搜索

[12917] 2018-07-07_花钱买罪受？SIEM的五大常见问题

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-07-07_花钱买罪受？SIEM的五大常见问题 花 钱 买 罪 受 ？ S I E M 的 五 大 常 见 问 题 柚 子   F r e e B u f   2 0 1 8 - 0 7 - 0 7 引 言 引 言 眼 下 很 多 单 位 的 安 全 业 务 都 深 受 眼 下 很 多 单 位 的 安 全 业 务 都 深 受 ” 威 胁 检 测 威 胁 检 测 ” 问 题 的 困 扰 。 问 题 的 困 扰 。 M a n d i a n t 安 全 公 司 在 安 全 公 司 在 2 0 1 8 年 的 年 的 M - T r e n d s 报 告 中 就 指 报 告 中 就 指 出 ， 从 攻 击 开 始 到 发 现 攻 击 活 动 的 平 均 时 长 是 出 ， 从 攻 击 开 始 到 发 现 攻 击 活 动 的 平 均 时 长 是 9 9 天 。 在 这 个 天 。 在 这 个 “ 猫 捉 老 鼠 猫 捉 老 鼠 ” 的 游 戏 中 ， 很 明 显 ， 现 在 这 只 猫 还 只 是 的 游 戏 中 ， 很 明 显 ， 现 在 这 只 猫 还 只 是 一 只 在 喝 奶 的 小 猫 咪 。 为 了 让 它 迅 速 强 大 ， 众 多 安 全 厂 商 开 始 鼓 吹 为 这 只 嫩 猫 配 备 一 个 叫 做 一 只 在 喝 奶 的 小 猫 咪 。 为 了 让 它 迅 速 强 大 ， 众 多 安 全 厂 商 开 始 鼓 吹 为 这 只 嫩 猫 配 备 一 个 叫 做 “ S I E M ” 的 神 器 。 的 神 器 。 可 没 想 到 ， 投 了 钱 ， 烦 恼 却 越 来 越 多 可 没 想 到 ， 投 了 钱 ， 烦 恼 却 越 来 越 多 … … 我 曾 在 S A N S 开 过 一 门 “ S I E M   w i t h   T a c t i c a l   A n a l y t i c s ” 的 课 程 ， 很 多 人 认 为 我 是 S I E M 的 绝 对 拥 护 者 。 当 然 ， 我 的 确 是 ， 因 为 我 认 为 S I E M 是 现 有 的 、 最 强 大 的 检 测 解 决 方 案 之 一 。 但 是 ， “ 最 强 大 ” 并 不 一 定 意 味 着 “ 最 好 ” 。 虽 然 我 也 希 望 S I E M 能 够 解 决 我 们 所 有 的 问 题 ， 但 事 实 并 非 如 此 。 甲 方 单 位 采 购 S I E M 一 般 都 会 带 着 下 面 这 些 美 好 的 愿 望 ： 快 速 的 搜 索 和 响 应 时 间 能 够 与 任 何 团 队 或 个 人 尽 可 能 精 细 化 地 共 享 数 据 内 置 威 胁 情 报 ， 突 出 攻 击 者 活 动 零 误 报 大 数 据 及 分 析 技 术 机 器 学 习 或 行 为 分 析 的 自 动 化 数 据 关 联 自 动 化 但 实 际 部 署 后 ， 除 了 最 开 始 的 采 购 投 入 ， 还 会 产 生 大 量 日 常 维 护 的 费 用 支 出 和 人 力 成 本 。 从 目 前 的 S I E M 技 术 及 部 署 情 况 来 看 ， 上 面 提 到 的 “ 美 好 愿 望 ” 都 是 不 合 理 的 。 首 先 我 们 要 明 确 的 一 点 是 ， S I E M 只 是 整 个 安 全 保 障 项 目 中 的 其 中 一 部 分 ， 它 是 否 能 够 发 挥 作 用 仍 然 依 赖 于 其 它 安 全 组 件 。
本 文 主 要 包 括 以 下 三 部 分 内 容 ： S I E M 的 五 大 常 见 问 题 实 际 应 用 案 例 S I E M 采 购 建 议 与 功 能 实 现 的 必 要 条 件 S I E M 的 五 大 常 见 问 题 的 五 大 常 见 问 题 1 .   收 集 的 数 据 质 量 越 高 ， 收 集 的 数 据 质 量 越 高 ， S I E M 性 能 越 好 性 能 越 好 明 确 收 集 哪 些 类 型 的 日 志 比 单 纯 地 收 集 日 志 更 重 要 。 只 简 单 地 部 署 一 个 S I E M 起 不 到 任 何 安 全 保 障 的 作 用 — — 将 数 据 加 载 到 S I E M 中 才 赋 予 了 它 真 正 的 价 值 。 那 么 问 题 来 了 ： 很 多 数 据 源 并 不 理 想 ， 且 大 多 数 数 据 不 易 以 二 进 制 “ 好 / 坏 ” 的 方 式 分 类 。 比 如 ， W i n d o w s 日 志 的 收 集 非 常 普 遍 ， 对 安 全 操 作 人 员 来 说 ， 这 是 一 个 最 好 也 是 最 糟 糕 的 数 据 源 。 对 于 刚 接 触 的 安 全 人 员 来 说 ， W i n d o w s 系 统 甚 至 都 不 会 记 录 重 要 的 事 件 日 志 ， 因 为 进 程 和 命 令 行 日 志 、 P o w e r S h e l l 日 志 和 W i n d o w s 驱 动 程 序 框 架 日 志 在 默 认 情 况 下 都 是 不 启 用 的 。 但 如 果 在 未 调 试 的 情 况 下 记 录 所 有 日 志 ， S I E M 就 会 因 为 大 量 的 无 用 数 据 而 不 堪 重 负 。 默 认 启 用 的 W i n d o w s 日 志 尽 管 作 用 很 大 ， 但 也 会 产 生 大 量 的 垃 圾 信 息 。 日 志 的 收 集 、 解 析 和 过 滤 是 一 门 需 要 时 间 和 耐 心 的 艺 术 。 另 外 ， 还 要 对 日 志 的 有 效 性 进 行 反 复 评 估 。 更 何 况 ， 我 们 还 没 有 考 虑 数 据 如 何 输 入 S I E M 的 问 题 。 如 果 该 日 志 由 s y s l o g （ 一 种 常 见 的 日 志 传 输 协 议 ） 发 出 ， 那 么 管 理 员 必 须 执 行 解 析 。 这 就 意 味 着 该 日 志 在 S I E M 中 的 状 态 可 能 已 经 丢 失 了 原 始 事 件 中 的 某 些 数 据 和 环 境 信 息 。 还 是 以 W i n d o w s 为 例 ， 单 个 W i n 1 0 系 统 在 本 地 二 进 制 X M L 日 志 结 构 中 有 超 过 8 0 0 个 字 段 。 然 而 ， 大 多 数 S I E M 对 日 志 源 进 行 解 析 、 削 减 和 转 换 后 就 只 有 2 0 0 个 字 段 了 。 这 个 结 果 就 像 你 本 来 是 可 以 开 跑 车 的 ， 却 去 骑 了 马 。 你 能 走 多 远 ， 取 决 于 你 收 集 了 什 么 数 据 、 通 过 什 么 样 的 方 式 收 集 。 2 .   S I E M 要 与 实 际 案 例 相 结 合 要 与 实 际 案 例 相 结 合 呜 呜 呜 … … 它 没 有 电 池 …
S I E M 无 法 将 信 息 安 全 领 域 的 专 业 知 识 和 日 志 应 用 与 你 的 具 体 需 求 实 现 自 动 化 结 合 。 一 旦 数 据 进 入 S I E M ， 就 需 要 你 来 告 诉 S I E M 应 如 何 处 理 这 些 数 据 。 简 单 来 说 ， 就 像 我 们 买 了 一 个 玩 具 ， 玩 具 本 身 是 不 带 电 池 的 ， 需 要 我 们 准 备 好 电 池 并 完 成 准 确 的 安 装 。 S I E M 就 是 一 个 很 酷 的 玩 具 ， 但 是 木 有 电 池 … … 你 是 否 也 有 过 这 样 的 经 历 ， 询 问 某 个 厂 商 关 于 他 们 S I E M 产 品 的 告 警 规 则 或 检 测 攻 击 者 所 使 用 的 技 术 ， 却 只 得 到 “ 每 个 单 位 都 不 一 样 ” 这 样 的 回 答 ？ 虽 然 一 定 程 度 上 的 确 如 此 ， 但 还 是 有 一 些 基 于 常 见 攻 击 方 法 的 技 术 具 有 普 适 性 。 下 面 我 举 两 个 例 子 ： M I T R E   A T T ＆ ＆ C K ： 这 个 开 源 框 架 是 攻 击 方 法 与 行 为 的 模 型 。 防 御 者 可 以 用 它 来 识 别 攻 击 者 可 能 使 用 的 技 术 方 法 ， 查 看 他 们 的 流 程 和 控 制 措 施 ， 从 而 找 出 检 测 和 预 防 覆 盖 面 中 的 不 足 。 S i g m a ： ： 这 是 一 种 S I E M 的 中 性 规 则 语 言 ， 可 用 于 编 写 支 持 任 何 环 境 及 任 何 S I E M 的 规 则 。 为 了 使 这 个 概 念 发 挥 作 用 ， 转 换 过 程 采 用 S I E M 非 自 动 编 写 的 规 则 ， 适 用 于 特 定 的 S I E M 。 总 而 言 之 ， S I E M + 应 用 案 例 = 幸 福 的 婚 姻 。 不 与 实 际 应 用 相 结 合 的 S I E M 早 晚 都 会 “ 离 婚 ” ， S I E M 的 “ 誓 言 ” 、 “ 信 任 ” 以 及 强 大 的 检 测 功 能 都 将 形 同 虚 设 。 3 .   数 据 越 多 并 不 等 于 检 测 功 能 越 强 大 数 据 越 多 并 不 等 于 检 测 功 能 越 强 大 大 数 据 时 代 已 经 来 临 。 安 全 运 营 团 队 正 在 争 先 恐 后 地 收 集 他 们 可 以 得 到 的 所 有 数 据 。 除 了 抢 房 ， 还 要 抢 数 据 。 最 常 见 的 错 误 就 是 S I E M 中 充 斥 着 大 量 无 用 的 数 据 ， 我 把 这 种 现 象 称 之 为 “ 茶 歇 S I E M ” — — 即 使 是 简 单 的 搜 索 ， 也 需 要 数 秒 或 更 长 时 间 才 能 完 成 。 如 果 一 位 分 析 师 一 直 都 在 等 待 搜 索 结 果 ， 那 么 他 们 可 能 就 会 自 然 而 然 地 选 择 值 得 搜 索 的 内 容 ， 即 返 回 结 果 最 快 的 。 依 然 在 等 待 … … S I E M 需 要 的 是 增 强 分 析 ， 而 不 是 阻 碍 分 析 过 程 。 简 单 来 说 ， l e s s   i s   m o r e （ 过 犹 不 及 ） 。 数 据 越 多 ， S I E M 性 能 反 而 越 差 ， 分 析 师 掉 的 坑 也 就 越 多 。 4 .   缺 乏 环 境 缺 乏 环 境 让 我 自 己 解 决 ？ 我 花 钱 不 就 是 为 了 让 你 来 帮 我 的 么 ？ 一 个 好 的 S I E M 应 由 分 析 师 构 建 ， 为 分 析 师 服 务 。 也 就 是 说 ， 当 分 析 师 查 看 警 报 或 日 志 时 ， S I E M 能 够 提 供 有 利 的 环 境
信 息 。 如 今 市 场 中 大 多 数 S I E M 在 日 志 丰 富 化 （ l o g   e n r i c h m e n t ） 或 为 日 志 添 加 环 境 信 息 方 面 的 功 能 都 很 完 善 。 但 是 ， 在 实 际 部 署 中 ， 相 对 于 l o g   e n r i c h m e n t ， 很 多 人 都 更 加 注 重 数 据 的 收 集 。 例 如 ， 如 果 一 个 分 析 师 正 在 查 看 “ c o v e r t c 2 . c o m ” 这 个 正 在 被 访 问 的 可 疑 域 名 。 一 个 D N S 日 志 包 含 域 名 、 源 I P 和 目 的 I P 报 头 信 息 、 产 生 的 I P 地 址 以 及 D N S 记 录 类 型 。 这 些 信 息 是 否 足 以 让 分 析 师 确 定 该 域 名 为 恶 意 、 可 疑 还 是 良 性 ？ 很 明 显 ， 仅 根 据 这 些 有 限 的 数 据 作 出 的 决 定 肯 定 存 在 偏 差 。 现 在 请 你 想 象 一 下 ， 如 果 S I E M 添 加 了 以 下 这 些 环 境 信 息 ， 你 能 够 推 测 出 什 么 ？ 该 域 名 不 在 访 问 的 前 1 0 0 万 个 网 站 中 。 该 域 名 注 册 于 2 0 1 6 年 1 1 月 1 日 。 该 I P 与 伊 利 诺 伊 州 的 一 家 企 业 有 关 。 该 I P 属 于 T o t a l   S e r v e r   S o l u t i o n s   L . L . C . 。 该 域 名 未 出 现 在 威 胁 情 报 数 据 库 中 。 该 域 名 看 起 来 并 非 随 机 生 成 。 这 些 环 境 信 息 并 不 能 让 分 析 师 百 分 之 百 地 确 定 善 恶 ， 但 无 疑 为 分 析 师 提 供 了 很 多 背 景 信 息 ， 能 够 帮 助 他 们 作 出 更 加 明 智 的 决 定 。 5 .   重 心 偏 离 ： 过 多 关 注 重 心 偏 离 ： 过 多 关 注 S I E M 的 维 护 的 维 护 说 来 也 怪 ， 很 多 单 位 都 能 接 受 S I E M 的 一 大 弱 点 — — 人 力 成 本 （ 有 时 甚 至 是 一 笔 巨 额 开 销 ） 。 他 们 会 聘 请 专 家 或 要 求 现 有 团 队 为 数 据 收 集 和 S I E M 的 维 护 提 供 支 持 。 因 此 ， 最 后 造 成 的 局 面 就 是 该 单 位 没 有 发 挥 S I E M 的 服 务 价 值 ， 反 过 来 消 耗 大 量 资 源 来 “ 伺 候 ” 它 。 这 方 面 的 人 力 投 入 如 果 放 在 其 它 地 方 ， 完 全 可 以 实 现 更 大 的 价 值 。 如 果 你 花 8 0 % 的 时 间 在 S I E M 的 维 护 上 （ 代 理 部 署 、 日 志 解 析 、 系 统 升 级 ） ， 那 么 你 就 很 可 能 永 远 无 法 实 现 S I E M 价 值 的 最 大 化 。 自 动 化 对 于 一 个 成 功 的 S I E M 实 施 方 案 来 说 太 重 要 了 。 你 的 环 境 是 不 断 变 化 的 ， “ 自 动 化 ” 也 应 紧 跟 步 伐 ， 只 有 这 样 才 能 将 你 的 时 间 花 在 战 术 实 施 方 面 。 我 要 的 是 “ 全 自 动 ” ！ ！ ！ 应 用 案 例 ： 应 用 案 例 ： 6 周 周   v s .   1 4 个 月 个 月 关 于 第 5 个 问 题 ， 我 们 来 看 一 个 实 际 案 例 。 我 曾 供 职 的 一 家 公 司 推 出 了 一 个 S I E M 解 决 方 案 。 该 项 目 中 有 1 5 个 全 职 员 工 ， 项 目 总 时 长 1 4 个 月 。 一 年 以 后 ， 他 们 暂 停 了 项 目 ， 反 思 S I E M 实 现 了 什 么 功 能 、 为 公 司 创 造 了 什 么 价 值 。 回 顾 结 果 并 不 理 想 。 1 4 个 月 以 后 ， 他 们 仍 然 处 于 数 据 收 集 的 状 态 ， 检 测 功 能 依 然 无 法 发 挥 作 用 。 后 来 我 有 幸 介 入 了 这 个 项 目 。 在 不 到 一 个 月 的 时 间 内 ， 推 出 了 一 个 全 新 的 方 案 ： 利 用 自 动 化 技 术 部 署 日 志 代 理 、 数 据 收 集 、 数 据 源 部 署 ， 修 改 或 禁 用 默 认 或 预 警 警 报 ， 并 根 据 已 丰 富 的 日 志 数 据 实 施 新 的 警 报 机 制 。
直 到 第 6 周 快 结 束 时 ， 不 到 5 个 正 式 员 工 所 输 出 的 解 决 方 案 超 过 了 1 5 个 人 花 了 1 4 个 月 的 工 作 成 果 。 显 然 ， 改 革 后 S I E M 的 投 资 回 报 远 超 预 期 。 采 购 采 购 S I E M 的 的 6 大 关 键 前 提 大 关 键 前 提 一 个 成 功 的 S I E M 方 案 必 须 具 备 以 下 条 件 ： 员 工 具 有 专 业 的 信 息 安 全 知 识 背 景 员 工 具 备 对 S I E M 产 品 的 充 分 了 解 数 据 丰 富 功 能 支 持 自 动 化 对 重 要 数 据 的 收 集 与 利 用 检 测 功 能 与 实 际 应 用 相 结 合 机 器 学 习 和 行 为 分 析 也 是 非 常 重 要 的 技 术 组 成 部 分 。 但 是 在 你 还 没 有 做 好 上 述 准 备 之 前 ， 暂 且 不 要 将 精 力 全 部 放 在 机 器 学 习 或 行 为 分 析 上 。 一 个 已 达 到 上 述 6 个 前 提 条 件 但 尚 未 实 现 自 动 检 测 功 能 的 S I E M 应 用 单 位 将 比 没 有 做 好 准 备 却 专 注 于 自 动 捕 捉 异 常 行 为 工 具 的 单 位 更 具 潜 力 。 关 键 要 点 关 键 要 点 根 据 一 般 的 经 验 法 则 来 看 ， S I E M 更 适 合 成 熟 的 、 有 经 验 的 安 全 团 队 来 操 作 。 当 然 ， 这 也 不 是 硬 性 规 定 ， 我 同 样 也 看 到 过 很 多 初 级 团 队 成 功 部 署 S I E M 并 取 得 正 向 结 果 。 他 们 能 够 将 S I E M 很 好 地 与 部 署 环 境 相 结 合 ， 并 实 施 像 防 火 墙 规 则 这 样 的 安 全 控 制 措 施 。 但 大 多 数 情 况 下 ， 很 多 团 队 都 是 莽 撞 地 加 入 S I E M 大 军 ， 迎 面 即 遇 上 了 我 上 述 列 举 的 五 大 问 题 。 关 键 要 点 如 下 ： S I E M 绝 不 能 成 为 展 开 安 全 保 障 的 切 入 点 ， 尤 其 是 在 刚 成 立 安 全 部 门 的 情 况 下 。 一 口 吃 不 成 胖 子 ， 首 先 要 从 最 基 础 的 做 起 。 终 端 安 全 解 决 方 案 、 网 络 分 段 、 防 火 墙 等 等 在 安 全 防 御 方 面 路 漫 漫 其 修 远 兮 ， 但 是 对 于 检 测 功 能 的 实 现 却 尤 为 必 要 的 。 完 成 基 础 内 容 后 ， 下 一 步 当 然 也 不 是 立 马 去 买 个 S I E M 回 来 。 只 有 当 你 符 合 上 述 要 求 时 ， 才 可 以 推 进 S I E M 的 购 买 和 维 护 。 我 希 望 以 上 的 观 点 能 够 帮 助 你 的 团 队 规 避 S I E M 的 常 见 问 题 ， 成 为 威 胁 检 测 战 役 中 的 常 胜 将 军 。 注 ： 本 文 作 者 J u s t i n   H e n d e r s o n ， S A N S 培 训 老 师 （ 课 程 名 称 ： S I E M   w i t h   T a c t i c a l   A n a l y t i c s ） ， 拥 有 十 多 年 经 验 的 安 全 架 构 师 与 研 究 员 ， 热 衷 于 传 道 授 业 解 惑 。 * 参 考 来 源 ： 参 考 来 源 ： r e d c a n a r y . c o m ， ， F B 小 编 柚 子 编 译 ， 转 载 请 注 明 来 自 小 编 柚 子 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理