Bereicherung der Ereignisprotokollüberwachung durch Korrelation von Nicht-Ereignissicherheitsinformationen
Manchmal bleiben wir bei der Ereignisüberwachung hängen und vergessen das „I“ in SIEM, das für Information steht. Nicht zu vergessen, dass Informationen wichtig sind, da es viele Quellen für nicht ereignisbezogene Sicherheitsinformationen gibt, die Ihr SIEM mehr denn je erfassen und mit Sicherheitsereignissen korrelieren sollte. Es gibt mindestens vier Kategorien von Sicherheitsinformationen, die Sie in Ihrem SIEM nutzen können, um eine bessere Analyse von Sicherheitsereignissen zu ermöglichen:
1. Identifizieren Sie Informationen aus Ihrem Verzeichnis (z. B. Active Directory).
Ihr Verzeichnis verfügt über eine Fülle von Identitätsinformationen, die Ihnen dabei helfen können, in Ihren Sicherheitsprotokollen die Spreu vom Weizen zu trennen. Angenommen, Sie importieren regelmäßig eine Liste aller Mitglieder von Administratorgruppen aus Active Directory in Ihr SIEM und nennen die Liste „Privilegierte Konten“. Verbessern Sie nun alle Regeln oder Berichte, die nach verdächtigen Benutzeraktivitäten suchen, indem Sie auch den Benutzernamen im Ereignis mit der Liste der privilegierten Konten vergleichen. Wenn es eine Übereinstimmung gibt, wird das ohnehin schon verdächtige Ereignis noch wichtiger, da es sich um einen privilegierten Benutzer handelt. In vielen Fällen haben Sie wahrscheinlich eine gewisse Kontrolle über privilegierte Benutzersitzungen. Mithilfe der Liste der privilegierten Konten können Sie jeden identifizieren, der diese Kontrollen umgeht, unabhängig davon, ob ein böswilliger interner oder externer Angreifer Ihre Kontrollen nicht kennt. Möglicherweise verlangen Sie von allen Administratoren, dass sie eine saubere und robuste „Jump Box“ durchlaufen. Sie können eine Regel einrichten, um Anmeldesitzungen zu identifizieren, bei denen sich der Benutzername in Privilegierten Konten befindet, aber nicht über die Jumpbox initiiert wird.
2. Umweltinformationen (sowohl intern als auch global).
Ein globales Beispiel für Umgebungsinformationen ist die Geokodierung. Vielleicht gibt es bestimmte Länder, mit denen Sie aufgrund ihres schlechten Rufs in Bezug auf Cyberkriminalität und Spionage keine Geschäfte machen. Eine weitere beliebte Möglichkeit, die Geokodierung zu nutzen, besteht darin, zu erkennen, wann sich ein bestimmter Benutzer scheinbar an zwei Orten gleichzeitig befindet, was auf kompromittierte Anmeldeinformationen hinweisen kann.
3. Von Sicherheitsorganisationen verfügbare Threat-Intelligence-Feeds
Es gibt ein wachsendes Angebot an Threat-Intelligence-Feeds, das von Community-basierten kostenlosen Feeds bis hin zu kommerziell produzierten und gegen Gebühr erhältlichen Feeds reicht. Diese Feeds reichen von Listen mit IP-Adressen, die mit Befehls- und Kontrollnetzwerken, Botnets und kompromittierten Hosts verknüpft sind, bis hin zu Netzwerkindikatoren für Kompromittierungen und Malware-Signaturen. Wir haben uns kürzlich in unserem letzten Webinar mit EventTracker die kostenlosen Feeds von Emergingthreats.net angesehen. Durch die Korrelation von Ereignisprotokollen aller Ebenen Ihres Netzwerks mit Bedrohungsinformationen können Sie kompromittierte Systeme und hartnäckige Angreifer viel früher im Prozess erkennen.
Sie können aber auch organisationsspezifische (d. h. interne) Umgebungsinformationen nutzen. Beispielsweise fallen möglicherweise alle Workstations Ihrer Administratoren in einen bestimmten IP-Adressbereich. Verwenden Sie diese Informationen in einer Regel, die Anmeldeversuche bei Ihrer Jumpbox oder anderen gehärteten Infrastruktursystemen (z. B. der Verwaltungsnetzwerkschnittstelle auf ESXi- und HyperV-Systemen) untersucht und eine Warnung ausgibt, wenn Sie Versuche sehen, auf diese Systeme von Nicht-Administratoren zuzugreifen. (Wie immer kann die reale Welt etwas komplizierter sein. Ein typisches Beispiel: Möglicherweise müssen Sie auch Anmeldeversuche über die von Administratoren für den Fernzugriff verwendeten Mittel einkalkulieren.)
4. Interne Bedrohungsinformationen
Der CEO von EventTracker, A. N. Ananth, hat diesen Begriff geprägt, um Informationen zu beschreiben, die Sie aus Ihrem eigenen Netzwerk und Ihren Systemen mit ähnlichen Techniken wie externe Threat-Intelligence-Organisationen zusammenstellen können. Der „Crowd-Sourcing“-Wert externer Bedrohungsinformationen lässt sich nicht bestreiten, diesen Informationen fehlt jedoch ein wichtiger Aspekt, der von internen Bedrohungsinformationen berücksichtigt wird. Bei externen Bedrohungsinformationen handelt es sich in der Regel um „schwarze Listen“ mit „bekanntermaßen schädlichen“ Daten. Andererseits liegen interne Bedrohungsinformationen in der Regel in Form von „Whitelists“ mit „bekanntermaßen guten“ Daten vor. Weiße Listen sind in der Regel viel kleiner, effektiver und einfacher anzupassen und zu pflegen. Wenn Ihr SIEM beispielsweise aus der Vergangenheit ermitteln kann, dass Server A normalerweise nur mit 10 anderen Hosts kommuniziert, ist das sehr wertvoll zu wissen - insbesondere, wenn Ihr SIEM Sie warnen kann, wenn dieser Host plötzlich anfängt, Gigabytes an Daten an einen völlig neuen zu senden Host auf einem ungewöhnlichen Port.
Im Endeffekt benötigt Ihr SIEM so viele Daten (sowohl ereignisbezogene als auch nicht ereignisbezogene) und diese effektiv in wertvolle Situationsinformationen umwandeln können. Hören Sie nicht bei Protokollen auf. Suchen Sie nach anderen Arten von Sicherheitsinformationen aus Ihrem Verzeichnis, der lokalen und globalen Umgebung sowie nach Bedrohungsinformationen aus der Sicherheits-Community und aus internen Quellen.