🌕 🈯️ 🅿️ सिग्मा नियम। एसओसी के लिए शिल्प या नया मानक 🌵 🔛 👨🏾‍🚒

मैं Infosecurity में SOC (सिक्योरिटी ऑपरेशंस सेंटर) का प्रमुख सर्गेई रुबलेव हूं।
इस अनुच्छेद में, मैं विस्तार से महत्वाकांक्षी परियोजना सिग्मा नियम की जांच करूंगा, जिसका आदर्श वाक्य है: "लॉग के लिए सिग्मा ट्रैफिक के लिए स्नॉर्ट और फाइलों के लिए यारा।"

यह तीन पहलुओं के बारे में होगा:

खतरे का पता लगाने वाली लिपियों के ज्ञान के आधार को बनाए रखने के लिए सिग्मा-नियम सिंटैक्स की प्रयोज्यता
बॉक्सिंग वाले सिएम सिस्टम के लिए नियम निर्माण उपकरणों की क्षमताएं
सिग्मा नियमों के सार्वजनिक रिपॉजिटरी की वर्तमान सामग्री के एसओसी के लिए मूल्य

एक बार की बात है, एक बहुत दूर, बहुत दूर आकाशगंगा में

यह सब कुछ साल पहले शुरू हुआ था जब पेड़ बड़े थे, और हमारी निगरानी टीम अभी भी छोटी थी। हमने कई सवालों का सामना किया, लगभग कोई भी टीम जो तीन-व्यक्ति लाइन में बढ़ती है, इसके माध्यम से जाती है।

प्रश्नों की उपस्थिति के कारण अलग-अलग हैं:

टीम की बढ़त
स्टाफ का कारोबार
निगरानी के लिए बड़ी संख्या में विषम प्रणालियां

यदि आपको पहले से ही किसी एमआरएम द्वारा कॉन्फ़िगर किए गए समर्थन को लेना है, तो प्रश्नों की संख्या हिमस्खलन की तरह बढ़ती है।

केस लाइब्रेरी का उपयोग करें

निगरानी केंद्रों के निर्माण का विश्व अनुभव पहले से ही अराजकता के आयोजन के लिए एक समाधान के साथ आया है, और इसका नाम केस स्टडीज का पुस्तकालय है। प्रत्येक मामले का उद्देश्य व्यापक रूप से सूचना सुरक्षा निगरानी के ढांचे में एक समस्या के समाधान का वर्णन करना है।

प्रत्येक मामले में निर्धारित ज्ञान की संरचना भिन्न हो सकती है; हम निम्नलिखित सेट से आगे बढ़ते हैं:

उद्देश्य - मामले द्वारा हल किया गया कार्य
धमकी - धमकी कि पता लगाने के नियम का पता लगाने के लिए चाहता है।
हितधारक - इस नियम में रुचि रखने वाले लोग: IB / IT / Business
डेटा आवश्यकताएँ - एक खतरे की पहचान करने के लिए आवश्यक डेटा सेट
तर्क - धमकी का पता लगाने के नियम तर्क
परीक्षण - जांच नियम की शुद्धता का परीक्षण करने के लिए एक एल्गोरिथ्म
प्राथमिकता - मामले द्वारा घटना प्रसंस्करण की प्राथमिकता (आमतौर पर एक सफलतापूर्वक लागू खतरे से संभावित नुकसान से गणना की जाती है)
आउटपुट - अलर्ट को पार्स करने के लिए क्रियाओं की एक सूची, पार्सिंग प्रक्रिया से सही निकास का विवरण और पार्सिंग परिणामों में दर्ज डेटा की संरचना

बॉटनेट प्रबंधन सर्वर के साथ संचार का पता लगाने के कार्य के लिए उदाहरण उदाहरण का उपयोग करें (आमतौर पर C & C या सिर्फ C2 के रूप में जाना जाता है):

उदाहरण बहुत सरल है, वास्तव में, उचित विवरण के साथ, मामला एक बहु-पृष्ठ दस्तावेज़ में बढ़ता है।

उस समय, जब मामलों की संख्या कई दसियों को पार कर गई, हमने मानव के अलावा, ज्ञान के आधार पर, इस तरह के ज्ञान के आधार को बनाए रखने के लिए तैयार उपकरणों की तलाश शुरू कर दी, साथ ही काम के लिए किसी प्रकार का मशीन-अनुकूल इंटरफेस भी।

सिग्मा प्रोजेक्ट

सिग्मा परियोजना निश्चित रूप से घटना का पता लगाने के नियमों पर ज्ञान के आधार के संदर्भ में विचार के योग्य है। यह 2016 में शुरू हुआ था, और मैं शुरुआत से ही इसका अनुसरण कर रहा हूं।

वास्तव में, इस परियोजना में शामिल हैं

सिग्मा खुद शासन करता है
विभिन्न सेग्मेंट सिस्टम के लिए नियमों को प्रश्नों में परिवर्तित करने की उपयोगिता

CRM सूची प्रभावशाली है: लगभग सभी लोकप्रिय घटना विश्लेषण समाधान मौजूद हैं। विस्तार से और क्रम में सब कुछ के बारे में।

नियम वाक्यविन्यास

सिग्मा नियम एक विशिष्ट हमले का पता लगाने के लिए एक परिदृश्य का वर्णन करने वाले YAML दस्तावेज़ हैं। सिंथेटिक, नियमों में निम्नलिखित ब्लॉक शामिल हैं:

मेटा जानकारी

संरचना के लिए वर्णनात्मक भाग और आवश्यक नियमों के लिए खोज को सरल बनाना।

title: Access to ADMIN$ Share description: Detects access to $ADMIN share author: Florian Roth falsepositives: - Legitimate administrative activity level: low tags: - attack.lateral_movement - attack.t1077 status: experimental

मैं यह भी ध्यान देना चाहूंगा कि MITER ATT & CK पद्धति के अनुसार हमले की तकनीक के लिंक के साथ कई नियम पहले से ही उपलब्ध हैं।

डेटा स्रोत घोषणा

उन घटनाओं के आधार पर स्रोत का विवरण जिसमें तर्क का पता लगाया जाता है।

 logsource: product: windows service: security

किसी विशेष उत्पाद की अंतिम सेवा और प्रणालियों की एक पूरी श्रेणी का वर्णन करना संभव है।

प्रसंस्करण तर्क घोषणा

पता लगाने के तर्क स्तर पर, निम्नलिखित वर्णित हैं:

खोजे गए पैटर्न
लॉग में कुछ फ़ील्ड्स का मान
समय सीमा
अलग कार्य

तर्क तुच्छ हो सकता है, उदाहरण के लिए, खेतों के एक सेट पर लगाए गए शर्तें:

 detection: selection: EventID: 5140 ShareName: Admin$ filter: SubjectUserName: '*$' condition: selection and not filter

और काफी जटिल:

 detection: selection1: EventID: - 529 - 4625 UserName: '*' WorkstationName: '*' selection2: EventID: 4776 UserName: '*' Workstation: '*' timeframe: 24h condition: - selection1 | count(UserName) by WorkstationName > 3 - selection2 | count(UserName) by Workstation > 3

भाषा के अर्थपूर्ण साधन, हालांकि सार्वभौमिक नहीं हैं, फिर भी काफी व्यापक हैं और आपको हमलों की पहचान करने के लिए बड़ी संख्या में मामलों का वर्णन करने की अनुमति देते हैं।

नियम विकास उपकरण

YAML के लिए आपके पसंदीदा टेक्स्ट एडिटर के अलावा, SOC प्राइम का WEB UI भी उपलब्ध है, जो आपको पहले से लिखे गए नियम के वाक्यविन्यास को मान्य करने और ग्राफिक ब्लॉकों से मैन्युअल रूप से नियम बनाने की अनुमति देता है।

सिग्मा नॉलेज बेस टूल के रूप में

एक संक्षिप्त सारांश संक्षेप में।

फिलहाल, नियमों का वाक्य विन्यास मुख्य रूप से खतरे का पता लगाने वाले तर्क के विवरण पर केंद्रित है और इसका उपयोग मामले के व्यापक विवरण के लिए नहीं किया गया है, तदनुसार, यह केवल सिग्मा नियमों का उपयोग करते हुए एक पूर्ण पुस्तकालय को बनाए रखने के लिए काम नहीं करेगा।

उपयोग केस संरचना जिसे हमने चुना है, सिग्मा केवल आधा बंद कर देता है (उद्देश्य, डेटा आवश्यकताओं, तर्क और प्राथमिकता)।

विभिन्न सिएम में परिवर्तित करें

चूँकि हम एसओसी सेवाओं के एक सेवा प्रदाता हैं, इसलिए हमारे सभी घटनाक्रमों को कुछ सार्वभौमिक प्रारूप में सहसंबंधी नियमों के अनुसार रखने के लिए और कार्यान्वयन चरण में वांछित CRM प्रारूप में बदलने के लिए विचार हमें बहुत आकर्षक लगा।

परियोजना में विभिन्न एसईएम के प्रारूप में घटना के अनुरोधों को उत्पन्न करने के लिए कंसोल उपयोगिताओं शामिल हैं। विचार करें कि रूपांतरण क्या है और उसके हुड के नीचे क्या है।

रूपांतरण 3 चरणों में होता है:

पार्सिंग नियम - मुझे लगता है कि यह स्पष्ट है: YAML दस्तावेज़ को घटक ब्लॉकों में क्रमबद्ध किया गया है
सिएम टैक्सोनॉमी में कमी
इस चरण की आवश्यकता इस तथ्य से संबंधित है कि सिएम प्रणालियों में सामान्यीकरण को थोड़ा अलग तरीके से लागू किया जाता है, इसलिए सिग्मा के नियमों से घोषणाओं को चयनित कोलम्बिया की घटनाओं के वर्गीकरण के लिए कम करना होगा
सिएम के लिए अनुरोध जनरेशन
इस चरण में काम करने के लिए, एक अन्य घटक की आवश्यकता है - इस सिएम के लिए एक बैकएंड।
वास्तव में, बैकएंड रूपांतरण उपयोगिता के लिए एक प्लग-इन है, जिसमें कोलम्बिया में अंतिम अनुरोध प्रारूप में परिवर्तित करने का तर्क है। पता लगाने और लॉगसोर्स ब्लॉक को पहले से खेतों की सुपरइम्पोज़्ड मैपिंग को ध्यान में रखते हुए परिवर्तित किया जाता है, अतिरिक्त CRM- विशिष्ट जानकारी जोड़ी जाती है।

परिणामस्वरूप, रूपांतरण उपयोगिता शुरू करना इस तरह दिखता है:

निम्नलिखित पैरामीटर पारित किए जाते हैं:

लक्ष्य टारगेट
नियम
इस CRM के लिए मैपिंग फ़ाइल

SOC प्राइम में रूपांतरण फ़ंक्शन ( uncoder.io ) के लिए तैयार यूआई भी है

रूपांतरण के नुकसान

रूपांतरण के यांत्रिकी का अध्ययन करने के बाद, हमें महत्वपूर्ण सीमाओं का सामना करना पड़ा, जिसने हमें सारे घटनाक्रम को सिग्मा प्रारूप में परिवर्तित करने से रोक दिया:
कनवर्टर केवल एक अनुरोध के साथ संचालित होता है। CRM में सहसंबंध नियम अधिक पहलुओं को प्रभावित करता है: पहचाने गए अलर्ट के परिणामों के आधार पर समय खिड़की, एकत्रीकरण, क्रियाएं
ActiveDists जैसे व्यक्तिगत RGBs की प्रमुख विशेषताओं पर ध्यान नहीं दिया जाता है।
फ़ील्ड मैपिंग का अपर्याप्त विवरण - मैपिंग कॉन्फ़िगरेशन के भाग के रूप में, केवल कुछ स्रोतों के फ़ील्ड की पुष्टि की जाती है, तदनुसार, डेटाबेस में विभिन्न प्रकार के इवेंट स्रोतों के कई दसियों के लिए नियम होने पर, आपको मैपिंग लिखने में भारी निवेश करना होगा।

नियम आधार

आइए देखें कि सार्वजनिक रूप से उपलब्ध सिग्मा नियम बेस कैरी क्या है। वर्तमान में, सामग्री सक्रिय रूप से दो रिपॉजिटरी में जोड़ी जा रही है:

मुख्य परियोजना भंडार
SOC प्राइम थ्रेट डिटेक्शन मार्केटप्लेस

रिपॉजिटरी में नियमों में एक नॉनजरो चौराहा है।
SOC प्राइम में कई नियम होते हैं जो पेड सब्सक्रिप्शन पर लागू होते हैं; मैं इस लेख में उनकी सामग्री पर विचार नहीं करता।

विश्लेषिकी के लिए, हमें अजगर और कुछ प्रोग्रामिंग कौशल के लिए सिगमाटूल लाइब्रेरी की आवश्यकता है।

एक डिक्शनरी से नियमों को पार्स और लोड करने के लिए, आप निम्नलिखित कोड का उपयोग कर सकते हैं:

 from sigma.parser.collection import SigmaCollectionParser import pathlib import itertools def alliter(path): for sub in path.iterdir(): if sub.name.startswith("."): continue if sub.is_dir(): yield from alliter(sub) else: yield sub def get_inputs(paths, recursive): if recursive: return list(itertools.chain.from_iterable([list(alliter(pathlib.Path(p))) for p in paths])) else: return [pathlib.Path(p) for p in paths] BASE_PATH = [r'sigma\rules'] path_list = get_inputs(BASE_PATH, True) rules_map = {} for sigmafile in get_inputs(BASE_PATH, True): f = sigmafile.open(encoding='utf-8') parser = SigmaCollectionParser(f) rule = next(iter(parser)) rules_map[rule['title']] = rule

समान नियमों का पालन करते हुए, निम्न चित्र उभरता है:

नियमों की एक अनूठी सूची के भाग के रूप में, हम निम्नलिखित वितरण प्राप्त करते हैं:

इवेंट स्रोत के प्रकार से:

थोड़ा बड़ा आँकड़ा

विंडोज ~ 80%
Sysmon ~ 53%
प्रॉक्सी ~ 8%
लिनक्स ~ 4%

मूल रूप से, वर्तमान सामग्री विंडोज और सिस्मोन सिस्टम पर केंद्रित है, विशेष रूप से, बाकी सिस्टम के लिए नियम कुछ हैं।

सामग्री उपलब्धता द्वारा:

यह पता चला है कि सिग्मा-नियमों के डेवलपर्स सभी मौजूदा नियमों के 20% से कम स्थिर हैं।

संक्षेप में देना

सार्वजनिक रूप से उपलब्ध स्रोतों में बड़ी संख्या में नियम हैं। वे नियमित रूप से अपडेट किए जाते हैं, और संकेतक का पता लगाने के नियम, और कभी-कभी सबसे हाई-प्रोफाइल एपीटी कंपनियों के लिए तकनीशियन भी जल्दी से दिखाई देते हैं।

वास्तविक जीवन में नियमों को लागू करने के लिए बहुत सारे प्रतिबंध हैं:

Microsoft Sysmon के लिए बहुत सारे नियम हैं, जिनका उपयोग उद्यम में शायद ही कभी किया जाता है।
कई नियम हैं जो वास्तव में IoC चेक (हैश, आईपी पते, यूआरएल, उपयोगकर्ता एजेंट) करते हैं। इस तरह के नियम जल्दी से अप्रचलित हो जाते हैं, और नियमों की तुलना में आईओसी खोजने के लिए अधिक प्रभावी तंत्र हैं।
बहुत सारी प्रायोगिक सामग्री, क्रमशः, अतिरिक्त आवश्यकताओं को कमीशन करने से पहले उच्च गुणवत्ता वाले परीक्षण पर लगाया जाता है।

Infosecurity में, हम घटनाओं के अधिक प्रभावी पता लगाने के लिए ज्ञान के एक अतिरिक्त स्रोत के रूप में सिग्मा नियमों की सामग्री का उपयोग करते हैं। यदि हमें कुछ दिलचस्प लगता है, तो हम पहले ही इसे अपने सहसंबंध नियमों के ढांचे के भीतर लागू कर देंगे, जो उस कर्नेल को ध्यान में रखते हैं जिस पर नियम काम करते हैं (अपाचे स्पार्क) और इन्फ्रास्ट्रक्चर की बारीकियों और संरक्षण के साधन जो हम उपयोग करते हैं।

सिग्मा नियम। एसओसी के लिए शिल्प या नया मानक