Miks loetavus on oluline
Kui konveier otsustab, millised turbesündmused jõuavad sinu SIEM-i, määravad selle reeglid, mida sinu analüütikud näha saavad. See on tõsine vastutus, mida musta kasti hooleks anda. Kui loogika asub kompileeritud binaarfailis või tarnija konsoolis, mida sa ei saa uurida, ei suuda keegi sinu organisatsioonis vastata kõige lihtsamale küsimusele, mida audiitor küsib: miks seda sündmust ei indekseeritud?
Meie arvates peaks reegel olema lihttekstifail, mis ütleb, millega see sobitub ja millise klassi see määrab. Igaüks, kellel on juurdepääs, saab selle avada, lugeda ja muuta. Kuid ainult loetavusest ei piisa. Reegel, mida saad muuta, kuid ei saa testida, on kõige ohtlikum, sest see kutsub esile muudatusi, mida keegi ei suuda kontrollida.
Järjekord on reegli osa
Reeglite ahelas on prioriteet sama oluline kui sisu. Hiljem käivituv reegel kirjutab üle varem käivitunud reegli, nii et järjekord, milles konveier faile kokku ühendab, on iseenesest otsus. Me muudame selle järjekorra teadlikuks ja nähtavaks ega lase sellel sõltuda sellest, kuidas failinimed juhtumisi sorteeruvad. Ahela lugemine ülevalt alla peaks olema lugemine sellest, mis sündmusega tegelikult juhtub.
Üks värav väärib eraldi mainimist. Sündmusi kõrvaldav etapp peaks nägema ainult sündmust, mille varasem reegel on juba vaikimisi säilitamise olekust välja liigutanud. Nii ei kõrvaldata midagi tegematajätmise tõttu: sündmus tuleb nimetada madala väärtusega sündmuseks ja seejärel uuesti müraks, enne kui selle saab ära visata.
Juhtumid ja peaaegu-tabamused
Iga reegel saab juhtumi: päris logirea, mis peaks selle tabama. See tõendab, et reegel käivitub. Kuid olulisem artefakt on peaaegu-tabamus: logirida, mis näeb välja sarnane ja ei tohi reeglit tabada. Peaaegu-tabamused on olemas, sest liiga palju püüdev reegel on viga, mida keegi ei märka. Kahe silma vahele jäänud tuvastus ilmneb lõpuks lüngana; liiga lai kõrvaldamisreegel eemaldab vaikselt tõendeid kuude kaupa.
Kogu juhtumite kataloog käivitatakse iga muudatuse juures ja iga juhtum peab jõudma reeglini, mida see väidab, ja mitte ühegi teiseni. Juhtum, mis satub teise reegli juurde, nurjab ehituse. See on tavaline tarkvara testimine, mida rakendatakse millelegi, mida liiga sageli käsitletakse konfiguratsioonina.
Seitsmeastmeline protsess
Iga allolev samm on olemas, sest klassifitseerimisreegli muutmine muudab seda, mida turvameeskond näeb, ja see peab olema tõendatav enne kogujani jõudmist ning tagasivõetav pärast seda.
- Kirjuta see: lihttekstifail, mis ütleb, millega see sobitub ja millise klassi see määrab.
- Anna sellele juhtum ja peaaegu-tabamus: üks logi, mis peab seda tabama, ja üks, mis ei tohi.
- Tõenda kogu kataloogi ulatuses, et see jõuab selle reeglini ja mitte ühegi teiseni.
- Küsi mootorilt: lase konveieritarkvaral endal konfiguratsiooni valideerida, sest faili lugemine ja mootorilt küsimine ei ole sama tegevus.
- Esita see uuesti eelmise nädala toorarhiivi vastu ja raporteeri iga sündmus, mille otsus muutus, koos mahuga, mille see indekseerijale lisab või sealt eemaldab.
- Saada see välja versioonitud konfiguratsioonipaketina ja lase kogujal end tõendada oma väljundeid testides, mitte teatades, et fail kirjutati.
- Hoia see tagasivõetavana: eelmine pakett jääb kättesaadavaks, iga muudatus on auditijäljes ja toorarhiiv jääb puutumata.
Ristkontroll asjatundjatega
Reegleid ei tohiks kirjutada isolatsioonis. Parim meile teadaolev praktika on käia iga sündmuse identifikaator turbeoperatsioonide meeskonnaga läbi ühises töövihikus, nii et igal juhtumil on kaks otsust: mida ahel annab ja mida analüütikud ootavad. Kui need erinevad, pannakse lahknevus avalikult kirja ja lahendatakse, mitte ei siluta seda üle.
See loob midagi väärtuslikku ka väljaspool konveierit ennast: kirjaliku, ülevaadatava dokumendi sellest, miks iga sündmuste klassi käsitletakse just nii. Kui meeskond vahetub või saabub audiitor, on põhjendused endiselt olemas. See dokument on osa sellest, mida me koos reeglitega üle anname.
Mida see sulle annab
Praktiline tulemus on enesekindlus. Analüütikud saavad muudatuse välja pakkuda ja näha selle mõju päris liiklusele enne, kui see kedagi mõjutab. Insenerid saavad juurutada ilma SSH-seanssi avamata. Juhid saavad audiitorile täpselt näidata, miks teatud sündmuste kategooria läheb arhiivi, mitte indekseerijasse. Ja kui muudatus osutub valeks, maksab see ühe uuesti laadimise, mitte ülesehitamise.