איך מחברים מקור לוגים ל-SIEM ומוודאים שהמידע אמין

הגדרת Use Cases לפני חיבור

הטמעה נכונה מתחילה מדרישות ולא מברירת מחדל. מגדירים אילו Use Cases נתמכים, מה נפח הנתונים, מי מנהל את התצורה ומהו מנגנון Rollback. ב-חיבור מקור לוגים ל-SIEM יש להפריד בין הגדרות שמייצרות Telemetry לבין הגדרות שמסננות או מעשירות אותה.

לאחר ההגדרה מריצים בדיקה מבוקרת עם נתון צפוי, מאמתים שהאירוע נרשם, שהשדות המרכזיים קיימים ושהשינוי לא יצר עומס או Blind spot. כל שינוי נשמר בגרסה, עם תאריך, בעלים, סיבה ותוצאת בדיקה.

Transport ואבטחה

הנושא 'Transport ואבטחה' הוא חלק מרכזי בעבודה על חיבור מקור לוגים ל-SIEM. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הלוג וה-Connector, זמן האירוע וזמן הקליטה, שדות גולמיים ומנורמלים, חוק הזיהוי וגרסתו, ישויות, Enrichment והקשר עסקי, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Parsing ונרמול

כדי להבין את ההבדל בהקשר של חיבור מקור לוגים ל-SIEM, חשוב להשוות מטרות ולא רק כלים. אפשרות אחת נותנת רוחב או מהירות, ואחרת נותנת אימות עמוק או הקשר. הבחירה הנכונה תלויה בשאלה: האם נדרש גילוי, חקירה, הוכחת השפעה, בלימה או דיווח.

טבלת השוואה מקצועית צריכה לכלול לפחות: סוג הקלט, רמת הוודאות, עלות תפעולית, השפעה אפשרית, מגבלות והמשך נדרש. במקרה של ספק, משתמשים בגישה הפחות פולשנית ומוסיפים מקור משלים במקום להסיק מסקנה רחבה מדי.

בדיקות Coverage, Latency ו-Completeness

הנושא 'בדיקות Coverage, Latency ו-Completeness' הוא חלק מרכזי בעבודה על חיבור מקור לוגים ל-SIEM. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את מקור הלוג וה-Connector, זמן האירוע וזמן הקליטה, שדות גולמיים ומנורמלים, חוק הזיהוי וגרסתו, ישויות, Enrichment והקשר עסקי, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Monitoring למקור הלוגים

בשלב זה מגדירים אילו ראיות דרושות כדי לענות על שאלת החקירה. עבור חיבור מקור לוגים ל-SIEM, נקודות הבסיס הן מקור הלוג וה-Connector, זמן האירוע וזמן הקליטה, שדות גולמיים ומנורמלים, חוק הזיהוי וגרסתו. לכל מקור מתעדים בעלים, טווח שמירה, אזור זמן, עיכוב קליטה ושדות שעלולים להיות חסרים.

איכות איסוף אינה נמדדת בכך שהלוג 'מגיע'. יש לבדוק Completeness, Latency, Parsing, Duplicate events וסנכרון זמן. בדיקת Canary או אירוע מעבדה ידוע מאפשרת לוודא שהפעולה הופיעה במקור, עברה את ה-Pipeline וניתנת לחיפוש בשדות הנכונים.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: מקור הלוג וה-Connector, זמן האירוע וזמן הקליטה, שדות גולמיים ומנורמלים, חוק הזיהוי וגרסתו, ישויות, Enrichment והקשר עסקי, פערי Coverage או Latency. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• מקור הלוג וה-Connector: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• זמן האירוע וזמן הקליטה: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• שדות גולמיים ומנורמלים: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• חוק הזיהוי וגרסתו: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• ישויות, Enrichment והקשר עסקי: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• פערי Coverage או Latency: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא חיבור מקור לוגים ל-SIEM.
2. רשמו את מקורות הנתונים והראיות הדרושים: מקור הלוג וה-Connector, זמן האירוע וזמן הקליטה, שדות גולמיים ומנורמלים, חוק הזיהוי וגרסתו.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא Checklist לקליטת Windows Security Logs. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: מקור הלוג וה-Connector.
• ✓בדקו ותעדו: זמן האירוע וזמן הקליטה.
• ✓בדקו ותעדו: שדות גולמיים ומנורמלים.
• ✓בדקו ותעדו: חוק הזיהוי וגרסתו.
• ✓בדקו ותעדו: ישויות, Enrichment והקשר עסקי.
• ✓בדקו ותעדו: פערי Coverage או Latency.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• לחבר נתונים לפני שהוגדר Use Case.
• להניח שכל שדה מנורמל נכון.
• לכוון חוק לפי דוגמה אחת בלבד.
• להשתיק רעש בלי בדיקת Regression.
• למדוד רק כמות Alerts.
• להתעלם מתקלה במקור הלוגים.

סיכום ו-CTA

איך מחברים מקור לוגים ל-SIEM ומוודאים שהמידע אמין הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• NIST SP 800-92 — Guide to Computer Security Log Management
• Microsoft Learn — Microsoft Sentinel documentation
• Splunk Docs — Search and investigation
• IBM Documentation — QRadar SIEM
• Elastic Docs — Detection rules