Arve järgib mahtu, mitte väärtust
Enamik turbeteabe ja -sündmuste halduse platvorme hinnastatakse selle järgi, mida need sisse võtavad: gigabaidid päevas, sündmused sekundis või mõlemast lähtuv litsentsitase. Sellel mudelil on vaikne tagajärg. Iga elusolekusignaal, iga pärast väljalaset sisse jäänud silumisrida, iga korduv tulemüüri lubamine sama sisevoo jaoks arveldatakse sama hinnaga kui autentimistõrge, mida sinu analüütikud tegelikult nägema peavad.
Keegi ei kavanda IT-keskkonda nii toimima. See juhtub, sest kõige edasisaatmine on SIEM-i esmakordsel ühendamisel turvaline vaikevalik ja sest kelleltki ei nõuta kunagi logiallika põhjendamist, kui see juba voolab. Kaks või kolm aastat hiljem maksab turbeeelarve indekseerija kallist hinda andmete eest, mille peamine eesmärk on lihtsalt olemas olla.
Kõik sündmused ei ole võrdsed, ja see on normaalne
Aus pilk tüüpilisele sündmustevoole jagab selle kolme rühma. Mõned sündmused väärivad indekseerimist: need toidavad tuvastusi, töölaudu ja otsinguid, mida analüütikud iga päev teevad. Mõned väärivad säilitamist, kuid mitte indekseerimist: need on olulised järgmise kuu uurimise või järgmise aasta audiitori jaoks, kuid keegi ei vaja neid kiires teekonnas. Ja mõned on müra: täpsed duplikaadid, seisukontrollid, paljusõnaline diagnostika, mis ei lisa midagi isegi kohtuekspertiisi ajajoonele.
Viga on käsitleda seda valikuna säilitamise ja kustutamise vahel. See on valik selle kohta, kus iga sündmus asub. Andmed, mis ei vääri indekseerimist, saavad tervikuna ja otsitavana asuda odavas objektisalvestuses ning naasta SIEM-i, kui uurimine neid vajab. Meie põhimõte on lihtne: andmeid ei kustutata, nende mõõtmine lihtsalt lõpeb.
Klassifitseeri enne indekseerimist
Praktiline lahendus on konveier, mis asub logisid tootvate süsteemide ja nende eest arveid esitava platvormi vahel. See loeb iga sündmuse, otsustab inimloetavate reeglite abil, mis see on, ja suunab selle vastavalt edasi. Avatud lähtekoodiga kogujad nagu Vector teevad selle lihtsaks: need parsivad, rikastavad, maskeerivad, koondavad ja suunavad suure läbilaskevõimega ning konfiguratsioon on versioonihalduses hoitav lihttekst.
Heal lahendusel on mõned omadused, mida tasub nõuda, olenemata sellest, kes selle ehitab:
- Iga sündmus jõuab esmalt toorarhiivi, olenemata selle otsusest, nii et klassifitseerimisviga ei too kaasa andmete kadu.
- SIEM-i jõuavad ainult indekseerimist väärivaks klassifitseeritud sündmused ja ainult nende eest esitatakse arve.
- Kõrvaldamiseks peab sündmus olema nimetatud kaks korda, kord madala väärtusega sündmuseks ja kord müraks, nii et midagi ei kao tegematajätmise tõttu.
- Tundlikud väljad maskeeritakse enne, kui ükski järgnev etapp neid näeb.
- Iga reeglit saab enne kasutuselevõttu eelmise nädala arhiivi vastu uuesti esitada, näidates täpselt, millised otsused muutuksid.
Millised on numbrid
Oleme arvudega ettevaatlikud, nii et siin on see, mida saame välja öelda. Ühes tootmiskeskkonnas vähendas sündmuste sel viisil klassifitseerimine SIEM-i saadetavat mahtu 86,4% võrra, mõõdetuna 7 959 818 sündmuse ulatuses. See arv on kontrollitud. See ei ole garantii iga IT-keskkonna jaoks: allikate kooslus, kasutusel olevad tuvastused ja säilitamiskohustused muudavad kõik tulemust ning igaüks, kes lubab fikseeritud protsenti enne sinu liikluse nägemist, oletab.
Üldiselt saame öelda, et säästu kuju on ennustatav ka siis, kui selle suurus ei ole. IT-keskkondades, kus on palju jutukaid taristuallikaid, paljusõnalist rakenduste logimist või dubleeritud edasisaatmist, on tavaliselt rohkem ruumi. Keskkondades, mis juba allikas filtreerivad, on seda tavaliselt vähem. Ainus viis teada saada on mõõta oma andmetel kindlaksmääratud perioodi jooksul, enne kui millegagi seotud oled.
Analüütikud kaasa
Kuluprojekt, mis vähendab nähtavust, pööratakse tagasi esimesel korral, kui intsident halvasti läheb, ja õigusega. Turbeoperatsioonide meeskond peab klassifitseerimist omama, mitte olema selle kohta lihtsalt konsulteeritud. See tähendab sündmuste identifikaatorite koos nendega läbikäimist, nende otsuse kirjapanemist konveieri otsuse kõrvale ja iga lahknevuse käsitlemist lahendamist vajava leiuna, mitte peidetava detailina.
See tähendab ka, et andmete tagasitoomine peab olema lihtne. Kui nädala jagu arhiveeritud tulemüürisündmuste SIEM-i tagasitoomine nõuab piletit ja kahte nädalat, seisavad analüütikud vastu kõigele, mis indekseerijast lahkub. Kui see nõuab konsoolist uuesti esitamist, lasevad nad kiirel teekonnal meeleldi kõhnaks jääda. Madalam kulu ja parem nähtavus ei ole vastuolus, kui arhiiv on päriselt kasutatav.