स्थिति की कल्पना करें: आपने सहसंबंध नियमों को लिखने और डिबग करने में बहुत समय बिताया, और एक दिन बाद आपने पाया कि उन्होंने काम नहीं किया। जैसा कि वे कहते हैं, यह कभी नहीं हुआ और यहाँ फिर से! फिर यह पता चलता है कि रात में नेटवर्क को एक बार फिर से अपग्रेड किया गया था, और कुछ सर्वरों को बदल दिया गया था, लेकिन सहसंबंध नियम इसे ध्यान में नहीं रखते हैं। इस लेख में, हम आपको दिखाएंगे कि बुनियादी ढाँचे के बदलते परिदृश्य के अनुकूल होने के लिए किस तरह से सिएम को पढ़ाया जा सकता है।



हम बॉक्स के बाहर काम करने वाले अनुकूली सहसंबंध नियमों के निर्माण के लिए समर्पित लेखों की श्रृंखला के अंत के करीब और करीब हो रहे हैं। यह लेख लंबा चला, जो कोई भी तुरंत निष्कर्ष पर जा सकता है।

"घटनाओं को सामान्य करने के लिए पद्धति" लेख में हमने उन तकनीकों को संक्षेप में बताया है जो डेटा हानि की समस्या को कम करने और प्रारंभिक घटनाओं के गलत सामान्यीकरण में मदद करेंगे। हालांकि, क्या यह तर्क दिया जा सकता है कि, यदि सामान्यीकरण त्रुटियों की भूमिका कम हो जाती है, तो सहसंबंध नियम बनाना संभव है जो बॉक्स से बाहर काम करते हैं? सैद्धांतिक रूप से, हां, यदि सीएमडी द्वारा निगरानी की गई वस्तु स्थैतिक होगी और संदर्भ के संदर्भ में विशेष रूप से लिखी जाएगी। लेकिन व्यवहार में यह पता चलता है कि वास्तविक दुनिया में कुछ भी स्थिर नहीं है।

इसलिए, हम निगरानी वस्तु पर अधिक विस्तार से विचार करेंगे। सिएम स्रोतों से लॉग इकट्ठा करता है, उनमें से यह आईपी पते, उपयोगकर्ता खाते, फ़ाइलों और रजिस्ट्री कुंजी तक पहुंच, नेटवर्क इंटरैक्शन को निकालता है। यदि सब कुछ संक्षेप में है, तो यह एक स्वचालित प्रणाली के जीवन चक्र के चरणों (इसके बाद - एएस) के बारे में जानकारी से ज्यादा कुछ नहीं है। इस प्रकार, CRM निगरानी वस्तु एक पूर्ण या इसके कुछ भाग के रूप में एक स्वचालित प्रणाली है।

एक स्पीकर सिस्टम एक स्थिर वस्तु नहीं है, यह लगातार बदलता रहता है: नई नौकरियों और सर्वरों को पेश किया जाता है, पुराने उपकरणों को डिकम्पोजिशन किया जाता है और उन्हें त्रुटियों के कारण सिस्टम "क्रैश" के साथ बदल दिया जाता है और बैकअप से बहाल कर दिया जाता है। नेटवर्क-स्तरीय डायनामिक्स, जैसे डायनेमिक एड्रेसिंग या राउटिंग, हर दिन बोलने वालों का चेहरा बदलते हैं। इसकी जांच कैसे करें? अपनी कंपनी को नेटवर्क की पूर्ण और वर्तमान L3- स्कीम में खोजने की कोशिश करें और नेटवर्क प्रशासकों से जांच लें कि यह मामलों की वर्तमान स्थिति को कितना दर्शाता है।

सहसंबंध नियमों को विकसित करते समय, आप आगे बढ़ने की कोशिश करते हैं कि वक्ताओं को यहां और अब कैसा दिखता है। सहसंबंध नियमों का परीक्षण करके, आप उन्हें एक ऐसी स्थिति में परिष्कृत करते हैं जिसमें वे वर्तमान स्पीकर कॉन्फ़िगरेशन में कम से कम झूठी सकारात्मकता के साथ काम करने में सक्षम हैं। चूंकि स्पीकर लगातार बदल रहे हैं, जल्दी या बाद में सहसंबंध के नियमों को अपडेट करना होगा।

अब हम कार्य को जटिल करते हैं और बाह्य विशेषज्ञों द्वारा प्रदान किए गए नियमों पर विचार करते हैं, जैसे कि वाणिज्यिक एसओसी, सीमेंस को लागू करने वाले इंटीग्रेटर, या स्वयं सेमेस्टर के डेवलपर्स। इन नियमों में आपके वक्ताओं की विशेषताएं शामिल नहीं हैं - निष्पादन संदर्भ - वे उनके लिए अनुकूलित नहीं हैं। यह समस्या बॉक्स से बाहर काम कर रहे सहसंबंध नियमों की अवधारणा में एक और ठोकर है। इसका समाधान यह हो सकता है कि स्वयं के भीतर ही एमआरएम:

1. प्रेक्षित वक्ताओं का एक मॉडल बनाता है।
2. हमेशा इस मॉडल को बनाए रखता है।
3. आपको सहसंबंध नियमों में निष्पादन संदर्भ के रूप में इस मॉडल का उपयोग करने की अनुमति देता है।

संदर्भ - स्वचालित प्रणाली मॉडल

सबसे पहले, हम स्पीकर मॉडल की संरचना का वर्णन करते हैं। यदि हम GOST 34.003-90 से एक शब्द की शास्त्रीय परिभाषा की ओर मुड़ते हैं , तो एक एएस "कर्मियों से युक्त एक प्रणाली है और इसकी गतिविधियों के लिए स्वचालन उपकरण का एक सेट है जो स्थापित कार्यों के प्रदर्शन के लिए सूचना प्रौद्योगिकी को लागू करता है"। यह महत्वपूर्ण है कि सूचना प्रौद्योगिकी को लागू करते समय, कर्मियों (उपयोगकर्ताओं) और स्वचालन उपकरण डेटा पर काम करते हैं।

चूंकि, कई आईटी, सूचना सुरक्षा और व्यावसायिक अनुप्रयोगों सहित कई अलग-अलग स्रोतों से जानकारी एकत्र करता है, इस परिभाषा के सभी हिस्से हमें सीधे घटनाओं में "दिखाई" देंगे।

अगला, हम वर्णन करेंगे कि उपयोगकर्ता के रूप में ऐसी संस्थाओं के लिए बनाया गया मॉडल कैसा दिखता है, ऑटोमेशन टूल का एक सेट (इसके बाद नेटवर्क और कंप्यूटर सिस्टम के रूप में संदर्भित) और डेटा।

दुर्भाग्य से, यह महत्वपूर्ण है कि टेक्नोलॉजिकल प्रक्रियाओं को कोलम्बिया के ढांचे के भीतर मॉडल करना मुश्किल है, क्योंकि इस तरह के समाधान का एक वर्ग इसके लिए अभिप्रेत नहीं है। फिर भी, इन संस्थाओं के व्यवहार मॉडल के माध्यम से प्रक्रियाओं का हिस्सा दिखाई देता है।


सामान्य वक्ता मॉडल

आगे हम प्रत्येक इकाई पर विचार करेंगे और उस पर ध्यान केन्द्रित करेंगे:

• विशिष्ट पहचान;
• मॉडल की संरचना;
• मॉडल के लिए आवश्यक डेटा खोजना;
• इकाई डेटा में परिवर्तन की प्रकृति;
• जब वे बदलते हैं तो मॉडल में डेटा अपडेट करना।

उपयोगकर्ता मॉडल

पहचान

एक एएस के उपयोगकर्ता को एक विशिष्ट व्यक्ति के रूप में समझा जाना चाहिए: एक कंपनी, ठेकेदार या फ्रीलांसर का कर्मचारी। यह महत्वपूर्ण है कि उसने वक्ताओं तक पहुंच को अधिकृत किया है।

एएस उपयोगकर्ताओं के बारे में जानकारी आमतौर पर कई प्रणालियों में खंडित होती है। इसे इकट्ठा करने के लिए, आपको एक प्रयास करने की आवश्यकता है। आइए एक उदाहरण देखें कि एक विशिष्ट उपयोगकर्ता के लिए कहां और क्या जानकारी एकत्र की जा सकती है।

1. Microsoft सक्रिय निर्देशिका और Microsoft Exchange। उनसे हम उनके मुख्य डोमेन लॉगिन और ईमेल पते का पता लगा सकते हैं।
2. सिस्को आइडेंटिटी सर्विसेज इंजन (आईएसई) वीपीएन के माध्यम से रिमोट एक्सेस के लिए अपना दूसरा लॉगिन स्टोर करता है।
3. आंतरिक पोर्टल का डेटाबेस अपने तीसरे लॉगिन को संग्रहीत करता है।
4. यदि उपयोगकर्ता डेटाबेस व्यवस्थापक है, तो चौथा लॉगिन DBMS में संग्रहीत किया जाता है, और शायद एक भी नहीं।
5. एचआर डेटाबेस, जिसमें उसका पूरा नाम संग्रहीत है (यदि सक्रिय निर्देशिका उपयोगकर्ता को सभी नियमों के अनुसार प्राप्त करने के लिए बहुत आलसी थी)।

इस प्रकार, यदि कंपनी के पास पहचान प्रबंधन या उपयोगकर्ता अधिकार प्रबंधन समाधान नहीं है जो कम से कम किसी तरह इस असमान पहचान जानकारी को एक साथ लाने में मदद करता है, तो आपको इसे स्वयं मैन्युअल रूप से कोलम्बिया में करना होगा।

संक्षेप में:

1. CRM को एक एकल उपयोगकर्ता ID की आवश्यकता होती है।
2. जब उपयोगकर्ता खाते किसी भी लॉग, किसी भी सिस्टम में दिखाई देते हैं, तो हमें इसे विशिष्ट रूप से पहचानना चाहिए और हमारे अपने अद्वितीय उपयोगकर्ता पहचानकर्ता को चिपका देना चाहिए।

मॉडल संरचना

किसी भी इकाई के एक मॉडल की रचना करते हुए, हम इसे दो ब्लॉकों में विभाजित करते हैं। पहला ब्लॉक इकाई के बारे में सामान्य जानकारी संग्रहीत करने के लिए उपयोग किया जाता है, दूसरा इकाई के व्यवहार के एक मॉडल को संकलित करने के लिए जिम्मेदार है। किसी इकाई के व्यवहार में असामान्य विचलन की पहचान करने के लिए सहसंबंध नियमों द्वारा इस प्रोफ़ाइल का उपयोग किया जा सकता है।

न्यूनतम के रूप में, निम्नलिखित को सामान्य उपयोगकर्ता मॉडल में शामिल किया जाना चाहिए:

• सिएम में एकल उपयोगकर्ता आईडी
• विभिन्न प्रणालियों से इसके सभी पहचानकर्ता, जिनमें शामिल हैं:
  
  • बाहरी और आंतरिक ईमेल पते;
  • पूरा नाम;
  • स्थानीय ओएस खाता
  • डोमेन खाता;
  • वीपीएन खाता
  • प्रॉक्सी खाता
  • DBMS खाते हैं
  • अन्य एप्लिकेशन सिस्टम में खाते।
• Microsoft सक्रिय निर्देशिका में संगठन इकाई जिसमें उपयोगकर्ता एक सदस्य है;
• Microsoft सक्रिय निर्देशिका समूह जिसमें उपयोगकर्ता एक सदस्य है।

कम से कम, उपयोगकर्ता के व्यवहार मॉडल में शामिल होना चाहिए:

• उपयोग किए जाने वाले कनेक्शन के प्रकार (स्थानीय, दूरस्थ) और संचार चैनल का प्रकार (वायर्ड, वायरलेस);
• कॉर्पोरेट नेटवर्क तक पहुंचने के लिए उपयोग किए जाने वाले उपकरण;
• उपयोग किए गए अनुप्रयोग;
• भू-बाध्यकारी, विशेष रूप से दूरस्थ उपयोगकर्ताओं के लिए;
• कंपनी के संसाधन जिनसे उपयोगकर्ता कनेक्ट होता है;
• किससे और क्या डेटा ट्रांसफर (सूचना प्रवाह)।

उपयोगकर्ता मॉडल

सूचना प्रवाह को कम करना एक मुश्किल काम है जिसके लिए अक्सर सेगमेन्ट को सुविधाजनक और सरल तंत्र की कमी होती है। लेकिन इस तरह के प्रोफाइल का निर्माण ईमेल और साझा नेटवर्क संसाधनों के साथ शुरू हो सकता है।

मॉडल के लिए डेटा स्रोत

मॉडल बनाने के लिए आवश्यक डेटा कहां से प्राप्त करें? संग्रह के अधिकांश सक्रिय और निष्क्रिय तरीकों - उपलब्ध अधिकांश सेगमेट्स में उपलब्ध जानकारी प्राप्त करने के लिए दो मुख्य सिद्धांतों पर विचार करें।

सक्रिय विधि के साथ, मॉडल बनाने के लिए आवश्यक डेटा वाले स्त्रोतों के साथ ही स्वयं CRM भी बदल जाता है।
निष्क्रिय विधि के साथ, मॉडल स्रोत से स्रोतों से कोलम्बिया में प्राप्त घटनाओं के आंकड़ों पर आधारित है।

एक नियम के रूप में, सबसे पूर्ण मॉडल प्राप्त करने के लिए, दो तरीकों को संयोजित करना बेहतर है।

यह समझना महत्वपूर्ण है कि मॉडल के ढांचे में एकत्र किए गए डेटा को मैन्युअल मोड के बजाय स्वचालित रूप से लगातार अपडेट और किया जाना चाहिए। वास्तव में वही विधियाँ जो उनके प्रारंभिक संग्रह के लिए उपयोग की जाती हैं, वे डेटा को अपडेट करने के लिए उपयुक्त होंगी।

विचार करें कि मॉडल बनाने के लिए कौन से स्रोत डेटा प्रदान कर सकते हैं और किन तरीकों से आप उनसे आवश्यक जानकारी प्राप्त कर सकते हैं।

नेटवर्क और कम्प्यूटिंग सिस्टम मॉडल

पहचान

नेटवर्क और कंप्यूटिंग सिस्टम के तत्वों से हमारा मतलब है वर्कस्टेशन, सर्वर और नेटवर्क उपकरण और सूचना सुरक्षा उपकरण। फिलहाल, सिएम में और वल्नरेबिलिटी मैनेजमेंट सॉल्यूशंस में उन्हें एसेट्स कहा जाता है।

यह काफी स्पष्ट प्रतीत होता है कि ऐसी संपत्तियों को आईपी पते, मैक पते, एफक्यूडीएन या होस्टनाम (बाद में मूल पहचान कुंजी के रूप में संदर्भित) द्वारा आसानी से पहचाना जा सकता है। क्या हमेशा ऐसा ही होता है? जैसा कि ऊपर बताया गया है, एयू में कुछ बदलाव लगातार हो रहे हैं। आइए इनमें से कुछ परिवर्तनों को देखें और सोचें कि हमारी मूल पहचान कुंजी कैसे व्यवहार करती है।

1. एक डीएचसीपी नेटवर्क पर उपयोग करें। एसेट आईपी पते बदल रहे हैं।
2. क्लस्टर कॉन्फ़िगरेशन में नोड्स स्विच करना। क्लस्टरिंग के प्रकार के आधार पर, मैक और आईपी बदल सकते हैं।
3. महत्वपूर्ण विफलता के कारण किसी अन्य सर्वर पर बैकअप से सिस्टम को पुनर्स्थापित करना। मैक पते बदलते हैं, कभी-कभी आईपी, एफक्यूएनडी और होस्टनाम।
4. नियोजित प्रतिस्थापन, उपकरण या वक्ताओं के कुछ हिस्सों का आधुनिकीकरण। लगभग सभी कुंजियाँ बदल सकती हैं।

एक छोटी सी कंपनी में, ये परिवर्तन अत्यंत दुर्लभ हो सकते हैं और इसे विशेषज्ञों के प्रभारी के रूप में कोलम्बिया के प्रभारी द्वारा नियंत्रित किया जा सकता है। लेकिन क्या होगा यदि शाखाओं की एक विस्तृत नेटवर्क वाली कंपनी? और हमेशा से आईएस सेवा में आईटी सेवा के साथ अच्छी तरह से स्थापित संचार है, जिसका मतलब है कि एएसएम में परिवर्तन के बारे में आवश्यक जानकारी नहीं हो सकती है।

चूंकि आप किसी परिसंपत्ति की पहचान करने के लिए अलग से IP, MAC, FQDN, या Hostname पर भरोसा नहीं कर सकते हैं, आप सभी 4 मापदंडों द्वारा तुरंत संपत्ति की पहचान करने का प्रयास कर सकते हैं। यहां हमें एक वैश्विक समस्या का सामना करना पड़ रहा है: सिएम घटनाओं पर काम करता है, और उनके पास एक ही समय में लगभग सभी मूल पहचान कुंजियां नहीं होती हैं।

इसे कैसे हल किया जा सकता है? आइए कुछ विकल्पों को देखें:

1. कॉन्फ़िगरेशन प्रबंधन डेटाबेस (CMDB) स्तर के समाधान का उपयोग कर सक्रिय विधि । मूल पहचान कुंजी के बारे में जानकारी वहां से ली जा सकती है। लेकिन क्या CMDB में पहचान के लिए आवश्यक संपत्ति के सभी स्रोत कुंजी शामिल हैं? और, सबसे महत्वपूर्ण बात, यह ऊपर वर्णित वक्ताओं में परिवर्तन को ध्यान में रखता है? सीएमडीबी में डेटा को अपडेट करने के समय पर विचार करना भी महत्वपूर्ण है, यदि डेटा एएस की वास्तविक स्थिति के दर्जनों मिनट या घंटे पीछे है - सबसे अधिक संभावना है, यह समाधान सिएम में घटनाओं के धारा सहसंबंध में उपयोग के लिए उपयुक्त नहीं होगा।
2. सक्रियता प्रबंधन समाधान का उपयोग कर सक्रिय तरीका । आप अपनी रिपोर्ट्स को कोलम्बिया में अपलोड कर सकते हैं, उदाहरण के लिए, माइक्रो फोकस आर्कसाइट करता है। लेकिन क्या कोई गारंटी है कि एक तृतीय-पक्ष स्कैनर पहचान के लिए आवश्यक सभी डेटा लाएगा? वे कितने प्रासंगिक होंगे यदि स्कैन महीने में एक बार (बड़ी कंपनियों के लिए औसत) से अधिक बार नहीं किए जाते हैं, और पूरे बुनियादी ढांचे को कवर करते हैं।
3. निष्क्रिय तरीका । अपूर्ण और गलत डेटा के बावजूद, घटनाओं से संपत्ति की पहचान करें। ईवेंट में सभी कुंजियाँ नहीं होती हैं, विभिन्न स्रोत कुंजियों के विभिन्न सेट भेजते हैं। हालाँकि, यह वक्ताओं में बदलाव के बारे में जानकारी प्राप्त करने का सबसे तेज़ तरीका है। स्रोत, एक नियम के रूप में, उपकरण के नियोजित प्रतिस्थापन के अपवाद के साथ, ऊपर वर्णित सभी स्थितियों में घटनाओं को उत्पन्न करते हैं।
4. हाइब्रिड तरीका है । एक ही बार में सभी दृष्टिकोणों का लाभ उठाएं:
   
   • CMDB के साथ सक्रिय संग्रह तेजी से प्रारंभिक सिएम परिसंपत्ति भरने में सक्षम बनाता है।
   • भेद्यता प्रबंधन के साथ एकीकरण लापता जानकारी को जोड़ देगा।
   • घटनाओं का विश्लेषण आपको प्रत्येक स्रोत की बारीकियों को व्यक्तिगत रूप से ध्यान में रखते हुए, मॉडल को जल्दी से अपडेट करने की अनुमति देगा।
   
   हाइब्रिड विधि आपको दूसरों की समस्याओं को बाहर करने की अनुमति देती है, लेकिन इसे लागू करना मुश्किल है।

फिलहाल, मैंने केवल दो समाधानों के साथ काम किया है, जहां निर्माताओं को इस दृष्टिकोण को लागू करने की विशेषज्ञता थी - आईबीएम क्यूराडार ( संदर्भ द्वारा सामान्य विवरण, एल्गोरिथ्म विवरण बंद हैं) और पॉजिटिव टेक्नोलॉजीज मैक्सपाट्रॉल सीएमजी (एल्गोरिदम विवरण बंद हैं)। फिलहाल, दोनों कंपनियां ठीक हाइब्रिड दृष्टिकोण का उपयोग और सुधार करना जारी रखती हैं।

तो:

1. कार्यस्थानों, नेटवर्क और सर्वर उपकरण को हाइब्रिड तरीके से पहचाना जाना चाहिए, सीएमडीबी से डेटा एकत्र करना, कमजोर प्रबंधन प्रणाली और स्रोतों से घटनाओं को स्वयं।
2. पहचान के लिए एकत्र की गई जानकारी के सही संयोजन और अद्यतन के लिए, विशेषज्ञ तंत्रों का होना आवश्यक है जो प्रत्येक स्रोत की विशेषताओं को ध्यान में रखते हैं।

मॉडल संरचना

कंप्यूटिंग सिस्टम, उन पर स्थापित सिस्टम और एप्लिकेशन सॉफ़्टवेयर सहित, सहसंबंध नियमों की सटीकता में सुधार के लिए आवश्यक बहुत सारी जानकारी ले जाते हैं।

उपयोगकर्ता मॉडल की तरह, नेटवर्क और कंप्यूटिंग सिस्टम के मॉडल में एक सामान्य और व्यवहारिक हिस्सा होता है।

नेटवर्क और कंप्यूटिंग सिस्टम के सामान्य मॉडल की संरचना में कम से कम शामिल होना चाहिए:

• हार्डवेयर (बाहरी उपकरणों सहित);
• उपयोगकर्ताओं को घाव;
• खुले बंदरगाहों के साथ स्थापित सेवाएं और उनका बंडल;
• स्थापित सॉफ्टवेयर और इसका संस्करण;
• स्थापित अद्यतन;
• मौजूदा कमजोरियां;
• निर्धारित कार्य
• स्टार्टअप के लिए सॉफ्टवेयर की सूची;
• रूटिंग टेबल;
• साझा नेटवर्क संसाधन।

नेटवर्क और कंप्यूटिंग सिस्टम के व्यवहार मॉडल की संरचना में कम से कम शामिल होना चाहिए:

• एल 3 और एल 4 के नेटवर्क इंटरैक्शन (क्या प्रोटोकॉल के अनुसार और क्या बातचीत के साथ);
• प्रति सप्ताह प्रेषित डेटा की औसत मात्रा;
• जो उपयोगकर्ता उपयोग कर रहे हैं;
• जिससे नोड्स रिमोट कंट्रोल लागू किया जाता है;
• इस होस्ट (नेटवर्क और स्थानीय) के लिए सुरक्षा सुविधाओं के संचालन के आँकड़े।

नेटवर्क और कम्प्यूटिंग सिस्टम मॉडल

मॉडल के लिए डेटा स्रोत

इस मॉडल के लिए सूचना संग्रह दो तरह से संभव है: सक्रिय और निष्क्रिय।

सामान्य मॉडल पर विचार करें:

संरक्षित डेटा मॉडल

पहचान

आइए संदर्भ के अंतिम घटक पर जाएं - संरक्षित डेटा मॉडल।

अक्सर, संरक्षित डेटा की निगरानी के लिए, इसका उपयोग नहीं किया जाता है, क्योंकि इसके लिए डेटा लीक रोकथाम (DLP) वर्ग के लिए समाधान हैं। हालांकि, यह ज्ञान घटना के महत्व का अधिक सटीक आकलन करने में मदद करता है। उदाहरण के लिए, जब एक सहसंबंध नियम लिखते हैं, तो यह जानना उपयोगी होगा कि घटना केवल कुछ कार्य केंद्र में नहीं होती है, बल्कि उस स्टेशन पर जो वर्तमान में वित्तीय रिपोर्ट को वर्ष या अन्य गोपनीय जानकारी संग्रहीत करता है।

गोपनीय जानकारी की पहचान डीएलपी समाधान में एक फिंगरप्रिंट खोज इंजन द्वारा कार्यान्वित की जाती है। तंत्र की विशिष्टता इसे एसईएम के अंदर लागू करने की अनुमति नहीं देती है। इस प्रकार, संरक्षित डेटा की पहचान के संदर्भ में, डीएलपी वर्ग समाधान के साथ केवल तंग एकीकरण का उपयोग करना संभव है।

मॉडल संरचना

इस तथ्य के कारण कि डीएलपी गोपनीय जानकारी के अधिकांश निगरानी और संरक्षण को लागू करता है, कोलम्बिया में मॉडल की रचना काफी कॉम्पैक्ट है।

कम से कम, संरक्षित डेटा के सामान्य मॉडल में निम्नलिखित को शामिल किया जाना चाहिए:

• क्या संपत्ति गोपनीय जानकारी पर संग्रहीत है;
• जिन उपयोगकर्ताओं की गोपनीय जानकारी तक पहुँच है।

संरक्षित डेटा के व्यवहार मॉडल में कम से कम निम्नलिखित को शामिल किया जाना चाहिए:

• किन संपत्तियों के बीच गोपनीय सूचना प्रसारित होती है;
• जिसके बीच उपयोगकर्ताओं की गोपनीय जानकारी प्रसारित की जाती है।

संरक्षित डेटा मॉडल

मॉडल के लिए डेटा स्रोत

संरक्षित डेटा का एक मॉडल बनाने के लिए, जानकारी प्राप्त करने के दो तरीके भी उपलब्ध हैं - सक्रिय और निष्क्रिय।

सामान्य मॉडल पर विचार करें:

सिएम में मॉडल कार्यान्वयन तंत्र

आइए देखें कि कैसे एक स्पीकर मॉडल को कोलम्बिया में लागू करना संभव है। ऐसा करने के लिए, CRM स्तर पर, दो मुख्य मुद्दों पर ध्यान देने की आवश्यकता है:

1. सक्रिय और निष्क्रिय डेटा संग्रह को कैसे लागू किया जाए।
2. मॉडल को स्टोर करने के लिए कहां और किस रूप में।

मॉडल के लिए सक्रिय डेटा संग्रह , एक नियम के रूप में, सुरक्षा स्कैनर के साथ सिएम एकीकरण प्रणाली द्वारा किया जाता है। इसके अलावा, बाहरी स्रोतों से डेटा डाउनलोड करके सक्रिय संग्रह किया जा सकता है, उदाहरण के लिए, डेटाबेस।

पीडब्लूडी कलेक्शन को एमजीएम से गुजरने वाली घटनाओं का विश्लेषण करके किया जाता है।

एक नियम के रूप में, उपरोक्त मॉडल डेटा को संग्रहीत करने के लिए वर्तमान पीढ़ी के सिएम में, तालिका सूची / सेट की सक्रिय सूची / संदर्भ सेट और इसी तरह का उपयोग किया जाता है। सक्रिय डेटा संग्रह के साथ, बाहरी स्रोतों से उन्हें भरने के लिए योजनाबद्ध कार्य बनाए जाते हैं। निष्क्रिय संग्रह के साथ, अलग-अलग सहसंबंध नियम बनाए जाते हैं, जिसके भीतर, जब आवश्यक घटनाएं दिखाई देती हैं (उपयोगकर्ता निर्माण, सॉफ़्टवेयर हटाने, फ़ाइल स्थानांतरण, आदि), तो घटना से डेटा तालिका सूची में डाला जाता है।

सामान्य स्थिति में, सभी आधुनिक सीएमजी समाधानों में वर्णित एसी मॉडल के डेटा के साथ बनाने और भरने के लिए सभी आवश्यक तत्व होते हैं।

मॉडल की ऐतिहासिकता

एएस लगातार बदल रहा है, यह विचार करना महत्वपूर्ण है, अगर सहसंबंध नियम में नहीं है, क्योंकि वे वास्तविक समय मोड के पास और एएस की वर्तमान स्थिति पर काम करते हैं, तब एक घटना की जांच करते हैं। मिनट, घंटे, और कभी-कभी महीनों की घटना उस क्षण से समाप्त हो सकती है जब तक कि इसकी जांच शुरू नहीं हो जाती। कुछ हमलों के साथ, 6 महीने तक सिस्टम में एक हमलावर की शुरूआत और उसकी गतिविधियों की सीएमडी का पता लगाने ( 2018 कॉस्ट ऑफ द डेटा ब्रीच स्टडी फ्रॉम पोनमॉन ) के बीच खत्म हो सकता है। इस समय के दौरान, सिस्टम का परिदृश्य नाटकीय रूप से बदल सकता है: उपयोगकर्ताओं को जोड़ा जाता है और हटा दिया जाता है, उपकरण कॉन्फ़िगरेशन बदल गया है, घटना की जांच के लिए महत्वपूर्ण उपकरण सेवा से बाहर हो गए हैं, और एक मेजबान से हमलावर द्वारा कॉपी किए गए डेटा को दूसरे को "गिरा" दिया गया है। इसलिए, जांच के दौरान उस स्थिति में सिस्टम मॉडल को देखना महत्वपूर्ण है जिसमें यह घटना के समय था, और वर्तमान में नहीं, जब हमने अभी इसकी जांच शुरू की थी।

: , SIEM, , .

निष्कर्ष

:

1. , , .
2. .
3. SIEM .
4. :
   
   • ;
   • , ;
   • .
5. , , :
   
   • ;
   • .
6. , . .
7. .
8. , , , .
9. SIEM .

---

:

SIEM: « ». 1: ?

SIEM: « ». 2. «»

SIEM: « ». 3.1.

SIEM: « ». 3.2.

SIEM: « ». 4. ( )

SIEM: « ». 5.