Написание правил обнаружения и оповещений SIEM

Правила обнаружения — это логика, закодированная в SIEM и определяющая, какие условия образуют оповещение безопасности. Без качественных правил обнаружения SIEM остается лишь дорогой системой хранения журналов. Грамотно созданные правила выявляют конкретные действия злоумышленников — перебор учетных данных, горизонтальное перемещение, вывод данных — и не срабатывают при обычных операциях. Проектирование обнаружения — это область, связанная с постоянным созданием, тестированием и сопровождением таких правил.

Каждое правило обнаружения состоит из ключевых компонентов. Источник данных указывает, в каких журналах выполняется поиск. Условие фильтра определяет, какие события соответствуют критериям. Порог или шаблон задает количество событий или последовательность, при которой создается оповещение. Метаданные включают уровень важности, сопоставление с MITRE ATT&CK, описание и рекомендуемое реагирование. Хорошо документированные правила помогают аналитикам быстро понять значение оповещения и определить действия после его срабатывания.

Каждое правило обнаружения представляет собой баланс между чувствительностью (обнаружением всех истинных срабатываний) и специфичностью (избеганием ложных срабатываний). Правило с высокой чувствительностью обнаруживает все варианты атаки, но создает огромное количество информационного шума. Правило с высокой специфичностью срабатывает редко, однако может пропустить новые варианты атак. Грамотное проектирование обнаружения начинается с высокой специфичности, чтобы завоевать доверие аналитиков, а затем постепенно расширяет область применения по мере того, как настройка снижает число ложных срабатываний и повышает уверенность в правиле.

Правила на основе пороговых значений срабатывают, когда количество событий превышает заданный предел в течение временного окна. Они идеально подходят для обнаружения атак, основанных на большом объеме событий, таких как brute force, сканирование портов и DDoS. Ключевые параметры: порог количества (сколько событий), временное окно (за сколько минут) и поле группировки (для каждого исходного IP-адреса, пользователя или узла). Неправильные пороги приводят к информационному шуму или пропущенным обнаружениям — тщательно настраивайте их по историческим данным о базовом уровне.

Правила на основе последовательностей ищут определенную упорядоченную цепочку событий, что особенно подходит для обнаружения многоэтапных шаблонов атак. Например: получено фишинговое письмо THEN открыто вредоносное вложение THEN приложением Office запущен PowerShell. Каждое событие по отдельности может быть безопасным, но их последовательность указывает на компрометацию. Большинство современных SIEM (Splunk, Sentinel, Elastic) поддерживают сопоставление последовательностей с корреляцией по времени между цепочками событий.

Sigma — это открытый формат, не зависящий от поставщика, для создания правил обнаружения, которые можно преобразовать в языки запросов конкретных SIEM (SPL для Splunk, KQL для Sentinel, Lucene для Elastic). Сообщество специалистов по безопасности публикует на GitHub тысячи правил Sigma, охватывающих распространенные методы ATT&CK. Использование Sigma позволяет организациям применять обнаружения сообщества без ручной адаптации под свою платформу SIEM, значительно ускоряя расширение покрытия обнаружения.

Перед развертыванием в рабочей среде правила обнаружения необходимо протестировать. Рекомендуемые методы включают: модульное тестирование с синтетическими событиями, представляющими сценарии как истинных, так и ложных срабатываний; тестирование воспроизведением с использованием записанного безопасного трафика для измерения доли ложных срабатываний; и учения красной команды, в ходе которых правило должно сработать при контролируемом моделировании атаки. Такие инструменты, как Atomic Red Team, предоставляют небольшие тестовые сценарии, безопасно имитирующие отдельные методы ATT&CK.

После развертывания правила требуется его постоянная настройка. Распространенные методы настройки: списки исключений для заведомо безопасных процессов или учетных записей, которые обоснованно вызывают срабатывание правила; внесение определенных исходных IP-адресов в список разрешенных (сканеры, инструменты мониторинга); изменение порогов на основе наблюдаемых базовых показателей; и добавление контекстных условий (создавать оповещение, только если узел также доступен извне). Документируйте каждое исключение и его обоснование, чтобы будущие аналитики понимали причину его существования.

Правила обнаружения должны содержать оценки важности, помогающие аналитикам расставлять приоритеты. Распространенные уровни: Critical — активная эксплуатация, программы-вымогатели, компрометация контроллера домена. High — горизонтальное перемещение, кража учетных данных, связь с C2. Medium — подозрительная разведка, нарушения политик. Low/Informational — необычные, но не представляющие непосредственной опасности события, за которыми стоит следить. Уровень важности должен соответствовать влиянию на бизнес, а не только технической серьезности.

У правил обнаружения есть жизненный цикл, которым необходимо активно управлять. Правила устаревают при изменении среды (развертывании нового программного обеспечения, изменении диапазонов IP-адресов) и начинают порождать ложные срабатывания. Они также пропускают новые методы атак по мере развития злоумышленников. Рекомендуется хранить правила в системе контроля версий (git), пересматривать и обновлять их ежеквартально, сопоставлять каждое правило как минимум с одним методом ATT&CK и измерять эффективность правил (срабатывания в неделю, доля истинных срабатываний), чтобы выводить из эксплуатации или улучшать неэффективные правила.

Карта покрытия обнаружения сопоставляет существующие правила обнаружения с матрицей MITRE ATT&CK, чтобы визуализировать пробелы в покрытии. Каждый метод, охватываемый хотя бы одним правилом, отмечается зеленым цветом; методы без покрытия — красным. Такая визуализация показывает, на каких этапах атаки (например, Persistence или Exfiltration) отсутствует покрытие обнаружения, и помогает командам определить приоритеты при разработке новых правил. Регулярный анализ покрытия гарантирует, что программа обнаружения успевает за развитием методов злоумышленников.

В этом уроке Вы узнали, что правила обнаружения кодируют конкретные действия злоумышленников как условия оповещений в SIEM; правила на основе порогов и последовательностей предназначены для разных типов шаблонов атак; а Sigma предоставляет переносимый формат для обмена обнаружениями в сообществе специалистов по безопасности. Далее мы рассмотрим UEBA и поведенческую аналитику для обнаружения угроз со стороны инсайдеров и скомпрометированных учетных записей.