От
KL FC Bot
Вендоры SIEM-систем поставляют правила корреляции, которые могут работать сразу «из коробки». И количество этих правил у всех разное. Это неизбежно приводит к законному вопросу — сколько же нужно правил для эффективной работы SIEM? Очевидно, это не такой простой вопрос. И количество правил, создаваемых вендорами, — вовсе не основной критерий для ответа на него.
Насколько эффективны правила «из коробки»?
Если бы мы жили в мире с универсальными информационными инфраструктурами, то типовые правила отлично справлялись бы со всеми задачами. К сожалению, в реальности все значительно сложнее — многое зависит от объекта защиты: важно, какие используются операционные системы, какие приложения необходимы для обеспечения рабочих процессов, какие средства защиты уже внедрены и какой аудит настроен. Кроме того, следует учитывать, что новые уязвимости выявляются с завидной регулярностью, а иногда злоумышленники и вовсе изобретают новые векторы атак.
Не стоит расценивать SIEM как систему, которую можно включить и сразу начать использовать. Вам в любом случае придется создавать новые детектирующие правила или серьезно дорабатывать те, что поставляются «из коробки». Все, кто начинают работать с базовым набором правил, очень быстро понимают, что большую их часть придется отключить — просто потому, что при сомнительной эффективности они создают значительную нагрузку на SIEM-систему. А остальные правила придется перерабатывать для лучшего соответствия реалиям вашей инфраструктуры.
То есть правила «из коробки» правильнее рассматривать не как готовый к использованию инструмент, а как источник идей. И по большому счету важно не то, сколько их поставляется разработчиком решения, а то, насколько они эффективны и насколько трудоемкой будет их адаптация под ваши нужды. А для облегчения адаптации, например, критичны наличие описания логики работы правил и их структуризация — в соответствии с источниками событий или MITRE ATT&CK.
Так что оценивать правила для SIEM простым подсчетом точно не стоит.
Посмотреть полную статью
От mmaazzik
От Mrak
От Дмитрий Сан
От KL FC Bot
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти