Automatische Zuordnung von Sicherheitsrichtlinien

Sicherheitsrichtlinien neu erkannten Log-Quellen zuweisen

Überblick

Nachdem eingehende Logs in das SecureVisio-Schema geparst wurden, werden sie von Sicherheitsregeln verarbeitet. Sicherheitsrichtlinien bestimmen, welche Regeln für eine bestimmte Log-Quelle ausgeführt werden. Daher ist eine Sicherheitsrichtlinie neben dem Parser eines der zentralen Konfigurationselemente, die einer Log-Quelle zugeordnet sind.

Dieser Artikel setzt den automatischen Onboarding-Ablauf für Quellen fort: Zuerst muss ein Parser zugewiesen werden; die Richtlinienzuordnung beginnt, sobald die Quelle über einen Parser verfügt.

Wichtige Einschränkung Die automatische Richtlinienzuordnung ist für XDR-Quellen nicht verfügbar. XDR-Quellen liegen außerhalb des Funktionsumfangs dieses Mechanismus. Für XDR-Quellen erfolgt die Zuweisung von Sicherheitsrichtlinien über vorkonfigurierte XDR-Richtlinieneinstellungen. Die Konfiguration legt fest, welche Richtlinie neu erstellten XDR-Quellen zugeordnet werden soll, sodass bei der Erstellung einer neuen XDR-Quelle die passende Richtlinie unmittelbar anhand dieser Konfiguration zugewiesen werden kann.

Manuelle und automatische Zuweisungsmodi

Der Zuweisungsmodus wird über die Konfigurationsoption der Richtlinie für die Quellzuweisung gesteuert. Das Quelldokument beschreibt zwei Modi:

Modus	Bedeutung
Manual	Die Richtlinie kann einer Log-Quelle nur durch einen Operator zugewiesen werden.
Automatic	Die Richtlinie kann manuell zugewiesen werden und außerdem am automatischen Zuordnungsprozess teilnehmen.

Konfiguration der Sicherheitsrichtlinie mit Modus der Quellzuweisung und zugehörigen Richtlinien/Regeln.

Wann die automatische Zuordnung ausgeführt werden kann

• Die erste automatische Richtlinienauswahl kann für ein neues Gerät innerhalb von maximal 6 Stunden nach dem Hinzufügen des Geräts erfolgen.
• Der Prozess funktioniert nur für Quellen, denen bereits ein Parser zugewiesen wurde. Zuerst findet die Parser-Erkennung statt; anschließend folgt die Richtlinienzuordnung.
• Die Richtlinienauswahl beginnt nach dem Empfang von 1000 Frames für die Quelle oder nachdem innerhalb einer Stunde mindestens 50 Frames empfangen wurden.
• Die Zuordnung basiert auf dem Skript, das für Richtlinien konfiguriert ist, die eine automatische Zuweisung zu Quellen erlauben.
•  

Beispiel eines Regel-Skripts zur Richtlinienverwendung, das vom Zuordnungsprozess genutzt wird.

Zuordnungsmechanismus

Der Zuordnungsalgorithmus bewertet automatische Richtlinien in einer definierten Reihenfolge und weist die Richtlinie zu, die am besten zu den beobachteten Frames passt.

1. Für jede automatische Richtlinie zählt das System die zugehörigen Sicherheitsregeln, einschließlich der über untergeordnete Richtlinien verknüpften Regeln.
2. Die Richtlinien werden absteigend nach der Anzahl der zugehörigen Regeln sortiert. Richtlinien mit mehr zugehörigen Regeln haben in der Bewertungsreihenfolge Vorrang.
3. Jeder geparste Frame führt das für die Richtlinie definierte Skript aus. Die Richtlinien werden von oben nach unten in der sortierten Liste bewertet.
4. Wenn ein Frame mit einem Richtlinienskript übereinstimmt, endet die Zuordnung für diesen Frame; Richtlinien mit niedrigerer Priorität werden für diesen Frame nicht mehr bewertet.
5. Nachdem die erforderliche Anzahl von Frames gesammelt wurde, wird der Quelle die Richtlinie mit der höchsten Anzahl übereinstimmender Frames zugewiesen.
6. Wenn mehrere Richtlinien dieselbe Anzahl an Übereinstimmungen aufweisen, gewinnt die in der sortierten Liste höher stehende Richtlinie.

Richtlinie	Zugehörige Regeln	Übereinstimmende Frames	Ergebnis
POLICY 2	10	10
POLICY 3	8	20	Gewinner
POLICY 1	6	20
POLICY 4	2	0

Informations-Frame nach der Zuweisung

Nachdem einem Gerät oder einer Log-Quelle eine Richtlinie zugewiesen wurde, erzeugt das System auf dem Gerät einen Informations-Frame. Das Beispiel zeigt den erzeugten Frame mit geparsten Feldern wie ClassAction, ClassCategory, EventDescription, EventName, Message, SrcIp, VendorName und VendorProduct.

Beispiel eines nach der Richtlinienerkennung erzeugten Informations-Frames.

Mechanismus zurücksetzen

Die Richtlinienzuordnung ist nicht strikt auf einen einmaligen Vorgang beschränkt. Wenn eine Richtlinie von einer Log-Quelle getrennt und die Listen- oder Detailansicht gespeichert wird, wird im Hintergrund ein Rücksetzdatum geschrieben. Für Quellen mit diesem Rücksetzdatum startet der Erkennungsprozess anschließend erneut.

Um eine Richtlinie von einer Quelle zu trennen, verwendet der Operator das X-Steuerelement in der Richtlinienzelle oder dasselbe Steuerelement in der Massenbearbeitung.

Ansicht der Massenbearbeitung mit dem Steuerelement zum Entfernen einer Richtlinie, das zum Zurücksetzen der Richtlinienzuordnung verwendet wird.