Impatto, Dolore, Azionabilità e Gravità nel SIEM

Scopo

Lo scopo di questo post del blog è introdurre le metriche (Dolore, Azionabilità, Impatto SIEM e Gravità) che sono state introdotte nel Threat Detection Marketplace di SOC Prime.

Introduzione

Il Threat Detection Marketplace di SOC Prime migliora le operazioni di sicurezza con contenuti di rilevamento di qualità.Come con tutta la tecnologia difensiva, distribuire tutti i contenuti possibili “out of the box” non è consigliabile, e scegliere quali contenuti forniscono il massimo valore può talvolta essere difficile. Con le nuove metriche Impatto SIEM, Dolore, Azionabilità e Gravità, SOC Prime spera che decidere quali regole siano adatte diverrà più semplice.

Tuttavia, queste metriche non riflettono direttamente la qualità di un elemento di contenuto. Una regola può potenzialmente avere un punteggio basso nella maggior parte delle metriche ma essere comunque un rilevamento di qualità.

• Impatto SIEM: È l’impatto prestazionale previsto su un SIEM
• Dolore: Il punteggio riflette dove la regola si colloca sulla piramide del dolore. Regole con punteggi di dolore più alti sono ideali per i cacciatori di minacce e gli operatori L3.
• Azionabilità: Quanto è ovvia la triage. Un alto punteggio di azionabilità riflette che un analista L1 sarà in grado di capire rapidamente i passi successivi. Una regola con bassa azionabilità può richiedere passaggi avanzati come la forensica della memoria, il contatto con il proprietario dell’account o l’esecuzione di molte ricerche aggiuntive.
• Gravità: Quanto è critica la revisione di eventuali avvisi causati da questa logica. Questo deriva dal campo livello SIGMA.

Dolore, Azionabilità e Gravità sono fornite dall’analista che ha creato la regola in un tentativo di riflettere sulle qualità della regola stessa. SOC Prime rivede tutti i contenuti e può regolare i valori basandosi sulla nostra esperienza e sul feedback dei clienti. L’impatto SIEM è attualmente assegnato tramite mezzi semi-automatizzati, e questo sarà completamente implementato in futuro.

Nelle sezioni seguenti descriverò come questi elementi sono valutati e trattati all’interno del Threat Detection Marketplace.

Ottenere le metriche

Quando si seleziona una regola nel pannello di ricerca, le metriche sulla regola verranno visualizzate sul lato destro dello schermo. Queste metriche saranno disponibili per i contenuti della comunità e esclusivi.

Impatto SIEM (1 – 3, più alto è meno impattante)

L’impatto SIEM è l’impatto previsto sul sistema contro cui verrà eseguita la regola.

I SIEM sono sistemi di analisi che richiedono enormi quantità di potenza computazionale per ottenere un esito positivo. Questo rende il compito di regolare ogni bit e byte della configurazione SIEM una routine quotidiana. Chi ha passato anni nel SIEM e nell’ingegneria del rilevamento o è familiare con le migliori pratiche regex sa che una regola con una dichiarazione event=/.*threat.*/ è una regola ‘affamata’. Aggiungi una di queste in una grande installazione di produzione e potresti sperimentare una lentezza nella ricerca. Aggiungi un centinaio, e anche un sistema distribuito inizierà a perdere prestazioni. Abbiamo osservato vari fornitori di SIEM fornire dichiarazioni affamate in formazione come pratica ottimale, per sottolineare quanto sia facile trovare minacce. Tuttavia, in produzione è importante creare regole efficienti in termini di costi ed è esattamente per questo che abbiamo introdotto questa metrica.

Con l’aumentare della complessità della regola e della quantità di rumore nella fonte dei dati, il punteggio di impatto SIEM sarà inferiore.

_

Dolore (1 – 3, più alto è più comportamentale/più difficile da aggirare)

Il punteggio di Dolore è un’astrazione di dove la regola si colloca sulla Piramide del Dolore di David Bianco e quanto facilmente la logica è aggirabile. Più la regola è comportamentale e meno è probabile che venga aggirata, più alto sarà il punteggio di dolore. Le regole comportamentali sono generalmente migliori per la caccia alle minacce e spesso possono essere più rumorose o richiedere cose come il conteggio delle pile per essere efficaci. Le regole basate su IOC dovrebbero causare meno rumore ma possono essere molto rare da attivarsi o utili solo per l’analisi storica. Il meccanismo di logging disabilitato o completamente sviato non è preso in considerazione con questo punteggio (cioè strumenti come ghost in the logs)

_

Azionabilità (1 – 3, più alto è più ovvio)

Il punteggio di Azionabilità rifletterà quanto la regola sia “digeribile”. Spesso, questo è un riflesso diretto della stessa fonte del log. Più contesto è disponibile nella fonte originale del log, più alto sarà probabilmente il punteggio di azionabilità. Ancora una volta, questo si basa sui dati dell’allerta stessa. L’azionabilità di tutte le regole nel tuo ambiente può aumentare notevolmente tramite automazione e orchestrazione. Questo non è preso in considerazione.

Gravità (1 – 3, più alto è un allerta più critico)

La gravità è un’astrazione dei livelli SIGMA (basso, medio, alto e critico).

Conclusione

Trovare una corrispondenza per i contenuti appropriati alle tue esigenze dovrebbe essere il più semplice possibile. Introducendo le metriche Impatto SIEM, Dolore, Azionabilità e Gravità, SOC Prime spera di aiutare a far combaciare i contenuti sviluppati dai nostri sviluppatori del Programma Threat Bounty con i requisiti della tua operazione difensiva.

Se hai un team interno di ingegneria del rilevamento, raccomandiamo che implementino questi concetti e li catturino come metrica durante la creazione di contenuti difensivi.

Meta

Pubblicato – Aprile 2020

Ultimo aggiornamento – 15 Aprile 2020

Autori – Adam Swan (@acalarch) | Andrii Bezverkhyi (@andriinb)