RuSIEM Analytics

Мы создаем правило, содержащее уникальную связку user.name + symptoms.id, устанавливаем величину требуемого отклонения и указываем учет уникальности дня недели (тип – Исторические). Величина отклонения – это параметр вероятностного анализа, как в «Правиле трех Сигм»: установив 1 мы будем отслеживать с высокой чувствительностью небольшие всплески, 2 – значительные вспышки активности, 3 – наиболее значимые аномалии.
Модуль Baseline начинает собирать количество уникальных связок user.name + symptoms.id по дням недели в определенные промежутки времени, отличая 8-00 понедельника от 16-30 воскресенья. Сюда попадают все пользователи и также другие symptoms.id, включая старт служб, входы, запуск приложений и прочие. После определенного периода, обучившись на реальных данных Вашей инфраструктуры, модуль Baseline начнет составлять свой прогноз поведения для каждого пользователя в разрезе действий, которые он ожидаемо совершает в данный момент.
Внезапно, пользователь user111 или user444 удаляют не как обычно 20-30 файлов, а 200 за раз. Аналитика видит отклонение от своего прогноза, формирует событие и отправляет на корреляцию. Корреляция с учетом возможных уточнений в правилах формирует инцидент, где ключами является user.name+symptoms.id (только значение будут примерно «user111 + удаление_файлов»). При этом, данное правило аналитики будет также смотреть за другими уникальными связками в данном контексте. Например, «Admin + неуспешный вход», «Glav_buh + изменение конфигураций » и прочее. Таким образом, создав некое распределение с уникальными ключами мы покрываем достаточно большой объем кейсов. И неважно, что произойдет. Это может быть частый краш приложений, количество отправленных электронных писем, количество отказанных в доступе попыток и многое другое! Нет необходимости придумывать миллионы кейсов, когда это можно описать десятком-других правил. Ведь если случаются вирус, атака, сбои — образуется хоть небольшой, но все же всплеск по количеству событий.

С помощью правила с ключами «http.status.code + symptoms.id» возможно мониторить, к примеру, количество ошибок, доступность сайта, попытки зайти на запрещенный ресурс, состояние прокси сервера и многое другое. С ключами «hostname + symptoms.id» — от количества неуспешных попыток до количества заказов на сайте.

Количество правил — не лимитировано. Количество наблюдаемых ключей в правиле — до 21. Для корректной работы модуля рекомендуется накопленная выборка от 15 недель.

Для Baseline в разделе Аналитика имеются также виджеты для работы с модулем. На них можно вынести любые показатели для анализа тенденций.

Модуль использует технологии Deep Learning (DL) и машинного обучения (ML) для выявления поведенческих аномалий. Он строит baseline-модель на основе вашей собственной истории событий — учитывает день недели, ключевые параметры (например, имя пользователя + тип действия), допустимый процент отклонений и многое другое. Если происходит нетипичное поведение (например, резкий рост числа удалений файлов или неудачных попыток входа), система зафиксирует отклонение, сформирует событие, а затем — инцидент через механизм корреляции.

ML-модуль работает полностью автономно. Он обучается на собственных данных и оценивает веса симптомов в разрезе объектов: хостов, пользователей, сервисов и т.д. При выялении подозрительного поведения (например, всплеска критичных симптомов, множественных повторений событий и т.д.) он автоматически инициирует событие и инцидент. Настройка со стороны оператора не требуется, но при необходимости можно подключить и пользовательские правила baseline.

Правило baseline состоит из набора параметров:

• Наблюдаемая связка ключей (до 21 ключа в одном правиле)
• Учет уникальности дня (например, сравнение понедельников с понедельниками)
• Допустимый отклонение от нормы (3-sigma rule)

Такое правило позволяет гибко отслеживать как индивидуальные действия пользователей, так и массовые события в инфраструктуре (например, рост ошибок HTTP или отказов доступа).

Модуль "RuSIEM Analytics" пропускает через себя все события, которые попадают в систему RuSIEM.

Да. В модуле предусмотрен предустановленный стандарт PCI DSS 3.1, но вы можете создать собственный стандарт или политику. Это включает задание технических контролей, определение области охвата (scope) и формирование отчётов, которые показывают соответствие или несоответствие по каждому пункту.

Активы формируются и обновляются автоматически на основе модуля агента system.info. Информация включает физическое оборудование, версии ОС, патчи, сетевые соединения и многое другое. Также поддерживается разделение на статические и динамические группы — например, можно создать группу с условием «открыт порт 22», и система будет динамически поддерживать её актуальность.