिंग, असुरक्षित देशीकरण, रूटिंग पॉइज़निंग, आदि।
  घटना के स्रोत के प्रकार : नेटवर्क-स्तरीय घुसपैठ का पता लगाने और रोकथाम प्रणाली (पॉजिटिव टेक्नोलॉजीज नेटवर्क अटैक डिस्कवरी, पॉजिटिव टेक्नोलॉजीज वेब एप्लीकेशन फ़ायरवॉल, इंपर्वा वेब एप्लीकेशन फ़ायरवॉल, सिस्को फायरपावर नेक्स्ट जेनरेशन IPS, चेक पॉइंट IPS ब्लेड) या होस्ट स्तर (कार्बन ब्लैक Cb डिफेंस, HIPS एंटीवायरस सुरक्षा मॉड्यूल, OSSEC)।
• हैकटूल (हैकिंग यूटिलिटीज) - गोपनीय सूचना प्राप्त करने और ट्रैफ़िक टूल को प्राप्त करने के लिए सिस्टम को हैक करने या अन्य अवैध कार्यों को लागू करने के लिए उपयोगिताओं का उपयोग।
  तीसरे स्तर की श्रेणियां : स्कैनर, ब्रूटफेयरर, एक्सप्लॉइट किट, पासवर्ड डम्पर, वल्नरेबिलिटी स्कैनर, टीओआर क्लाइंट, स्निफर, शेलकोड, कीलॉगर।
  इवेंट स्रोतों के प्रकार : नेटवर्क स्तर और होस्ट स्तर, सुरक्षा और ऑडिट स्कैनर, एंटी-वायरस सुरक्षा उपकरण में घुसपैठ का पता लगाने और रोकथाम प्रणाली।
• दुर्भावनापूर्ण कोड - दुर्भावनापूर्ण कोड के उपयोग का पता लगाता है।
  तीसरे स्तर की श्रेणियां : वायरस, वर्म, बोटनेट, रूटकिट, बूटकिट, ट्रोजन, बैकडोर, क्रिप्टोर।
  इवेंट स्रोतों के प्रकार : कोई भी नेटवर्क और होस्ट एंटी-वायरस सुरक्षा उपकरण, नेटवर्क-स्तरीय घुसपैठ का पता लगाने और रोकथाम प्रणाली।
• अनुपालन ( अनुपालन का उल्लंघन) - अनुपालन नीतियों में परिभाषित चेक के साथ गैर-अनुपालन के तथ्यों की पहचान। इस मामले में, अनुपालन नीतियों का मतलब है कि पीसीआई डीएसएस आवश्यकताएं, एफएसटीईसी ऑर्डर नंबर 21, और कॉर्पोरेट सुरक्षा मानक।
  तीसरे स्तर की श्रेणियां : अखंडता नियंत्रण, ओएस सेटिंग्स नियंत्रण, अनुप्रयोग सेटिंग्स नियंत्रण।
  इवेंट स्रोतों के प्रकार : सुरक्षा और ऑडिट स्कैनर।
• सूचना लीक - किसी भी संचार चैनल के माध्यम से गोपनीय डेटा का रिसाव।
  तृतीय स्तर की श्रेणियां : ईमेल, मैसेंजर, सोशल नेट, मोबाइल डिवाइस, रिमूवेबल स्टोरेज।
  इवेंट स्रोतों के प्रकार : डेटा लीक रोकथाम सिस्टम (रोस्टेलकॉम - सोलर डोज़र, इन्फोवेच ट्रैफिक मॉनिटर)।
• विसंगति (विसंगतियाँ) - पहले से स्थापित मानदंड से सुरक्षा या उसके व्यवहार के मापदंडों का एक महत्वपूर्ण विचलन।
  तीसरे स्तर की श्रेणियां : सांख्यिकीय, व्यवहार।
  इवेंट स्रोतों के प्रकार : अगली पीढ़ी के नेटवर्क सुरक्षा उपकरण, डेटा रिसाव की रोकथाम प्रणाली, उपयोगकर्ता और इकाई व्यवहार विश्लेषिकी वर्ग प्रणाली (स्पंक उपयोगकर्ता व्यवहार विश्लेषिकी, Securonix उपयोगकर्ता और इकाई व्यवहार विश्लेषिकी, उन्नत उन्नत विश्लेषिकी)।

आईबी घटना वर्गीकरण प्रणाली। भौतिक पर्यावरण के स्तर का उल्लंघन।

भौतिक वातावरण में उल्लंघन, सूचना सुरक्षा के दृष्टिकोण से महत्वपूर्ण, वर्गीकरण प्रणाली में अपनी अलग "शाखा" है। यह महत्वपूर्ण है कि इस मामले में वर्गीकरण प्रणाली का केवल एक स्तर है।

वर्गीकरण प्रणाली का ऐसा "छिन्न-भिन्न" प्रतिनिधित्व मुख्य रूप से शारीरिक सुरक्षा उपकरणों के साथ सिएम एकीकरण के अत्यंत दुर्लभ मामलों के कारण है। अपवाद एक्सेस कंट्रोल और अकाउंटिंग सिस्टम (एसीएस) हैं, जो अक्सर एसईएम से जुड़े होते हैं। अन्यथा, वर्गीकरण प्रणाली के इस "शाखा" को संकलित करते समय, हमारे पास इस विशेष दिशा को व्यवस्थित करने के लिए पर्याप्त सांख्यिकीय डेटा नहीं था।

• चोरी (चोरी) - कंपनी के क्षेत्र या कंपनी के कर्मचारियों से गोपनीय जानकारी के साथ भौतिक मीडिया या कंप्यूटिंग उपकरणों (लैपटॉप, टैबलेट, स्मार्टफोन) की चोरी।
  इवेंट स्रोतों के प्रकार : शारीरिक सुरक्षा सेवा घटना के आधार, कार्मिक प्रणाली।
• घुसपैठ (भौतिक पैठ) - शारीरिक सुरक्षा प्रणाली का अनधिकृत या अनियमित बायपास।
  घटना स्रोतों के प्रकार : शारीरिक सुरक्षा सेवा घटना के आधार, एसीएस, परिधि सुरक्षा प्रणाली।
• क्षति (क्षति) - लक्षित क्षति, विनाश, उपकरण या संचार चैनलों के जीवन में कमी।
  इवेंट स्रोतों के प्रकार : भौतिक सुरक्षा घटना डेटाबेस।

वर्गीकरण प्रणालियों का उपयोग करने के उदाहरण

हम उच्च श्रेणी के सहसंबंध नियमों को लिखने के लिए वर्णित वर्गीकरण प्रणाली को लागू करते हैं और जांच प्रक्रिया में घटनाओं की खोज करते हैं। दो स्थितियों पर विचार करें।

स्थिति 1 : सहसंबंध शासन के माध्यम से, स्वचालित प्रणाली की संपत्ति की हैकिंग के कारण गोपनीय जानकारी के रिसाव की पहचान करना आवश्यक है। कोलम्बिया को निम्नलिखित सुरक्षा सुविधाओं से घटनाएँ प्राप्त होती हैं:

• डेटा रिसाव की रोकथाम प्रणाली;
• नेटवर्क-स्तरीय घुसपैठ का पता लगाने और रोकथाम प्रणाली;
• मेजबान-स्तरीय घुसपैठ का पता लगाने और रोकथाम प्रणाली;
• एंटीवायरस सुरक्षा उपकरण।

उनमें से प्रत्येक स्तर 1 , Level2 , Level3 फ़ील्ड जिनमें से श्रेणियों चिपका रहे हैं में सामान्यीकरण के बाद, आईबी की घटनाओं को उत्पन्न करता है।
छद्म कोड में सहसंबंध नियम का पाठ इस तरह दिख सकता है:

 #         .    «Host_poisoning event Host_poisoning»: #          ,        group by dst.host #     hostname/fqdn/ip ,     filter { Level2 = “Malicious Code” OR Level2 = “Vulnerability Exploitation” } #           : event Data_leak: group by dst.host filter { Level2 = “Information Leak” AND Level3 = “Email” #        } #      Host_poisoning_and_data_leakage:   «Host_poisoning»,   «Data_leak»   24       : rule Host_poisoning_and_data_leakage: (Host_poisoning —> Data_leak) within 24h emit { #  —    } 

स्थिति 2: हम एक विशिष्ट मेजबान पर घटना की जांच कर रहे हैं - alexhost.company.local। आपको यह समझने की आवश्यकता है कि 04:00 से 06:00 11/08/2018 की अवधि में उसके साथ क्या हुआ था। इस समय के दौरान, इस होस्ट से खुद से जुड़े 21.6 मिलियन ईवेंट्स, खुद को (औसत घटना प्रवाह 3000 ईपीएस है)। यह अब 09/09/2018 को 11:00 बजे है, सभी ईवेंट्स CRM डेटाबेस में हैं, इस घटना के समय, कोई सहसंबंध नियमों को CRM में स्थापित नहीं किया गया था।

जाहिर है, सभी घटनाओं का मैन्युअल रूप से विश्लेषण करना एक बुरा विचार है। किसी तरह उनकी मात्रा कम करना और समस्या का स्थानीयकरण करना आवश्यक है। आइए इस सेट में हमारे लिए रुचि की घटनाओं को खोजने का प्रयास करें। एक उदाहरण क्वेरी SQL- जैसे सिंटैक्स का उपयोग करेगी।

1. हम सीखते हैं कि हमने इस समय "उपचार" देखा:
   

    Select * from events where Level1 in (“Host violations”, “Network violations”, “Physical violations”) and dst.dost=“alexhost.company.local” and time between (< >) 

   
   मान लीजिए कि हमें इस अनुरोध के लिए होस्ट उल्लंघन और नेटवर्क उल्लंघन डोमेन से 10,000 ईवेंट प्राप्त हुए हैं। वैसे भी, मैनुअल विश्लेषण के लिए बहुत कुछ।
2. आइए समझने की कोशिश करें कि क्या घटना के दौरान होस्ट को हैक किया जा सकता था, और यह हमारे लिए मायने नहीं रखता कि इसका किस तरह का संरक्षण है।
   

    Select * from events where Level2 in (“Vulnerability Exploitation”) and dst.dost=“alexhost.company.local” and time between (< >) 

   
   मान लीजिए हमें नेटवर्क और होस्ट स्तर पर घुसपैठ का पता लगाने और रोकथाम प्रणालियों से इस अनुरोध के लिए 500 ईवेंट प्राप्त हुए हैं। बहुत बढ़िया! आप पहले से ही इस के साथ मैन्युअल रूप से काम कर सकते हैं।
3. जांच के दौरान, हमने महसूस किया कि हैकिंग कंपनी के भीतर से हुई है। हम यह पता लगाने की कोशिश करेंगे कि कंपनी के किसी भी होस्ट पर हैकिंग टूल की स्थापना या निष्पादन "सुरक्षा" में से किसी ने किया है या नहीं।
   

    Select * from events where Level3 = “Exploit kit” and time between (< 3 >) 

निष्कर्ष

हमने घटनाओं को वर्गीकृत करने के लिए एक प्रणाली के निर्माण के सिद्धांतों का वर्णन किया और इसके गठन के लिए दृष्टिकोण और सिद्धांतों को निर्धारित करने वाली आवश्यकताओं को सामने रखा। CRM से जुड़े घटना स्रोतों की बारीकियों के आधार पर, वर्गीकरण प्रणाली को दो क्षेत्रों में विभाजित किया गया था: आईटी स्रोतों से घटनाओं का वर्गीकरण और सूचना स्रोतों से घटनाओं का वर्गीकरण।

आईटी-घटनाओं के वर्गीकरण की प्रणाली निम्नलिखित सिद्धांतों के आधार पर बनाई गई थी:

1. आईटी इवेंट्स, आईटी प्रक्रियाओं के चरणों या विवरणों को दर्शाते हैं जो इवेंट स्रोतों द्वारा समर्थित या कार्यान्वित किए जाते हैं।
2. वर्गीकरण प्रणाली में 3 मुख्य स्तर होते हैं और एक अतिरिक्त एक है जो घटना में वर्णित कार्रवाई की सफलता या विफलता को निर्धारित करता है।
3. पहले स्तर पर, आईटी प्रक्रियाओं को प्रतिष्ठित किया जाता है जिसके भीतर घटनाओं का स्रोत संचालित होता है।
4. दूसरा स्तर उन बुनियादी संस्थाओं का वर्णन करता है जो इस प्रक्रिया में शामिल हैं।
5. तीसरा स्तर यह निर्धारित करता है कि प्रक्रिया के भीतर इस या इस इकाई द्वारा क्या कार्य किए जाते हैं।
6. एक अतिरिक्त स्तर इन कार्यों (सफलता, विफलता) की स्थिति का वर्णन करता है।

IB घटना वर्गीकरण प्रणाली निम्नलिखित सिद्धांतों पर आधारित है:

1. वर्गीकरण विशेष रूप से सुरक्षा उपकरणों से एकत्रित सूचना सुरक्षा घटनाओं पर लागू होता है और स्वचालित प्रणालियों पर हमलों के वर्गीकरण को प्रभावित नहीं करता है। लेख की शुरुआत में हमलों और सूचना सुरक्षा घटनाओं के बीच अंतर दिया गया था।
2. वर्गीकरण प्रणाली में 3 स्तर होते हैं।
3. पहले स्तर पर, डोमेन की पहचान की जाती है जिसमें आईएस के उल्लंघन दर्ज किए जा सकते हैं: मेजबान स्तर, नेटवर्क और भौतिक वातावरण का उल्लंघन।
4. उल्लंघन के विशिष्ट वर्गों द्वारा वर्गीकरण के दूसरे स्तर का गठन किया जाता है।
5. तीसरे स्तर का निर्माण किसी विशेष वर्ग के ढांचे में परिभाषित विशिष्ट प्रकार के उल्लंघनों से होता है।

इस नियम ने सहसंबंध नियमों को लिखने और घटनाओं की जांच करते समय इस वर्गीकरण प्रणाली के उपयोग के उदाहरण भी दिए। इवेंट स्रोतों का समर्थन करने


के लिए

कार्यप्रणाली के वर्गीकरण प्रणाली की एक सामान्य रूपरेखा पर एक अलग लेख में चर्चा की जाएगी। कार्यप्रणाली पहले से वर्णित सभी चीजों को एकजुट करेगी और यह दर्शाएगी कि एकीकरण के दृष्टिकोण से घटनाओं के सामान्यीकरण के लिए कैसे संपर्क करें। इसका आवेदन सामान्य घटनाओं के रूप में उन तक पहुंचने वाले डेटा में त्रुटियों से सहसंबंध नियमों को बचाएगा, जिससे उनकी सटीकता बढ़ जाएगी।

---

लेखों की श्रृंखला:

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध। भाग 1: शुद्ध विपणन या एक बेकार समस्या?

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध। भाग 2. डेटा स्कीमा "दुनिया" मॉडल के प्रतिबिंब के रूप में

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध।भाग 3.1। घटना वर्गीकरण ( यह लेख )

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध। भाग 3.2। घटना सामान्यीकरण पद्धति

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध। भाग 4. सहसंबंध नियमों के संदर्भ के रूप में सिस्टम मॉडल

सिएम गहराई: आउट-ऑफ-द-बॉक्स सहसंबंध। भाग 5. सहसंबंध नियम विकसित करने की पद्धति