Как подключить источник журналов к SIEM и убедиться в надежности данных
Подключение источника журналов к SIEM — это процесс, в котором определяется Use Case, проверяется источник данных, тестируются парсинг и нормализация, проводятся тесты качества и обеспечивается возможность исследования вывода, а не только отображения оповещений.
Система SIEM — это не просто хранилище журналов. Ее ценность возникает, когда надежные данные собираются, парсятся, нормализуются, обогащаются, ищутся и обнаруживаются таким образом, чтобы их можно было исследовать и измерять. Данная статья посвящена подключению источника журналов к SIEM и предназначена для специалистов SOC, SIEM и IT. Цель состоит в том, чтобы предложить рабочий метод, который можно применить на практике, на профессиональном собеседовании и в рабочей среде, не ограничиваясь словарным определением.
Основная проблема заключается в том, что данные почти всегда неполны. Источник журнала и коннектор, время события и время приема, необработанные и нормализованные поля могут указывать направление, но их значение зависит от времени, актива, пользователя и ожидаемой активности. Поэтому мы будем строить проверку вокруг исследовательского вопроса, необходимых доказательств и четкого критерия завершения.
Практический сценарий в статье: Контрольный список для приема журналов безопасности Windows. Все примеры являются лабораторными данными или описанием процессов. В случае Penetration Testing, Web или Cloud, работать следует только с явного разрешения, с определенной областью действия и возможностью остановить тестирование.
