Tworzenie reguł detekcji i alertów SIEM

Reguły wykrywania to zakodowana w systemie SIEM logika określająca, jakie warunki stanowią alert bezpieczeństwa. Bez dobrych reguł wykrywania SIEM jest tylko drogim systemem przechowywania logów. Starannie opracowane reguły identyfikują konkretne zachowania atakujących — próby masowego odgadywania poświadczeń, poruszanie się w poprzek sieci oraz eksfiltrację danych — jednocześnie nie generując alertów dla normalnych działań. Inżynieria wykrywania to dziedzina obejmująca ciągłe tworzenie, testowanie i utrzymywanie tych reguł.

Każda reguła wykrywania ma kluczowe elementy. Źródło danych określa, które logi są przeszukiwane. Warunek filtrowania określa, jakie zdarzenia pasują do reguły. Próg lub wzorzec definiuje, ile zdarzeń lub jaka sekwencja powoduje wygenerowanie alertu. Metadane obejmują ważność, mapowanie do MITRE ATT&CK, opis i zalecaną reakcję. Dobrze udokumentowane reguły pomagają analitykom szybko zrozumieć znaczenie alertu i sposób reakcji po jego wygenerowaniu.

Każda reguła wykrywania stanowi kompromis między czułością (wykrywaniem wszystkich prawdziwie pozytywnych przypadków) a specyficznością (unikaniem fałszywie pozytywnych alertów). Reguła o wysokiej czułości wykrywa każdy wariant ataku, ale generuje ogromny szum alertów. Reguła o wysokiej specyficzności uruchamia się rzadko, lecz może przeoczyć nowe warianty ataków. Dobra inżynieria wykrywania zaczyna się od wysokiej specyficzności, aby zbudować zaufanie analityków, a następnie stopniowo poszerza zakres wraz z ograniczaniem liczby fałszywie pozytywnych alertów i wzrostem zaufania do reguły.

Reguły oparte na progach uruchamiają się, gdy liczba zdarzeń przekroczy limit w określonym oknie czasowym. Doskonale nadają się do wykrywania ataków opartych na dużej liczbie zdarzeń, takich jak ataki brute force, skanowanie portów i DDoS. Kluczowe parametry to: próg liczby zdarzeń (ile zdarzeń), okno czasowe (w ciągu ilu minut) oraz pole grupowania (dla źródłowego adresu IP, użytkownika lub hosta). Nieprawidłowe progi powodują szum alertów albo przeoczenie wykrycia — należy je starannie dostrajać na podstawie historycznych danych bazowych.

Reguły oparte na sekwencjach wyszukują określony, uporządkowany łańcuch zdarzeń, dzięki czemu idealnie nadają się do wykrywania wieloetapowych wzorców ataków. Przykład: otrzymanie wiadomości phishingowej, NASTĘPNIE otwarcie złośliwego załącznika, NASTĘPNIE uruchomienie PowerShell przez aplikację pakietu Office. Każde zdarzenie z osobna może być nieszkodliwe, ale ich sekwencja wskazuje na przejęcie systemu. Większość nowoczesnych systemów SIEM (Splunk, Sentinel, Elastic) obsługuje dopasowywanie sekwencji z korelacją czasową w obrębie łańcuchów zdarzeń.

Sigma to otwarty, niezależny od dostawcy format tworzenia reguł wykrywania, które można konwertować na języki zapytań właściwe dla poszczególnych systemów SIEM (SPL dla Splunk, KQL dla Sentinel, Lucene dla Elastic). Społeczność zajmująca się bezpieczeństwem udostępnia na GitHubie tysiące reguł Sigma obejmujących typowe techniki ATT&CK. Korzystanie z Sigma pozwala organizacjom wdrażać reguły wykrywania tworzone przez społeczność bez ręcznego przepisywania ich na potrzeby konkretnej platformy SIEM, znacznie przyspieszając poszerzanie zakresu wykrywania.

Reguły wykrywania należy przetestować przed wdrożeniem produkcyjnym. Najlepsze praktyki obejmują: testy jednostkowe z użyciem syntetycznych zdarzeń reprezentujących zarówno scenariusze prawdziwie pozytywne, jak i fałszywie pozytywne, testy odtworzeniowe z wykorzystaniem zarejestrowanego nieszkodliwego ruchu w celu zmierzenia współczynnika fałszywie pozytywnych alertów oraz ćwiczenia zespołu red team, podczas których reguła powinna zadziałać dla kontrolowanych symulacji ataków. Narzędzia takie jak Atomic Red Team udostępniają niewielkie skrypty testowe, które bezpiecznie symulują konkretne techniki ATT&CK.

Po wdrożeniu reguły konieczne jest jej ciągłe dostrajanie. Typowe techniki dostrajania obejmują: listy wykluczeń dla znanych, prawidłowych procesów lub kont, które zgodnie z przeznaczeniem uruchamiają regułę, umieszczanie określonych źródłowych adresów IP na liście dozwolonych (skanerów, narzędzi monitorujących), dostosowywanie progów na podstawie zaobserwowanych wartości bazowych oraz dodawanie warunków kontekstowych (alert ma być generowany tylko wtedy, gdy host jest również dostępny z zewnątrz). Każde wykluczenie należy udokumentować wraz z uzasadnieniem, aby przyszli analitycy rozumieli, dlaczego zostało wprowadzone.

Reguły wykrywania powinny zawierać oceny ważności, które pomagają analitykom ustalać priorytety. Typowe poziomy to: Critical — aktywne wykorzystanie podatności, ransomware, przejęcie kontrolera domeny. High — poruszanie się w poprzek sieci, wykradanie poświadczeń, komunikacja C2. Medium — podejrzane rozpoznanie, naruszenia zasad. Low/Informational — nietypowe, lecz niezagrażające bezpośrednio zdarzenia, które warto śledzić. Ważność powinna odpowiadać wpływowi na działalność biznesową, a nie tylko technicznej dotkliwości.

Reguły wykrywania mają cykl życia, którym należy aktywnie zarządzać. Reguły stają się nieaktualne, gdy zmienia się środowisko (wdrażane jest nowe oprogramowanie lub zmieniają się zakresy adresów IP), i zaczynają generować fałszywie pozytywne alerty. Mogą również nie wykrywać nowych technik ataków w miarę rozwoju metod stosowanych przez atakujących. Najlepsze praktyki obejmują przechowywanie reguł w systemie kontroli wersji (git), ich kwartalny przegląd i aktualizację, mapowanie każdej reguły do co najmniej jednej techniki ATT&CK oraz mierzenie skuteczności reguł (liczba uruchomień tygodniowo, współczynnik prawdziwie pozytywnych przypadków), aby wycofywać reguły o słabej skuteczności lub je ulepszać.

Mapa pokrycia wykrywania nakłada istniejące reguły wykrywania na macierz MITRE ATT&CK, aby zobrazować luki w pokryciu. Każda technika objęta co najmniej jedną regułą jest oznaczona na zielono, a techniki nieobjęte wykrywaniem — na czerwono. Taka wizualizacja pokazuje, w których fazach ataku (np. Persistence, Exfiltration) brakuje mechanizmów wykrywania, pomagając zespołom ustalać priorytety tworzenia nowych reguł. Regularne przeglądy pokrycia zapewniają, że program wykrywania nadąża za ewoluującymi technikami stosowanymi przez atakujących.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczył się Pan / nauczyła się Pani, że: reguły wykrywania kodują konkretne zachowania atakujących jako warunki generowania alertów w systemie SIEM, reguły oparte na progach i sekwencjach służą do obsługi różnych typów wzorców ataków, a Sigma zapewnia przenośny format udostępniania reguł wykrywania w społeczności zajmującej się bezpieczeństwem. W następnej części omówimy UEBA i analizę zachowań służące do wykrywania zagrożeń wewnętrznych oraz przejętych kont.