SIEM என்றால் என்ன? ஒரு தொடக்கநிலை வழிகாட்டி

SIEM என்றால் என்ன? Security Information and Event Management கருவிகள் எவ்வாறு செயல்படுகின்றன, மேலும் ஒன்றை இலவசமாக பயிற்சி செய்ய எவ்வாறு தொடங்குவது என்பதற்கான தெளிவான வழிகாட்டி.

நேரடி பதில்

ஒரு SIEM (Security Information and Event Management) கருவி ஒரு நிறுவனத்தின் முழு அமைப்புகள் - சேவையகங்கள், ஃபயர்வாலுகள், லேப்டாப்கள், பயன்பாடுகள் - இல் இருந்து பதிவு தரவை ஒரு இடத்திற்கு சேகரித்து, சந்தேகத்திற்குரிய தோற்றமளிக்கும் முறைகளை குறிப்பிடுகிறது, இதனால் ஒரு மனிதர் ஆய்வு செய்யலாம். நீங்கள் சைபர் பாதுகாப்பு கற்றுக்கொள்ளவும் SOC பகுப்பாய்வாளர் பாத்திரத்தை நோக்கி செல்லவும் இருந்தால், SIEM ஐ புரிந்துகொள்வது விரும்பத்தகாத பின்னணி வாசனை அல்ல - இது ஒரு பணியின் முதல் நாளில் நீங்கள் அதிகளவு நேரம் செலவிடக்கூடிய ஒரே கருவி.

இதை இப்படி நினைத்துப்பாருங்கள்: ஒரு நெட்வொர்க்கில் ஒவ்வொரு அமைப்பும் அதன் சொந்த நிகழ்வுகளின் நாட்குறிப்பை உருவாக்குகிறது - யார் உள்நுழைந்தார், என்ன கோப்பு அணுகப்பட்டது, எந்த இணைப்பு செய்யப்பட்டது. அவற்றின் சொந்தத்தில், நிமிடத்திற்கு ஆயிரங்களான இந்த உள்ளீடுகள் ஒரு மனிதனுக்கு பயனற்றவை. ஒரு SIEM அவற்றையெல்லாம் ஒன்றிணைக்கிறது, பார்க்கதக்க முறைகளைக் கண்டறிய விதிகளைப் பயன்படுத்துகிறது (வழக்கத்திற்கு வெளியே உள்ள நாட்டிலிருந்து ஒரு உள்நுழைவு, ஒரு வரிசையில் பத்து தோல்வியுற்ற கடவுச்சொற்கள், காலை 3 மணிக்கு ஒரு பெரிய கோப்பு பரிமாற்றம்), மேலும் அவற்றை ஒரு SOC பகுப்பாய்வாளர் உண்மையில் வேலை செய்ய முடியும் என்ற எச்சரிக்கைகளாக மாற்றுகிறது.

SIEM உண்மையில் எவ்வாறு செயல்படுகிறது, படி படியாக

சேகரணை - ஃபயர்வாலுகள், சேவையகங்கள், இறுதி புள்ளிகள், கிளவுட் சேவைகள் மற்றும் நிறுவனம் முழுக்க பயன்பாடுகளிலிருந்து பதிவு தரவு பாய்கிறது.
சாதாரணமயமாக்கல் - SIEM இந்த அனைத்து வெவ்வேறு பதிவு வடிவங்களையும் ஒரு சামঞ্சஸ்யপূர்ணமான கட்டமைப்பாக மாற்றுகிறது, அது தேடி ஒப்பிட்டுப்பார்க்க முடியும்.
தொடர்பு - விதிகள் ஒன்றுக்கொன்று (மற்றும் அறியப்பட்ட மோசமான முறைகளுக்கு எதிரான) நிகழ்வுகளை ஒப்பிட்டு ஒரு ஒற்றை பதிவு வரியை மட்டுமே வெளிப்படுத்தாது என்பதை கண்டறிகிறது.
எச்சரிக்கை - ஒரு விதியை பொருத்தும் எதுவும் (அல்லது ஒரு புள்ளிவிவர ஆசாதாரணத்தன்மை) ஒரு மனிதனுக்கு வகைப்படுத்த ஒரு எச்சரிக்கை உண்டாக்குகிறது.
விசாரணை - ஒரு SOC பகுப்பாய்வாளர் (SOC பகுப்பாய்வாளர் என்ன செய்கிறார் பார்க்கவும்) எச்சரிக்கைகளை மறுஆய்வு செய்கிறார், தொடர்புடைய பதிவுகளை இழுக்கிறார், மேலும் இது ஒரு தவறான நேர்மறை அல்லது உண்மையான சம்பவம் என்பதை தீர்மானிக்கிறார்.
பதிலடி மற்றும் சரிசெய்தல் - உண்மையான சம்பவங்கள் உயர்த்தப்படுகின்றன; தவறான நேர்மறைகள் ஒரே சத்தம் மீண்டும் நிகழாதிருக்க விதிகளை পরிமার்ப்பாக்குவதற்குள் திரும்பியவுடன் உணவளிக்கப்படுகின்றன.

நீங்கள் சந்திக்கக்கூடிய பிரபலமான SIEM கருவிகள்

கருவி	நீங்கள் அதை சந்திக்கிற இடம்	கற்பதற்கான செலவு
Splunk	நிறுவன SOCs இல் பரவலாக பயன்படுத்தப்படுகிறது	இலவச சோதனை/dev உரிமம் கிடைக்கிறது
Microsoft Sentinel	Microsoft/Azure-கனமான சூழல்களில் பொதுவானது	இந்த வழியில் செல்லலாம் என்றால் SC-200 পরীక்ষை வழிகாட்டி பார்க்கவும்
Elastic (ELK stack)	பிரபலமான ஓpen-source விருப்பம், வணிக மற்றும் வீடு ল‍ாபுகளுக்கு பயன்படுத்தப்படுகிறது	இலவசம், சுய-ஹோஸ்ட் செய்யப்படுகிறது
Wazuh	ஓpen-source, வீடு ல‍ாபுகளுக்கு தொடக்கநிலை-அனுகூல	இலவசம்
IBM QRadar	பெரிய நிறுவன சூழல்களில் பொதுவானது	இலவச விருப்பங்கள் সীமితம்

கற்பதற்கான நோக்கங்களுக்கு, Wazuh அல்லது Elastic stack மிகவும் நடைமுறை தொடக்க புள்ளிகள் - இரண்டும் வீட்டில் இயங்க இலவசம் மற்றும் সনாক்தி விதிகளை எழுதுவதன் பற்றி மற்றும் எச்சரிக்கைகளை ஆய்வு செய்வதன் உண்மையான அனுபவத்தை உங்களுக்கு வழங்குகிறது, வெறுமனே அதைப் பற்றி படிப்பதற்கு பதிலாக.

நான் என் மாணவர்களுக்கு சொல்லும் விஷயம்

ப்ரत்येक SIEM தளத்தை கற்க முயற்சி செய்யாதே. முதலாளிகள் நீங்கள் பயன்படுத்திய குறிப்பிட்ட ப்ராண்ட்டை விட கருத்த புரிந்துகொண்டீர்கள் என்பது பற்றி অনেக அதிகமாக கவலைப்படுகிறார்கள் - ஏனென்றால் ஒவ்வொரு SOC வேலையும் உங்கள் குறிப்பிட்ட கருவியில் உங்களை பயிற்சி செய்யும். அவர்கள் எளிதாக வேகமாக உங்களுக்கு பயிற்சி செய்ய முடியாத வெளிப்பாட்டு தர্க்கம்: ஏன் நிகழ்வுகளின் ஒரு குறிப்பிட்ட வரிசை சந்தேகத்திற்குரியது, ஒரு கச்சா பதிவு வரியை எவ்வாறு படிக்க வேண்டும், தொடர்பிலிருந்து தற்செயல்வாக சொல்ல எவ்வாறு. வீட்டிலிருந்து ஒரு இலவச கருவியிலிருந்து இதைப் பெறுங்கள், மேலும் நீங்கள் ஒரு பேட்டியில் நுழைந்து Splunk அல்லது Sentinel பற்றி வலுவாக பேச முடியும் என்றாலும் நீங்கள் இரண்டையுமே தொடவில்லை, ஏனென்றால் கருத்தாக்கங்கள் நேரடியாக மாற்றாக.

நான் மாணவர்களுக்கு தள்ளுகிற மற்ற விஷயம்: SIEMs பற்றி சுருக்கமாக வாசிப்பதற்கு பதிலாக உண்மையில் சிறிய வீடு ல‍ாபு அமைக்கவும். Wazuh அல்லது Security Onion ஐ ஒரு ஸ்பேர் இயந்திரம் அல்லது ஒரு மெய়நிகர் இயந்திரে நிறுவவும், இரண்டும் அதিகாரப்பூர্வ ஆவணத்தில் இலவச அமைப்பு வழிகாட்டிகளைக் கொண்டுள்ளன, எனவே ஒரு வழக்கமற்ற வலைப்பதிவு பதிலாக உண்மை பக்கத்திற்கு சரிபார்க்கவும். சில அடிப்படை நடவடிக்கை உৎপন்ன செய்யவும் (சில உள்நுழைவு முயற்சிகள், சில கோப்பு அணுகல்), மேலும் நீங்கள் ஒரு எளிய சনாக்தி விதி எழுத பயிற்சி செய்யவும். முதலாளிகள் ஒரு பேட்டির முதல் சில நிமிடங்களுக்குள்