SIEM-datakällor
En säkerhetslösning är bara så bra som sina datakällor, det är åtminstone vad många skulle säga. Cybersäkerhetsteam går vanligtvis förbi med data till hands när de undersöker attacker och deras källor. Utan tillförlitlig information skulle de inte veta var de ska börja eller vad nästa steg är.
En plattform för säkerhetsinformation och händelsehantering (SIEM) är inget undantag. För att tillhandahålla realtidsanalyser av säkerhetsvarningar behöver den lika mycket användbar data, mestadels från loggar, för att analysera och bearbeta. Vi har sammanställt en lista över de bästa SIEM-datakällorna i det här inlägget för att låta dig veta hur SIEM-plattformar kan skydda dig på optimal nivå.
Innehållsförteckning
Cloud Platform Logs
DNS-loggar Eftersom många intrång börjar när en anställd går in på en skadlig webbplats, vanligtvis genom att klicka på en länk inbäddad i ett nätfiskemeddelande, kan DNS-loggar (Domain Name System) också visa sig vara användbara datakällor för SIEM-plattformar. Dessa låter säkerhetsteam veta vilka webbplatser användare besöker, så att de kan identifiera hotkällor så snart en kompromiss upptäcks. Utan DNS-loggningsverktyg som https://reverse-ip.whoisxmlapi.com/overview som tillhandahåller förenklade listor kan dock DNS-serverloggar vara svåra att smälta. Lösningar som tillhandahåller passiv DNS-data kan göra det lättare för analytiker och forskare att identifiera ursprunget till en attack.
Webserverloggar Förutom oförsiktiga anställda som i slutändan besöker skadliga webbplatser eller laddar ner skadlig programvara till sina datorer, är en annan primär orsak till hängslen exponerade webbapplikationer som är riktade mot allmänheten. Ett exempel skulle vara inköpssidorna på en webbplats. Dessa har tillgång till mycket känslig kunddata och bör därför skyddas till varje pris. Webbserverloggar kan leda SIEM-plattformar till obehöriga inloggningar, bedrägliga transaktioner eller liknande skadliga åtgärder, som att komma åt administrativa portaler utanför ordinarie öppettider. Brandväggsloggar Brandväggsloggar är en utmärkt källa till detaljerade nätverksflöden. Nästa generations brandväggar går åtminstone ett steg längre genom att tillhandahålla information om programtyper, hot, skadlig programvara och kommando-och-kontroll-aktivitet (C&C). Användare kan skicka dessa loggar till sina SIEM-plattformar för att veta var systemanvändare ansluter från. Denna information är avgörande vid analys av hot. Dessa loggar kan också ge säkerhetsteam synlighet när de letar efter tecken på sidorörelser som är typiska för riktade attacker. Att mata SIEM-plattformar med hotintelligens från tredje part är också en bra idé, eftersom detta kan ge sammanhang till individuella varningar. Ju bättre informerad din plattform så att säga är, desto effektivare blir den när det gäller att identifiera vilka varningar säkerhetsteam bör prioritera och varför. — De sex bästa SIEM-datakällorna som nämns i det här inlägget är bara några av de flöden som din plattform kan ta in för att göra varningsprioritering, hotidentifiering och korrelation och incidentrespons enklare och snabbare. Med tanke på dessa källor kommer säkerhetsteamen att ha all data de behöver för att inte bara svara på utan också mildra framtida attacker.







