Beveiligingsgebeurtenissen (SIEM)

Status200 bewaart beveiligingsgebeurtenissen naast je logs, traces en metrics, en geeft ze allemaal dezelfde vorm, OCSF (het Open Cybersecurity Schema Framework), in welk formaat ze ook binnenkwamen. Stuur gebeurtenissen vanuit elke bron, doorzoek ze, en vind de belangrijke met Sigma-detectieregels, threat intelligence en monitoren. Wat die vinden, wordt zaken om af te handelen, en playbooks reageren erop.

Hoe het werkt#

Open Producten → Security Events, onder Observability. Het menu heeft een sectie voor elk deel van beveiliging, en een eigen pagina voor alles daarin:

Detections, AI en Connections, die je één keer instelt, blijven ingeklapt tot je ze opent. Nieuw met beveiliging? Aan de slag met beveiliging richt het in met twee klikken.

Voordat je begint#

Beveiligingsgegevens zijn alleen leesbaar voor de rollen Project Owner en Project Admin en voor de drie Security-rollen; andere rollen zien niets in Security Events. Zie Rollen.

Beveiligingsgebeurtenissen sturen#

1. Maak een ingestiesleutel aan#

   Open Projectinstellingen → Telemetrie & APM → Ingestiesleutels en klik op Inname-sleutel aanmaken. Beveiligingsgebeurtenissen gebruiken dezelfde sleutels als de rest van je telemetrie.

2. Post je gebeurtenissen#

   Stuur JSON naar /security-events/v1/ingest, met de sleutel in x-status200-token:

   OCSFGoogle UDMGeneric JSON

   OCSF

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest?format=ocsf" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -H "x-status200-service-name: my-security-source" \
     -d '{ "events": [ { "class_uid": 3002, "severity_id": 4, "status": "Failure", "message": "Failed logon for alice", "actor": { "user": { "name": "alice" } }, "src_endpoint": { "ip": "203.0.113.7", "hostname": "laptop-alice" } } ] }'

   Google UDM

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest?format=udm" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -d '{ "events": [ { "metadata": { "event_type": "USER_LOGIN" }, "principal": { "hostname": "laptop-alice", "user": { "userid": "alice" }, "ip": ["203.0.113.7"] }, "security_result": [{ "severity": "HIGH", "action": ["BLOCK"] }] } ] }'

   Generic JSON

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -d '{ "events": [ { "severity": "high", "event_type": "ssh_brute_force", "message": "12 failed SSH logins in 60s", "username": "root", "hostname": "web-01", "src_ip": "203.0.113.7" } ] }'

   Het endpoint antwoordt 200 zodra de gebeurtenissen in de wachtrij staan. Een gebeurtenis zonder tijd, zoals deze, komt te staan op het moment dat ze binnenkomt.

3. Vind ze in Gebeurtenissen#

   Open Producten → Security Events → Gebeurtenissen. De gebeurtenissen verschijnen binnen een paar seconden, met hun ernst, klasse, gebruiker, host en IP-adressen ingevuld.

Formaten#

Geef het formaat op met ?format=, met de header x-oneuptime-security-event-format, of met een veld "format" op het hoogste niveau. Laat je het weg, dan wordt het formaat van elke gebeurtenis apart bepaald, zodat één webhook detecties en ruwe gebeurtenissen kan mengen.

• De body kan één gebeurtenis zijn, een array van gebeurtenissen, of { "events": [...] }.
• De header x-status200-service-name noemt de telemetrieservice waartoe de gebeurtenissen behoren. Zonder die header behoren ze tot de service die is genoemd naar het product of de leverancier van de eerste gebeurtenis, of tot Security Events.
• Er wordt niets weggegooid omdat het niet te koppelen was: elk veld van de bron komt terecht in de attributen van de gebeurtenis.

Velden van generieke JSON#

Een generieke gebeurtenis wordt gelezen op gangbare veldnamen:

Een woord voor de ernst wordt een OCSF-niveau: info wordt gelezen als Informational, warning als Low, error als Medium, alert als Critical en emergency als Fatal.

Doorsturen met Fluent Bit#

Om beveiligingslogs te sturen die je al verzamelt, zoals auditd, syslog of Falco, voeg je een http-output toe aan Fluent Bit:

[OUTPUT]
    Name             http
    Match            security.*
    Host             status200.ru
    Port             443
    tls              On
    URI              /security-events/v1/ingest
    Format           json
    Json_date_key    timestamp
    Json_date_format iso8601
    Header           x-status200-token YOUR_INGESTION_TOKEN
    Header           x-status200-service-name my-security-source
    Retry_Limit      5

De pagina Installatiegids, onder Connections, bevat deze snippets, met je eigen host en sleutel ingevuld.

Beveiligingsgebeurtenissen in uw logs vinden#

De kaart Uw logboeken, boven aan Connections, maakt van de logs die u al naar Status200 stuurt een bron. Met Beveiligingsgebeurtenissen in uw logboeken vinden aan worden de nieuwe logs van het project elke minuut gelezen, en elke SSH-aanmelding, sudo-opdracht, Kubernetes-auditregel, AWS CloudTrail-wijziging en webaanval daarin wordt opgeslagen als beveiligingsgebeurtenis. Zie Aan de slag met beveiliging voor wat elke soort omvat.

Een beveiligingsproduct koppelen#

Connections bevraagt een beveiligingsproduct voor je en importeert zijn nieuwe records als beveiligingsgebeurtenissen. Een verbinding bevat de instellingen van het product en een versleutelde referentie; een worker bevraagt haar met het interval dat je instelt en slaat records over die hij al importeerde.

• De eigen waarschuwingen van het product vanaf het niveau dat in Open Cases From is ingesteld (Hoog en hoger, tenzij je een ander niveau kiest, of Nooit), openen zaken, gegroepeerd op de gebruiker, de host of het adres waar ze over gaan.
• Een verbinding leest records op het tijdstip waarop het product ze aanmaakte, niet op het tijdstip van de activiteit die ze beschrijven. Een SIEM-regel die elk uur draait, maakt detecties lang na de gebeurtenissen waarop hij matchte, en die worden toch geïmporteerd.
• De eerste bevraging kijkt 24 uur terug, zodat een nieuwe verbinding meteen recente records toont.
• Verbinding testen, in de rij van de verbinding, controleert de toegang tot het product en of de eigen workers van Status200 draaien, en importeert niets. Run now bevraagt meteen.

Wat een gebeurtenis bevat#

Elke gebeurtenis wordt opgeslagen met getypeerde velden en de payload van de bron:

Beveiligingsgebeurtenissen verkennen#

Gebeurtenissen is een telemetrieverkenner zoals de verkenners voor logs en traces: een grafiek van de gebeurtenissen in het venster per ernst, een zijbalk met facetten, de lijst, en een paneel met elk veld en attribuut van de gebeurtenis die je opent. Het venster, de filters en de zoekopdracht staan allemaal in de URL, zodat een gefilterde weergave te delen is en een vernieuwing overleeft.

Zoeken#

De zoekbalk spreekt dezelfde taal als de andere telemetrieverkenners (zie Zoeksyntaxis):

Een veld is ofwel een korte naam (severity, class, category, activity, status, vendor, product, rule, user, host, ip, targetuser, targethost, targetip, processname, commandline, parentprocessname, observable, tactic, technique) ofwel de eigen naam van het veld, zoals severityName of principalHost. Elke andere naam wordt gelezen als bronattribuut. observable:<value> vindt elke gebeurtenis die een waarde noemt, aan welke kant van de activiteit die ook stond.

Facetten#

De zijbalk telt de gebeurtenissen in het venster per Bron, Ernst, Gebeurtenisklasse, Category, Activiteit, Status, Leverancier, Product, Detection Rule, Brongebruiker, Bronhost, Proces en Bovenliggend proces. Klik op een waarde om alleen haar gebeurtenissen te houden, of op het minteken ernaast om ze weg te laten. Klik nog eens om dat ongedaan te maken. De grafiek en elke telling beschrijven precies de gebeurtenissen in de lijst.

Correleren#

Correleren tekent de gebeurtenissen rond een host, een gebruiker of een IP-adres: hun gebeurtenisklassen rond wat je zocht, gemarkeerd met hun ergste ernst, en de andere waarden uit dezelfde gebeurtenissen op de buitenste ring. Klik op een klasse om haar gebeurtenissen te tonen, of op een waarde om daarna daarop te correleren. Elke observable in het paneel van een gebeurtenis op Gebeurtenissen opent Correleren erop.

Detectieregels#

Een detectieregel is een Sigma-regel, een open YAML-formaat om verdachte activiteit te beschrijven, die Status200 volgens een schema op je gebeurtenissen loslaat. Als hij matcht, opent hij een zaak of vult hij een open zaak aan, opent hij een waarschuwing, eventueel een incident, en schrijft hij een Detection Finding terug in de gebeurtenissen. De Rule Library heeft kant-en-klare regels om mee te beginnen.

Een regel aanmaken#

Een eerste regel, die matcht op mislukte aanmeldingen van buiten 10.x.x.x:

title: Failed logon burst
description: Repeated authentication failures from one source.
level: high
tags:
  - attack.t1110
  - attack.ta0006
detection:
  selection:
    className: Authentication
    statusName: Failure
  filter_internal:
    principalIp|startswith: '10.'
  condition: selection and not filter_internal

Wat een regel kan uitdrukken#

Status200 voert de booleaanse kern van Sigma uit:

• Selecties zijn veldmaps (elk veld moet matchen; een lijst met waarden matcht op elk ervan) of trefwoordlijsten, die overal in het bericht matchen.
• Voorwaarden combineren selecties met and, or, not en haakjes, of met 1 of selection_*, all of selection_*, any of them en all of them.
• Veldmodifiers: contains, startswith, endswith, all, re, cased, gt, gte, lt, lte, cidr, exists en windash. Tekst wordt vergeleken zonder op hoofdletters te letten, tenzij je cased toevoegt.
• Een veld is een getypeerd veld (principalUser), een gangbare Sigma-spelling ervan (CommandLine, src_ip, Hostname), of elke attribuutsleutel, gespeld zoals in de gebeurtenis (threat.matched).
• Image en CommandLine lezen het proces waar de gebeurtenis over gaat, bij het starten van een proces het proces dat startte (processPath, processCommandLine), en ParentImage en ParentCommandLine het proces dat het startte (parentProcessPath, parentProcessCommandLine). principalProcess is het proces dat handelde, bij het starten dus het bovenliggende proces.
• level bepaalt de ernst: informational, low, medium, high of critical, en medium als het ontbreekt. ATT&CK-ID's in tags (attack.t1110, attack.ta0006) vullen de MITRE-velden van de bevinding.

Aggregaties zoals | count() by principalIp > 5 worden bij het opslaan geweigerd: gebruik in plaats daarvan een correlatieregel, of Group By Field en Match Count Threshold. logsource is alleen informatief en beperkt niets: zet dat filter in een selectie, zoals className: Authentication. Een timeframe wordt genegeerd, omdat het interval van de regel zijn venster bepaalt.

Correlatieregels#

Een Sigma-correlatie slaat aan op meerdere gebeurtenissen samen in plaats van op één. Plak haar in Sigma Rule (YAML) met de regels die ze leest, als YAML-documenten gescheiden door ---, of noem regels die het project al heeft bij hun Sigma-name of -id. De Rule Library heeft kant-en-klare, zoals mislukte aanmeldingen gevolgd door een geslaagde.

title: Failed sign-ins, then a success from the same address
level: high
correlation:
  type: temporal_ordered
  rules:
    - failed_sign_ins
    - successful_sign_in
  group-by:
    - principalIp
  timespan: 10m
---
title: Five failed sign-ins
name: failed_sign_ins
correlation:
  type: event_count
  rules:
    - failed_sign_in
  group-by:
    - principalIp
  timespan: 10m
  condition:
    gte: 5
---
title: Failed sign-in
name: failed_sign_in
detection:
  selection:
    className: Authentication
    statusName: Failure
  condition: selection
---
title: Successful sign-in
name: successful_sign_in
detection:
  selection:
    className: Authentication
    statusName: Success
  condition: selection

• Een groep is de waarde van de velden in group-by, zoals één adres. Tellingen zijn rollend: een uitbarsting die twee runs verdelen, telt binnen haar timespan toch volledig mee, en die is hooguit 24 uur.
• new_value is een eigen type van Status200, omdat Sigma geen correlatie "voor het eerst gezien" kent: het vergelijkt met maximaal 30 dagen geschiedenis. value_sum, value_avg, value_percentile en value_median worden bij het opslaan geweigerd.
• De kolom Type van Detection Rules noemt het soort van elke regel, en het formulier zegt in één zin waar de regel naar zoekt.

Evaluatie-instellingen#

Group By en Distinct Count nemen dezelfde veldnamen als de regel. Daarmee zegt de drempel "zoveel, van hetzelfde ding, in één uitvoering", zonder monitor erbovenop:

Wanneer een regel draait#

Status200 controleert elke minuut op ingeschakelde regels waarvan het interval sinds hun laatste uitvoering is verstreken. Elke uitvoering leest de gebeurtenissen waarvan de gebeurtenistijd tussen de vorige uitvoering en twee minuten geleden valt, en gaat dan verder. Die twee minuten geven gebeurtenissen die nog onderweg zijn ruimte, zoals een logregel die een minuut na het schrijven wordt gelezen:

• Vensters sluiten op elkaar aan en glijden niet. Met een interval van 10 minuten kunnen mislukkingen om 09:58 en 10:01 in verschillende uitvoeringen vallen en worden ze apart geteld, dus houd marge aan als je een drempel kiest.
• Na een onderbreking, zoals een storing van een worker of een regel die weer is aangezet, dekt de volgende uitvoering de hele onderbreking, tot hoogstens de laatste 24 uur.
• Een gebeurtenis die meer dan twee minuten te laat binnenkomt, nadat een uitvoering haar tijd al heeft gedekt, wordt opgeslagen en is doorzoekbaar, maar die regel leest haar nooit.
• Elke groep die de drempel haalt, wordt een Detection Finding, tot 10.000 per uitvoering. Waarschuwingen, incidenten en zaken openen voor de 100 met de hoogste tellingen; de rest deelt één zaak over de regel, en de Laatste fout van de regel zegt hoeveel groepen matchten.

Ernst#

Het level van een regel is de ernst van zijn bevindingen: informational, low, medium, high en critical worden Informational, Low, Medium, High en Critical. Zijn waarschuwingen en incidenten krijgen een van de ernstniveaus van je project, in deze volgorde:

1. De Ernst van waarschuwing (of Ernst van incident) van de regel, als die is ingesteld.
2. Je ernstniveau dat naar het level is genoemd, zoals High, ongeacht hoofdletters.
3. Op rang: regels met critical en high krijgen je zwaarste ernstniveau, de andere je lichtste.

Waarschuwingen en bevindingen#

Elke groep die afgaat, opent een waarschuwing met de titel [Detection] <rule name> — <group value>, of [Detection] <rule name> voor een regel zonder Group By Field. Zolang die openstaat, openen meer matches voor die groep geen nieuwe. Een regel ziet alleen matches en kan niet zien dat een aanval is gestopt, dus zijn waarschuwingen blijven open tot iemand ze oplost.

Een Detection Finding is een beveiligingsgebeurtenis van de klasse Detection Finding (OCSF-klasse 2004) van het product Status200 Detections, met de MITRE-tags van de regel, de groepswaarde als eerste in observables, en deze attributen:

Bevindingen zijn gewone gebeurtenissen: doorzoek ze in Gebeurtenissen en draai erop in Correleren. Om een nieuwe regel stil uit te proberen, zet je elke actie behalve de bevinding uit tot je hem vertrouwt.

Monitoren voor beveiligingsgebeurtenissen#

Een monitor voor beveiligingsgebeurtenissen telt de gebeurtenissen die aan zijn filters voldoen over een glijdend venster en past de gebruikelijke monitorcriteria toe op de telling: hij wijzigt de status van de monitor, opent waarschuwingen of incidenten, en roept de dienstdoende op. Maak er een aan onder Monitoren → Monitor maken, met Security Events als type; daar staat hij tussen uw andere monitoren.

Het formulier toont Monitor events that include this text, Monitor Security Events for (time), Event Severity en Gebeurtenisklasse. Filteren op telemetrieservice en Filteren op attributen wachten onder Meer velden, waarvan de kop toont welke een monitor gebruikt. De criteria controleren Security Event Count.

Schrijf de detectie zelf als regel, met haar drempel. Gebruik een monitor als je een glijdend venster wilt, een status die vanzelf herstelt, een statuspagina, of per criterium een ander on-callbeleid.

Houd je detecties in de gaten#

Bevindingen zijn gebeurtenissen, dus een monitor kan de regels zelf bewaken:

• Stormen: een monitor op de klasse Detection Finding, die elke bevinding telt. Twintig verschillende regels die binnen een uur afgaan, zijn een signaal dat geen enkele regel alleen kan zien.
• Veranderingen in tempo: filter op de status200.detection.rule_id van één regel. Een regel die wekelijks afgaat en ineens vijftig keer per uur afgaat, vraagt om een andere reactie.
• Stilte: bevindingen die naar nul zakken, terwijl je er normaal een paar ziet, betekenen meestal dat een bron is gestopt met sturen. Gebruik een criterium dat controleert op een telling onder een getal.

De actie Monitor maken in de rij van een regel opent een nieuwe monitor die al zo is ingesteld: de klasse Detection Finding, de ID van de regel (nooit zijn naam, die bij een hernoeming zou veranderen), en het laatste uur. Zo'n monitor telt bevindingen, één per groep per uitvoering, niet de gebeurtenissen erachter. Om een aantal gebeurtenissen te vereisen voordat er iets afgaat, gebruik je de Match Count Threshold van de regel.

Dreigingsinformatie#

Threat Intel neemt abonnementen op STIX/TAXII-feeds van bekende kwaadaardige IP-adressen, domeinen, URL's, e-mailadressen en bestandshashes. Gebeurtenissen die er een noemen, krijgen bij binnenkomst threat.*-attributen, waarop regels en monitoren kunnen filteren, en elke minuut worden recente gebeurtenissen met de feeds vergeleken, wat waarschuwingen en bevindingen opent zoals een regel dat doet. Zie Dreigingsinformatie.

Bewaring en facturering#

Beveiligingsgebeurtenissen worden per ingenomen GB gefactureerd, net als de rest van je telemetrie, en bewaard volgens je telemetriebewaring: de Standaardbewaring (dagen) van het project, onder Projectinstellingen → Telemetrie & APM → Gegevensbewaring, of een bewaartermijn die is ingesteld op de telemetrieservice waartoe ze behoren. Als de bewaartermijn van een gebeurtenis afloopt, wordt ze verwijderd.

Probleemoplossing#

Volgende stappen#