Cyber Security Academy · บทเรียน

การผสานรวมและการเพิ่มบริบท

เชื่อมต่อเครื่องมือและเพิ่มบริบท

บทเรียน 3 จาก 413 ขั้นตอน

การผสานรวมและการเพิ่มบริบท เป็นบทเรียน Cyber Security Academy ฟรีบน CoddyKit นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน คุณสามารถอ่านบทเรียนทั้งหมดด้านล่างฟรี — จากนั้นลองปฏิบัติด้วยตัวคุณเองในเบราว์เซอร์พร้อมตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7 บทเรียนนี้เป็นส่วนหนึ่งของเส้นทางการเรียน Cyber Security Academy และความก้าวหน้าของคุณจะซิงค์ข้ามเว็บและแอป CoddyKit คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

เหตุใดการเชื่อมต่อจึงเป็นส่วนที่ยากที่สุด

แพลตฟอร์ม SOAR จะมีความสามารถได้มากเท่ากับเครื่องมือที่สามารถสื่อสารด้วยเท่านั้น การเชื่อมต่อ (ตัวเชื่อมต่อ) คืออะแดปเตอร์ที่ทำให้คู่มือปฏิบัติการสืบค้นและสั่งการระบบภายนอกผ่านส่วนต่อประสานโปรแกรมประยุกต์ของระบบเหล่านั้นได้

คู่มือปฏิบัติการแบบภาพดึงดูดความสนใจมากกว่า แต่ชั้นการเชื่อมต่อที่ไม่โดดเด่น การยืนยันตัวตน ขีดจำกัดอัตราการเรียกใช้ และการแยกวิเคราะห์ข้อมูล เป็นส่วนที่ใช้ความพยายามด้านวิศวกรรมมากที่สุด และเป็นจุดที่เกิดความเสียหายมากที่สุด

การเชื่อมต่อสองทิศทาง

การเชื่อมต่อมีสองทิศทาง:

ขาเข้า (การนำเข้า) — เหตุการณ์เข้าสู่ SOAR จาก SIEM, EDR, เกตเวย์อีเมล และบันทึกการตรวจสอบระบบคลาวด์ เหตุการณ์เหล่านี้จะกระตุ้นให้คู่มือปฏิบัติการทำงาน
ขาออก (การดำเนินการ) — SOAR สั่งการเครื่องมือ เช่น บล็อก IP บนไฟร์วอลล์ ปิดใช้งานผู้ใช้ในผู้ให้บริการข้อมูลระบุตัวตน หรือแยกเครื่องใน EDR

การเชื่อมต่อที่สมบูรณ์มักต้องมีทั้งสองส่วน คือรับเหตุการณ์เข้ามา แล้วดำเนินการกลับไปยังระบบนิเวศเดียวกัน

ความหมายของการเพิ่มพูนข้อมูล

การเพิ่มพูนข้อมูล คือการเพิ่มบริบทให้ตัวบ่งชี้ดิบ เพื่อให้การตัดสินใจขั้นถัดไปมีข้อมูลประกอบ ที่อยู่ IP เพียงอย่างเดียวให้ข้อมูลได้น้อยมาก แต่เมื่อเพิ่มพูนข้อมูลแล้ว จะทราบถึง:

ตำแหน่งทางภูมิศาสตร์และ ASN ของผู้ครอบครอง
คะแนนชื่อเสียงจากข่าวกรองภัยคุกคามและแคมเปญที่ทราบ
สิ่งนี้ปรากฏอยู่ที่อื่นในสภาพแวดล้อมของคุณหรือไม่
สิ่งนี้อยู่ในรายการอนุญาตของโครงสร้างพื้นฐานที่ทราบว่าปลอดภัยหรือไม่

การเพิ่มพูนข้อมูลเปลี่ยนสิ่งบ่งชี้เพียงชิ้นเดียวให้เป็นชุดหลักฐานที่คู่มือปฏิบัติการใช้ตัดสินใจเลือกแขนงได้

แหล่งข้อมูลสำหรับเพิ่มพูนข้อมูลที่พบบ่อย

หมวดหมู่การเพิ่มพูนข้อมูลและแหล่งข้อมูลตัวอย่างที่ใช้กันทั่วไป:

ชื่อเสียง / ข่าวกรองภัยคุกคาม — VirusTotal, AbuseIPDB และระบบ MISP ของคุณ
บริบทภายใน — CMDB (ใครเป็นเจ้าของเครื่องนี้), IAM (ผู้ใช้นี้เข้าถึงอะไรได้บ้าง) และบัญชีรายการทรัพย์สิน
การทำงานในสภาพแวดล้อมแยกกัก — เปิดไฟล์และที่อยู่เว็บที่น่าสงสัยในสภาพแวดล้อมแยกกักเพื่อสังเกตพฤติกรรม
WHOIS / DNS — อายุโดเมนและข้อมูลการจดทะเบียนเป็นสัญญาณบ่งชี้ฟิชชิงที่ชัดเจน

ควรรวมแหล่งข้อมูลภายในและภายนอกเข้าด้วยกัน เพราะชื่อเสียงจากแหล่งภายนอกเพียงอย่างเดียวไม่ตอบคำถามว่า สิ่งนี้มีความสำคัญต่อเราหรือไม่

การเรียกใช้ส่วนต่อประสานโปรแกรมประยุกต์เพื่อเพิ่มพูนข้อมูล

นี่คือลักษณะของการค้นหาชื่อเสียงที่การดำเนินการเพิ่มพูนข้อมูลของ SOAR ครอบไว้ คู่มือปฏิบัติการจะแยกวิเคราะห์ผลตอบกลับและจัดเก็บคะแนนในรูปแบบมาตรฐาน

GET https://www.virustotal.com/api/v3/ip_addresses/198.51.100.23
x-apikey: $VT_API_KEY

# response (trimmed)
# {
#   "data": { "attributes": {
#     "last_analysis_stats": { "malicious": 7, "harmless": 60 }
#   }}
# }

ทำให้ทุกอย่างอยู่ในรูปแบบมาตรฐาน

เครื่องมือแต่ละชนิดส่งข้อมูลกลับมาในโครงสร้างข้อมูลของตนเอง ส่วนต่อประสานโปรแกรมประยุกต์ด้านชื่อเสียงหนึ่งรายงานคะแนนตั้งแต่ 0 ถึง 100 อีกรายงานระดับมุ่งร้าย/น่าสงสัย/สะอาด และอีกรายส่งคำตัดสินดิบจากผู้จำหน่ายกลับมา

ก่อนเลือกแขนง ให้ทำข้อมูลเหล่านี้ให้อยู่ในรูปแบบมาตรฐานเดียวกันภายในระบบ จับคู่ข้อมูลจากแต่ละแหล่งเข้ากับมาตราส่วนหรือชุดค่าที่กำหนดร่วมกัน เพื่อไม่ให้ตรรกะของคู่มือปฏิบัติการต้องรู้ว่าผู้จำหน่ายรายใดเป็นผู้ตอบ

def normalize_vt(resp):
    stats = resp["data"]["attributes"]["last_analysis_stats"]
    total = stats["malicious"] + stats["harmless"]
    pct = (stats["malicious"] / total) * 100 if total else 0
    return {"source": "virustotal", "score": round(pct)}

การยืนยันตัวตนและข้อมูลลับ

การเชื่อมต่อยืนยันตัวตนด้วยคีย์ของส่วนต่อประสานโปรแกรมประยุกต์ โทเค็นโอออธ หรือบัญชีบริการ ควรถือว่าสิ่งเหล่านี้เป็นข้อมูลลับมูลค่าสูง เพราะโทเค็น SOAR ที่ถูกบุกรุกอาจปิดใช้งานบัญชีและแยกเครื่องทั่วทั้งโครงสร้างระบบได้

เก็บข้อมูลประจำตัวไว้ในห้องนิรภัยข้อมูลลับของแพลตฟอร์ม ห้ามใส่ไว้ในข้อความของคู่มือปฏิบัติการ
จำกัดสิทธิ์ของการเชื่อมต่อแต่ละรายการให้เหลือเท่าที่จำเป็น (สิทธิ์เท่าที่จำเป็นน้อยที่สุด)
หมุนเวียนโทเค็นและติดตามการใช้งาน เพราะ SOAR เป็นผู้ดำเนินการที่มีสิทธิ์สูง

ขีดจำกัดอัตราการเรียกใช้และการเก็บข้อมูลในแคช

ส่วนต่อประสานโปรแกรมประยุกต์สำหรับเพิ่มพูนข้อมูลมีขีดจำกัดอัตราการเรียกใช้ คู่มือปฏิบัติการที่เพิ่มพูนข้อมูลของทุกสิ่งบ่งชี้ในทุกเหตุการณ์ จะชนขีดจำกัดอย่างรวดเร็ว โดยเฉพาะข่าวกรองภัยคุกคามแบบให้บริการฟรี

แนวทางลดผลกระทบ:

เก็บผลลัพธ์การเพิ่มพูนข้อมูลไว้ในแคช เพราะชื่อเสียงของ IP มักไม่เปลี่ยนแปลงทุกนาที
ขจัดการค้นหาซ้ำภายในกรณีเดียวกัน เพื่อไม่ให้ค้นหาแฮชเดียวกันถึงห้าครั้ง
เมื่อได้รับรหัส 429 ให้เคารพขีดจำกัดด้วยการหน่วงเวลาเพิ่มขึ้น แทนการส่งคำขอซ้ำ ๆ ไปยังจุดปลายทาง

จัดการข้อมูลที่ไม่ครบถ้วนและขัดแย้งกัน

แหล่งข้อมูลอาจให้ผลไม่ตรงกัน VirusTotal อาจระบุว่า IP เป็นอันตราย ขณะที่ AbuseIPDB แสดงว่าสะอาด ควรออกแบบการเพิ่มพูนข้อมูลให้รวมข้อมูลจากหลายแหล่ง แทนการเชื่อแหล่งใดแหล่งหนึ่งโดยไม่ตรวจสอบ

กลยุทธ์ที่พบบ่อย ได้แก่ เลือกระดับความรุนแรงสูงสุด กำหนดให้แหล่งข้อมูล N แหล่งเห็นพ้องกันก่อนดำเนินการที่มีความเชื่อมั่นสูง หรือให้น้ำหนักข่าวกรองภายในที่เชื่อถือได้มากกว่าแหล่งข้อมูลสาธารณะที่มีสัญญาณรบกวน ควรบันทึกเสมอว่าแหล่งข้อมูลใดมีส่วนต่อคำตัดสิน เพื่อใช้ทบทวนในภายหลัง

การติดตามสถานะการเชื่อมต่อ

การเชื่อมต่อที่เสียโดยไม่แสดงอาการเป็นอันตราย เพราะคู่มือปฏิบัติการอาจทำงานต่อโดยขาดข้อมูล ควรติดตามสถานะการทำงานของตัวเชื่อมต่ออย่างต่อเนื่อง

แจ้งเตือนเมื่อส่วนต่อประสานโปรแกรมประยุกต์เริ่มส่งข้อผิดพลาดหรือการยืนยันตัวตนล้มเหลว
ติดตามเวลาแฝง เพราะแหล่งเพิ่มพูนข้อมูลที่ทำงานช้าจะทำให้คู่มือปฏิบัติการทั้งหมดหยุดรอ
เฝ้าดูการเปลี่ยนแปลงโครงสร้างข้อมูล เพราะผู้จำหน่ายอาจเปลี่ยนรูปแบบผลตอบกลับโดยไม่แจ้งล่วงหน้า

ถือว่าการเชื่อมต่อเป็นส่วนพึ่งพิงของระบบจริง โดยมีข้อตกลงระดับการให้บริการและการแจ้งเตือนของตนเอง

ระวังผลข้างเคียงจากการเพิ่มพูนข้อมูล

โดยทั่วไปการเพิ่มพูนข้อมูลปลอดภัย แต่การค้นหาบางอย่างมีผลข้างเคียงที่ต้องควบคุม การเปิดที่อยู่เว็บในสภาพแวดล้อมแยกกัก หรือแม้แต่การค้นหา WHOIS หรือการดึงข้อมูลผ่านเว็บอย่างไม่ระมัดระวัง อาจทำให้ผู้โจมตีรู้ตัวว่าถูกตรวจพบ

ใช้แหล่งข้อมูลแบบไม่ส่งคำขอออกไป (ข่าวกรองที่เก็บไว้ในแคช, DNS แบบไม่ส่งคำขอออกไป) ก่อนใช้แหล่งข้อมูลเชิงรุก
สำหรับการเปิดทำงานในสภาพแวดล้อมแยกกักแบบสด ให้ส่งผ่านโครงสร้างพื้นฐานที่ไม่เปิดเผยองค์กรของคุณ
อย่าปล่อยให้ขั้นตอนเพิ่มพูนข้อมูลอัตโนมัติกลายเป็นตัวกระตุ้นที่แจ้งเตือนฝ่ายตรงข้ามเสียเอง

ตรวจสอบอย่างรวดเร็ว

ใช้เหตุผลเกี่ยวกับการออกแบบการเพิ่มพูนข้อมูลภายใต้ขีดจำกัดอัตราการเรียกใช้

ตอบคำถามในบทเรียนแบบโต้ตอบ

สรุปทบทวน

หัวใจสำคัญของการเชื่อมต่อและการเพิ่มพูนข้อมูล:

การเชื่อมต่อคือตัวเชื่อมต่อที่นำเข้าเหตุการณ์และส่งการดำเนินการออกไป เป็นส่วนที่ใช้ความพยายามด้านวิศวกรรมและเกิดความเสียหายมากที่สุด
การเพิ่มพูนข้อมูลเพิ่มบริบท (ชื่อเสียง ความเป็นเจ้าของภายใน และผลจากสภาพแวดล้อมแยกกัก) เพื่อให้คู่มือปฏิบัติการตัดสินใจได้อย่างมีข้อมูลประกอบ
รวมข่าวกรองภัยคุกคามภายนอกเข้ากับบริบทภายใน และทำให้แหล่งข้อมูลทั้งหมดอยู่ในรูปแบบมาตรฐานเดียวกัน
ปกป้องข้อมูลประจำตัวของการเชื่อมต่อด้วยสิทธิ์เท่าที่จำเป็นน้อยที่สุดและห้องนิรภัยข้อมูลลับ เพราะ SOAR เป็นผู้ดำเนินการที่มีสิทธิ์สูง
เคารพขีดจำกัดอัตราการเรียกใช้ด้วยการเก็บข้อมูลในแคชและขจัดข้อมูลซ้ำ รวมแหล่งข้อมูลที่ขัดแย้งกัน และติดตามสถานะการเชื่อมต่ออย่างต่อเนื่อง

เริ่มต้นได้ฟรี

เรียนรู้ Cyber Security Academy ด้วย AI tutor — ฟรี

เขียนและเรียกใช้โค้ดจริงในเบราว์เซอร์ของคุณ รับความช่วยเหลือทันทีจาก AI tutor 24/7 และเรียนรู้ต่อจากที่คุณหยุดบนเว็บหรือในแอป

คอร์ส: 76
บทเรียน: 303

เริ่มเรียนฟรี ดูหลักสูตรเต็ม

คำถามที่พบบ่อย

บทเรียน “การผสานรวมและการเพิ่มบริบท” ฟรีหรือไม่

ใช่ — ข้อความเต็มของ “การผสานรวมและการเพิ่มบริบท” ฟรีให้อ่านที่นี่บนเว็บ เพื่อปฏิบัติแบบโต้ตอบ (ตัวแก้ไขโค้ดในตัวและติวเตอร์ AI ตลอด 24/7) และปลดล็อคส่วนที่เหลือของคอร์ส Cyber Security Academy ให้อัปเกรดเป็น CoddyKit PRO คอร์ส Cyber Security Academy มีบทเรียนทั้งหมด 4 บทเรียน

คุณจะเรียนรู้อะไรในบทเรียน “การผสานรวมและการเพิ่มบริบท”

เชื่อมต่อเครื่องมือและเพิ่มบริบท คุณปฏิบัติ Cyber Security Academy ด้วยโค้ดที่ใช้งานได้จริงที่คุณเรียกใช้โดยตรงในเบราว์เซอร์ และติวเตอร์ AI ตลอด 24/7 ตอบคำถามของคุณขณะที่คุณไปผ่านบทเรียน

คุณต้องมีประสบการณ์ก่อนที่จะเริ่มเรียน Cyber Security Academy หรือไม่

ไม่จำเป็นต้องมีประสบการณ์มาก่อน Cyber Security Academy บน CoddyKit ออกแบบมาสำหรับผู้เริ่มต้นไปจนถึงผู้เรียนขั้นสูง คุณสามารถเริ่มต้นที่นี่หรือเริ่มจากตัวแรกและเรียนด้วยความเร็วของคุณเอง นี่คือบทเรียนที่ 3 จากทั้งหมด 4 บทเรียน

บทเรียน “การผสานรวมและการเพิ่มบริบท” ใช้เวลานานแค่ไหน

บทเรียน CoddyKit ส่วนใหญ่ใช้เวลาประมาณ 5–10 นาที แต่ละบทเรียนจึงสั้นและเป็นแบบโต้ตอบ คุณสามารถก้าวหน้าอย่างต่อเนื่องและกลับมาเรียนต่อจากตรงที่เพิ่งหยุดบนเว็บและแอปได้เลย

ฉันเขียนและรันโค้ดในบทเรียน Cyber Security Academy นี้ได้ไหม

ได้ บทเรียน Cyber Security Academy ทุกบทมีตัวแก้ไขโค้ดในตัว คุณจึงเขียนและรันโค้ดจริงได้เลยในเบราว์เซอร์ และได้รับข้อเสนอแนะจาก AI ในทันที — ไม่ต้องติดตั้งในเครื่องของคุณ

บทเรียนทั้งหมดในหลักสูตรนี้

← กลับไปที่ Cyber Security Academy