उन सभी में से कई जो कि आरएमबी में आए हैं, सहसंबंध नियमों के विकास से परिचित हैं। सीएमजी समाधान के निर्माता, वाणिज्यिक एसओसी, इंटीग्रेटर्स - सभी अपने स्वयं के नियमों का प्रस्ताव करते हैं और दावा करते हैं कि वे दूसरों की तुलना में बेहतर हैं। क्या वास्तव में ऐसा है? नियमों का प्रदाता कैसे चुनें? सिएम विशेषज्ञता क्या है? आइए कटौती के तहत इन विषयों के बारे में सोचते हैं।



हमेशा की तरह, निष्कर्ष में लेख के सभी प्रमुख बिंदु शामिल हैं।

सूचना सुरक्षा में कोई भी विशेषज्ञ जल्द या बाद में इस श्रेणी के सिस्टम-सिस्टम या कुछ व्यक्तिगत तत्वों का उपयोग करना शुरू कर देता है।

कोलम्बिया का एक महत्वपूर्ण हिस्सा सहसंबंध नियम है - ज्ञान जो आपको सूचना सुरक्षा घटनाओं की पहचान करने की समस्या को हल करने की अनुमति देता है। उन्हें स्वयं द्वारा विकसित किया जा सकता है, इंटीग्रेटर को सौंप दिया गया है, या, यदि एक वाणिज्यिक एसओसी से जुड़ा हुआ है, तो अपने विशेषज्ञों के ज्ञान का उपयोग करें। जैसा कि आप देख सकते हैं, कोलम्बिया में सहसंबंध नियमों के कई स्रोत हैं, इसलिए सवाल स्वाभाविक रूप से पसंद का उठता है। यह कार्य विशेष रूप से प्रासंगिक है यदि आपकी कंपनी के पास CRM कार्यों के लिए समर्पित विशेषज्ञ नहीं हैं। इस मामले में, आपको या आपके सहकर्मियों को कई सुरक्षा उपकरण एक ही बार में और इसके अलावा CRM को प्रबंधित करना होगा।

कोलम्बिया के कार्यान्वयन के लगभग एक महीने बाद, यह समझ में आता है कि समाधानों के इस वर्ग के लिए महत्वपूर्ण श्रम लागतों की आवश्यकता होती है। सूचना प्रणाली पर हमलों की कला लगातार विकसित हो रही है। आधुनिक रुझानों को ट्रैक करने, उनका विश्लेषण करने, उनके बुनियादी ढांचे की प्रयोज्यता का आकलन करने और हमलों की पहचान करने के लिए सहसंबंध के नियम लिखने में भी समय लगता है। एक नियम के रूप में, विशेषज्ञों के पास इसके लिए पर्याप्त समय नहीं है।

ऐसी समस्याओं का सामना करते हुए, कंपनियां या तो अपने एसओसी का निर्माण करने और समर्पित विशेषज्ञों को आकर्षित करने, या सहसंबंध नियमों के बाहरी आपूर्तिकर्ताओं को खोजने का फैसला करती हैं। अगला, हम चर्चा करेंगे कि आपूर्तिकर्ता कैसे चुनें और क्या अंतिम ग्राहक को केवल सहसंबंध नियमों की आवश्यकता है।

परीक्षा और उसके गुण

विशेषज्ञता से हमारा तात्पर्य सहसंबंध नियमों, विशेषज्ञ ज्ञान और डेटा का एक सेट है जो घटनाओं की पहचान करने और प्रतिक्रिया देने के लिए न्यूनतम आवश्यक है। आपूर्तिकर्ता (सीएमजी समाधान या एसओसी के निर्माता) द्वारा विशेषज्ञता प्रदान की जाती है, और ग्राहक इसका उपभोक्ता होता है।

सहसंबंध नियमों को डब्लूएमआर डेवलपर्स, एमएसएसपी प्रदाताओं / एसओसी, इंटीग्रेटर्स और समुदाय द्वारा प्रदान किया जा सकता है। हर कोई मानता है कि उनके सहसंबंध नियम गुणात्मक हैं। सच है, अक्सर गुणवत्ता की अवधारणा को उपलब्ध नियमों की संख्या से बदल दिया जाता है। क्या मात्रा गुणवत्ता का सूचक है? सामान्य मामले में, यह एक विवादास्पद बयान है। गुणात्मक परीक्षा में निम्नलिखित गुण हैं:

1. एक विशिष्ट ग्राहक बुनियादी ढांचे में उल्लंघन की सटीक पहचान करता है।
2. वर्तमान विश्व-स्तरीय खतरों का खुलासा करता है। विशिष्ट देश और उद्योग ग्राहक के लिए विशिष्ट खतरों की पहचान करता है।
3. इसमें प्रतिक्रियाशील और सक्रिय घटक दोनों होते हैं।
4. ग्राहक को उसके तार्किक निष्कर्ष के परिणाम बताते हैं।
5. पहचान की गई घटना के जवाब में अगले चरणों पर स्पष्टीकरण प्रदान करता है।

इन गुणों में से कुछ परीक्षा के विकासकर्ता पर आवश्यकताओं को लागू करते हैं, और कुछ अपने काम के परिणाम पर - सहसंबंध और संबंधित सामग्री के नियम।

विशेषज्ञता और इसकी दक्षताओं के विकासकर्ता

आपूर्तिकर्ता चुनने के लिए कौन से मापदंड के आधार पर? हमने छह बुनियादी गुणों को तैयार किया है जो गुणवत्ता विशेषज्ञता को चिह्नित करते हैं। उन्हें सुनिश्चित करने के लिए, नियम प्रदाता को:

• वर्तमान विश्व स्तरीय खतरों की पहचान करें । ये ऐसे आपूर्तिकर्ता हो सकते हैं जिनके पास अपने विश्लेषणात्मक केंद्र हैं जो हमलों का पता लगाने और उनका विश्लेषण करने में विशेषज्ञता रखते हैं। उन्हें सिस्टम की सूचना सुरक्षा का उल्लंघन करने वाले नवीनतम प्रकार के हमलों और दृष्टिकोणों की नियमित निगरानी करनी चाहिए।
• ग्राहक के किसी विशेष देश और उद्योग के लिए विशिष्ट खतरों की पहचान करें । प्रत्येक देश में, खतरे का परिदृश्य और हमले के प्रकारों की सूची की अपनी विशिष्टता हो सकती है। इसलिए, जब कोई आपूर्तिकर्ता चुनते हैं, तो यह महत्वपूर्ण है कि इसके विश्लेषणात्मक केंद्र पर आपकी कंपनी के बुनियादी ढांचे में स्थित देश में निहित ट्रैकिंग खतरों पर एक स्पष्ट ध्यान केंद्रित है। केंद्र के विशेषज्ञों को न केवल किसी विशेष देश में खतरों की बारीकियों को समझना चाहिए, बल्कि उन्हें तुरंत जवाब देने में भी सक्षम होना चाहिए। ऐसा नहीं होना चाहिए कि आपूर्तिकर्ता अपनी घटना के एक सप्ताह बाद एक नए क्षेत्रीय खतरे का जवाब देता है, केवल इसलिए कि व्यवसाय करने के मामले में आपका क्षेत्र इसके लिए प्राथमिकता नहीं है।
• एक प्रतिक्रियाशील और एक सक्रिय घटक दोनों हैं । केंद्र में पेंटेस्टर विश्लेषकों की भर्ती करना पर्याप्त नहीं है। यह महत्वपूर्ण है कि ये विशेषज्ञ न केवल सिस्टम को क्रैक करने के बारे में समझें और जानें, बल्कि यह भी जानें कि हैकिंग के प्रयासों का पता कैसे लगाया जाए और उन्हें कैसे रोका जाए, या उन्हें शुरुआती चरणों में ही रोक दिया जाए। अभ्यास से पता चलता है कि इस पहलू पर थोड़ा ध्यान दिया जाता है: अक्सर विश्लेषणात्मक केंद्र विशेषज्ञों से बनते हैं, या तो केवल हमले के क्षेत्र में, या केवल रक्षा के क्षेत्र में, जो निश्चित रूप से उनके द्वारा उत्पादित विशेषज्ञता के स्तर को प्रभावित करेगा।
• एक विशिष्ट ग्राहक बुनियादी ढांचे में उल्लंघन की सटीक पहचान करें । आपूर्तिकर्ता के पास सहसंबंध नियमों को विकसित करने के लिए एक पद्धति होनी चाहिए जो ग्राहक के विशिष्ट बुनियादी ढांचे के अनुकूल हो सके। नियमों के लिए झूठी सकारात्मक की संख्या को कम करने के लिए यह आवश्यक है। "सहसंबंध नियम जो बॉक्स से बाहर काम करते हैं" शीर्षक लेख की एक बड़ी श्रृंखला इस मुद्दे के लिए समर्पित थी। यह याद रखना महत्वपूर्ण है कि सहसंबंध नियमों के ठीक "औद्योगिक विकास" की प्रक्रिया आपूर्तिकर्ता पर बनाई जानी चाहिए। यह इस प्रकार है कि:
  
  • नियमों को लाइव सिस्टम पर परीक्षण किया जाना चाहिए, न कि सिंथेटिक वाले पर;
  • परीक्षण प्रक्रिया के दौरान, उन प्रकार के हमलों को लाइव पुन: पेश किया जाना चाहिए, जिनका पता लगाने के लिए परीक्षण सहसंबंध नियम निर्देशित है;
  • लोडिंग और रिग्रेशन टेस्ट्स को एसईएम के साथ नियमों की अनुकूलता की पुष्टि करने के लिए किया जाना चाहिए;
  • आपूर्तिकर्ता को पहले जारी किए गए नियमों के लिए अपडेट जारी करना चाहिए, अगर यह पता चला है कि नियमों में बड़ी संख्या में गलत सकारात्मक हैं;
  • ग्राहकों को समाप्त करने के लिए अपडेट और नए सहसंबंध नियमों के त्वरित वितरण के लिए खुद को कोलम्बिया और आपूर्तिकर्ता के पास होना चाहिए।

आवश्यकताओं का सेट काफी विस्तृत है। दुर्भाग्य से, यदि हम एक विशेषज्ञ को प्रतिदिन 2 घंटे बिताते हैं जो सहसंबंध नियमों को विकसित करने के लिए इस गतिविधि पर प्रतिदिन खर्च करता है, तो यह समान उच्च-गुणवत्ता वाली परीक्षा को प्राप्त करने की अनुमति नहीं देगा।

सहसंबंध नियम और उनका वातावरण

अब ग्राहक की आंखों के माध्यम से सहसंबंध नियमों को देखें। वह आपूर्तिकर्ता से गुणवत्ता नियम प्राप्त करना चाहता है और उन्हें अपने सीएमजी में समस्याओं के बिना सक्रिय करना चाहता है। वास्तव में, सब कुछ इतना सरल नहीं है।

काम करने के नियमों के लिए, आपको आवश्यक स्रोतों को सिएम से जोड़ना होगा। नियमों के लिए आवश्यक घटनाओं को उत्पन्न करने के लिए उन्हें कॉन्फ़िगर किया जाना चाहिए। नियम को देखते हुए, यह महत्वपूर्ण है कि इसके कार्य के तर्क को इससे समझा जाए। इसके अलावा, ग्राहक को यह समझने की आवश्यकता है कि यदि नियम काम करता है तो कैसे प्रतिक्रिया दें।

अकेले सहसंबंध नियम विशेषज्ञता कहलाने के लिए पर्याप्त नहीं हैं। परीक्षा सहसंबंध नियम है, एक अतिरिक्त वातावरण के साथ, जिनके सभी तत्व परस्पर जुड़े हुए हैं और एक बंद सर्किट में व्यवस्थित हो सकते हैं - तथाकथित बंद लूप परीक्षा।


बंद लूप विशेषज्ञता

इस श्रृंखला के प्रत्येक लिंक पर विचार करें:

1. आपूर्तिकर्ता / निर्माता कंपनी । परीक्षा इस तथ्य से शुरू होती है कि प्रासंगिक दक्षताओं वाला एक आपूर्तिकर्ता तकनीकी प्रक्रिया के अनुसार सहसंबंध नियम विकसित करता है।
2. सूची और स्रोत सेटिंग्स । विकसित सहसंबंध नियम उन स्रोतों के विवरण के साथ प्रदान किए जाते हैं जिनके आधार पर सहसंबंध नियम काम करता है। प्रदाता यह भी विस्तार से वर्णन करता है कि स्रोत को कैसे कॉन्फ़िगर किया जाना चाहिए ताकि यह आवश्यक घटना प्रकारों की पीढ़ी प्रदान करे। यह अच्छा रूप होगा यदि आपूर्तिकर्ता स्वयं घटनाओं का एक उदाहरण प्रस्तुत करता है।
3. नियम तर्क का वर्णन । ग्राहक को यह समझने के लिए कि सहसंबंध नियमों में कौन से ट्रिगर सिद्धांत निर्धारित किए गए हैं, आपूर्तिकर्ता प्रवाह डायग्राम या पाठ विवरण के रूप में प्रत्येक नियम के तर्क का वर्णन करता है।
4. सहसंबंध नियम । सहसंबंध स्वयं नियम और उनके द्वारा उत्पन्न घटनाओं को प्राथमिकता देने के लिए कार्यप्रणाली सीधे हैं।
5. रिस्पांस प्लान । एक सहसंबंध नियम ट्रिगर एक सूचना सुरक्षा घटना हो सकती है। ग्राहक के लिए यह समझना महत्वपूर्ण है कि बुनियादी ढांचे पर इसके प्रभाव को कम करने के लिए इस घटना का जवाब कैसे दिया जाए। इसके अलावा, स्पष्टीकरण को उस योजना में शामिल किया जाना चाहिए जिसमें किसी घटना के मामले में डेटा को अतिरिक्त रूप से एकत्र किया जाना चाहिए। निस्संदेह, ग्राहक को अपनी कंपनी की बारीकियों के जवाब नियमों को अनुकूलित करना चाहिए। हालांकि, प्रतिक्रिया योजनाओं के भाग के रूप में, आपूर्तिकर्ता को एक विशिष्ट नियम के कारण होने वाली घटना की स्थिति में उपयोगकर्ता के कार्यों पर सामान्य सिफारिशों को प्रतिबिंबित करना चाहिए। तो ग्राहक के पास खुद के लिए समग्र प्रतिक्रिया प्रक्रिया को अपनाने से कुछ धक्का होगा।
6. टेलीमेट्री । सहसंबंध नियम एक गोलाकार वैक्यूम में काम नहीं करते हैं, लेकिन ग्राहक की कंपनी की विशिष्ट स्थितियों में। आपूर्तिकर्ता प्रदान किए गए नियमों की गुणवत्ता के लिए जिम्मेदार है और उन्हें यह समझना चाहिए कि वे कैसे काम करते हैं। इसलिए, नियमों के संचालन पर सांख्यिकी को कोलम्बिया में एकत्र किया जाना चाहिए।
7. आपूर्तिकर्ता / निर्माता कंपनी । गुमनाम रूप में एकत्रित टेलीमेट्री को आपूर्तिकर्ता को वापस भेजा जाना चाहिए। झूठी सकारात्मकता के मामले में सांख्यिकी उसे नियमों में जल्द बदलाव करने में मदद करती है। यह आपको नई तकनीकों और हमलों की रणनीति की पहचान करने और उनकी पहचान के लिए नए सहसंबंध नियमों को तुरंत जारी करने की भी अनुमति देता है।

आपूर्तिकर्ता के लिए आवश्यकताओं का सेट, साथ ही साथ उपरोक्त सभी चेन लिंक को सामूहिक रूप से विशेषज्ञता कहा जाता है। जैसा कि आप देख सकते हैं, श्रृंखला बंद है, इसलिए इस दृष्टिकोण को "बंद-पाश विशेषज्ञता" के रूप में नामित किया गया है।

वर्तमान में, इस दृष्टिकोण का उपयोग सिएम बाजार के मुख्य विदेशी नेताओं द्वारा किया जाता है: आईबीएम क्यूराडार, माइक्रो फोकस आर्कसाइट। रूस में, इसका उपयोग हमारी कंपनी पॉजिटिव टेक्नॉलॉजीज में MaxPatrol Siem के उत्पाद में किया जाता है। एक दिलचस्प विक्रेता-स्वतंत्र परियोजना समुदाय के भीतर विकसित हो रही है - परमाणु खतरा कवरेज , एक समान विचारधारा को बढ़ावा देना। अगला, मैं इसका विवरण दूंगा, जो परियोजना पृष्ठ से लिया गया है।

परमाणु खतरा कवरेज आपको स्वचालित रूप से एक विश्लेषणात्मक डेटाबेस उत्पन्न करने की अनुमति देता है जो डिटेक्शन, रिस्पांस, रोकथाम और खतरों के सिमुलेशन के परिप्रेक्ष्य से MITER ATT & CK में वर्णित खतरों का मुकाबला करने के लिए डिज़ाइन किया गया है। इसमें शामिल हैं:

1. डिटेक्शन रूल्स - सिग्मा -बेड डिटेक्शन रूल्स (सहसंबंध), एक सामान्य प्रारूप है जो कि सिएम प्रणालियों के लिए सहसंबंध नियमों का वर्णन करता है।
2. डेटा की आवश्यकता - एक विशिष्ट खतरे का पता लगाने के लिए डेटा एकत्र किया जाना चाहिए।
3. लॉगिंग नीतियां - लॉगिंग सेटिंग्स जो डिवाइस पर एक विशिष्ट खतरे का पता लगाने के लिए आवश्यक डेटा एकत्र करने के लिए बनाई जानी चाहिए।
4. संवर्धन - कुछ जांच नियमों को लागू करने के लिए आवश्यक डेटा सेटिंग्स।
5. ट्रिगर - एटॉमिक रेड टीम पर आधारित सिमुलेशन स्क्रिप्ट्स - MITER ATT & CK से परमाणु परीक्षण / खतरा कार्यान्वयन परिदृश्य।
6. प्रतिक्रिया क्रिया - परमाणु घटना प्रतिक्रिया कदम।
7. रिस्पांस प्लेबुक - घटना प्रतिक्रिया परिदृश्य एक विशिष्ट खतरे का पता लगाने के दौरान उत्पन्न होता है, प्रतिक्रिया क्रियाओं के आधार पर।
8. हार्डनिंग नीतियां - सिस्टम सेटिंग्स जो आपको एक विशिष्ट खतरे को समतल करने की अनुमति देती हैं।
9. शमन प्रणाली - सिस्टम और प्रौद्योगिकियां जो आपको एक विशिष्ट खतरे को समतल करने की अनुमति देती हैं।

अलग-अलग, मैं एक क्षण को ध्यान में रखता हूं जो अक्सर ग्राहकों और आपूर्तिकर्ताओं की दृष्टि से बाहर हो जाता है। कभी-कभी ऐसी जटिल घटनाएँ घटित होती हैं जिन्हें ग्राहक के विशेषज्ञों द्वारा सुलझाया नहीं जा सकता। आपूर्तिकर्ता को ग्राहक को उसकी समस्या का सामना करने के लिए नहीं छोड़ना चाहिए: "हम आपको नियम देते हैं, वे काम करते हैं, बाकी हमारी समस्याएं नहीं हैं।" मेरी राय में, विशेषज्ञता के गंभीर आपूर्तिकर्ताओं के पास अपने पोर्टफोलियो में घटना की जांच सेवाएं होनी चाहिए, जिसका उपयोग ग्राहक किसी भी स्थिति में 24/7 किसी गंभीर स्थिति में कर सकता है।

निष्कर्ष

संक्षेप में:

1. जिस ग्राहक ने कोलम्बिया को खरीदा है, उसके पास अक्सर 100% काम के समय के समाधान के साथ व्यक्तिगत विशेषज्ञों को आवंटित करने का अवसर नहीं होता है। इस स्थिति में, कुछ समय के बाद इसका उपयोग करना बंद हो जाता है।
2. सहसंबंध नियम अकेले यह सुनिश्चित करने के लिए पर्याप्त नहीं हैं कि वास्तविक सुरक्षा खतरों की पहचान की जाती है। इस संबंध में, सहसंबंध नियमों को केवल विशेषज्ञता नहीं कहा जा सकता है। परीक्षा - सहसंबंध नियमों का एक सेट, विशेषज्ञ ज्ञान और डेटा जो घटनाओं की पहचान करने और जवाब देने के लिए न्यूनतम आवश्यक हैं।
3. परीक्षा में निम्नलिखित गुण होने चाहिए:
   
   • ग्राहक के विशिष्ट बुनियादी ढांचे में उल्लंघन की सटीक पहचान करता है;
   • वर्तमान विश्व-स्तरीय खतरों की पहचान करता है, साथ ही एक विशिष्ट देश और उद्योग के ग्राहक के लिए विशिष्ट है;
   • एक प्रतिक्रियाशील और एक सक्रिय घटक दोनों है;
   • ग्राहक को उसके तार्किक निष्कर्ष के परिणाम बताते हैं;
   • पहचान की गई घटना पर प्रतिक्रिया करने के लिए आगे के चरणों पर स्पष्टीकरण प्रदान करता है।
4. विशेषज्ञ आपूर्तिकर्ता माने जाने के लिए तैयार सिग्मा नियमों की आपूर्ति करना पर्याप्त नहीं है। विशेषज्ञता के आपूर्तिकर्ता को कई आवश्यकताओं को पूरा करना चाहिए।
5. वितरित विशेषज्ञता में निम्नलिखित परस्पर जुड़े तत्व होते हैं:
   
   • स्रोतों की सूची और सेटिंग्स;
   • नियम तर्क वर्णन;
   • सहसंबंध के नियम;
   • प्रतिक्रिया योजना;
   • ट्रिगरिंग नियमों के लिए टेलीमेट्री।
6. परीक्षा प्रदाताओं को अपने पोर्टफोलियो जांच सेवाओं में होना चाहिए जो ग्राहक का उपयोग कर सकता है यदि उसके पास एक जटिल घटना का विश्लेषण करने के लिए अपनी योग्यताएं नहीं हैं।