ПРАВИЛьная кухня

[zhylik]

Расскажите, пожалуйста, про интересные инциденты — такие как на http://www.securitylab.ru/analytics/473903.php, в особенности про инциденты, выявленные на уровне бизнес-процессов (как с кредитом по ссылке). И какие правила помогли их найти.

[avpavlov]

Добрый день!
Как раз такие публикации и планируются в ближайшее время. Постараюсь подробно осветить и механизм обследования бизнес-процессов и инфраструктуры в целом для подключения к JSOC. Обязательно расскажу про процедуру создания нетиповых правил и профилирования активностей.

[zhylik]

добавления в события недостающей информации – имени пользователя, информации о владельце учетной записи из кадровой системы, дополнительного описания хостов из CMDB

А как переносите и актуализируете эти сведения из этих систем в SIEM? Вручную самостоятельно по выгрузкам, пишете модули интеграции, или к примеру есть промежуточный инструмент, который позволяет клиентам вносить информацию?

[avpavlov]

Чаще всего пишется парсер для flex-коннекторов различных типов, который читает файл, смотрит базу или парсит syslog. А выгрузка на стороне системы делается регулярной любым способом — хоть скрипт, хоть руки

[zhylik]

А Arcsight позволяет писать свои парсеры логов? В QRadar столкнулись с тем, что для парсинга можно использовать только регулярки и к примеру перевести лог, ведущийся в формате JSON/XML, с помощью функций сием проблематично/не эффективно/невозможно.

[avpavlov]

ArcSight позволяет писать парсеры, так же понимает CEF, JSON. Парсеры могут содержать регулярки или select`ы в базу. Каждый случай решается индивидуально, но возможностей великое множество.