Wie funktioniert die Correlation Engine von SecureVisio und welche Daten erfasst sie?

SecureVisio nutzt einen verteilten Stack aus Collector-Diensten, um Logs zu erfassen, zu parsen, zu normalisieren und zu speichern und anschließend Events zu korrelieren sowie Anomalien zu erkennen. Nachfolgend wird beschrieben, welche Daten in das System gelangen können und wie sie von der Correlation Engine verarbeitet werden.

Architektur der Collector-Dienste

Für das Parsen, Normalisieren, Speichern und Korrelieren von Logs sowie für das Speichern von Events und das Erzeugen von Anomalien ist der Collector-Stack von SecureVisio zuständig. Innerhalb einer Installation lässt sich eine beliebige Anzahl von Collectoren betreiben. Dadurch kann die Performance skaliert werden, ohne dass auf Seiten von SecureVisio zusätzliche Lizenzkosten entstehen.

Ein einzelner Collector-Stack kann die folgenden Dienste umfassen:

Dienst	Rolle im Collector-Stack
LogForwarder	Empfang und Abholen von Logs, Parsing, Filterung sowie optionale Weiterleitung der Daten an einen anderen Collector-Stack.
FrameStore	Speicherung und Indizierung von Logs sowie Verwaltung der Hot- und Cold-Storage-Schichten.
PolicyEngine	Prüfung der Logs gegen die Sicherheitsregeln, die der jeweiligen Datenquelle zugeordnet sind.
EventStore	Speicherung und Bereitstellung von Events, die auch für die historische Korrelation genutzt werden.
LogAnomalyDetector	Machine Learning und Erzeugung von Anomalien für verdächtige Aktivitäten von Benutzern oder Hosts.
CollectorController	Überwachung des Zustands der übrigen Dienste des Collector-Stacks.

Die Dienste können auf derselben Maschine laufen oder auf verschiedene Server verteilt werden. Die Architektur erlaubt zudem, sie je nach Performance-Anforderungen und organisatorischen Vorgaben passend zu paaren und zu kombinieren.

Eine häufige Variante ist der gemeinsame Betrieb der Schicht für Erfassung und Speicherung von Logs, also der Dienste LogForwarder und FrameStore. Diese Schicht übernimmt die Funktion des Log Managements.

Auch die Korrelationsschicht läuft meist gemeinsam. Sie umfasst die PolicyEngine, die Events erzeugt, den EventStore, der für deren Speicherung zuständig ist, sowie den LogAnomalyDetector, der Anomalien generiert.

Jeder Dienst kann Daten in einer Queue zwischenspeichern, etwa bei einem kurzzeitigen Verbindungsverlust zwischen den Maschinen. Daten, die auf die Verarbeitung warten, gelangen in eine Queue, deren Standardkapazität eine Million Elemente beträgt und die konfigurierbar ist.

Die für die Datenspeicherung zuständigen Dienste FrameStore und EventStore erlauben es, die Retention festzulegen. Die Konfiguration umfasst unter anderem die Speicherorte für Hot- und Cold-Storage sowie die Bedingungen für die Datenaufbewahrung.

Beim EventStore lassen sich zusätzlich die maximale Zeit oder die Anzahl der im Arbeitsspeicher gehaltenen Elemente festlegen. Diese Daten stehen den Korrelationsmechanismen zur Verfügung, beispielsweise bei der Prüfung früherer Events, die zur Bestätigung der Bedingungen einer Sicherheitsregel erforderlich sind.

Welche Daten erfasst SecureVisio?

Das System ermöglicht die Log-Erfassung sowohl agentenbasiert als auch agentenlos.

Modell	Mechanismus	Beispielhafte Daten und Quellen
Passiv	Listener auf Seiten des LogForwarder	Syslog über UDP, TCP oder TCP over TLS sowie NetFlow-Flows.
Aktiv	Vom LogForwarder initiierter Konnektor	API, Flat Files, ODBC, E-Mail, Windows-Ereignisprotokolle, Kafka sowie PowerShell-Konnektoren.
Agentenbasiert	Auf dem Host installierter Agent	Ereignisprotokolle, Flat Files und erweiterte Sysmon-Telemetrie.

Für die agentenlose Datenerfassung ist der Dienst LogForwarder zuständig, der Bestandteil des SecureVisio Collector-Stacks ist.

Der LogForwarder kann Daten passiv erfassen, indem er darauf wartet, dass die Quelle sie sendet, oder aktiv über einen entsprechenden Konnektor.

Passive Erfassung

Im passiven Modus stellt der LogForwarder einen Listener für UDP, TCP oder TCP over TLS bereit. Nach dem Empfang der Daten legt das System eine Log-Quelle an, die anschließend aktiviert werden muss, damit die Speicherung beginnt. Ebenso lässt sich ein NetFlow-Listener betreiben und Informationen über Netzwerk-Flows speichern.

Aktive Erfassung

Im aktiven Modus baut der LogForwarder die Verbindung zur Datenquelle selbst über einen Konnektor auf. SecureVisio stellt unter anderem Konnektoren für APIs, Flat Files, ODBC, E-Mail, Windows-Ereignisprotokolle sowie die Kafka-Plattform bereit. Ebenso lassen sich eigene Konnektoren in einer Skriptsprache erstellen; genauso kann der Hersteller einen Konnektor für eine konkrete Integration bereitstellen, der über einen Skript-Konnektor (z. B. Microsoft PowerShell) aktiviert wird.

Agentenbasierte Erfassung

Im agentenbasierten Modell lässt sich festlegen, aus welchen Ereignisprotokollen Logs abgeholt werden sollen. Der Agent kann außerdem Daten aus Flat Files auslesen, die auf dem Host liegen.

Für Agenten lassen sich separate Profile anlegen. Jedes Profil kann eine eigene Konfiguration von Queues, Performance-Parametern sowie Listen der Protokolle und Dateien besitzen, aus denen Daten abgeholt und an den Dienst FrameStore gesendet werden.

Erweiterung der Telemetrie um Sysmon

Der Agent kann die Telemetrie des Hosts zusätzlich durch das automatische Ausrollen von Sysmon erweitern. Ist diese Option aktiviert, wird Sysmon heruntergeladen und auf dem Host installiert; sein Protokoll wird damit zu einer weiteren Datenquelle, die unter anderem Informationen über erstellte Dateien, gestartete Prozesse und Registry-Änderungen umfasst.

Filterung und Weiterleitung von Logs an die Korrelation

SecureVisio erlaubt es festzulegen, welche Logs gespeichert, an die Korrelation übergeben oder an einen anderen Collector bzw. einen externen Syslog-Server gesendet werden. Dank Filterregeln kann ein Teil der Daten in der Log-Management-Schicht verbleiben, ohne die PolicyEngine zu erreichen. Dies ist ein häufig gewählter Ansatz, da er das Informationsrauschen reduziert und ausschließlich jene Daten in die Korrelation leitet, die für die Sicherheitsregeln relevante Informationen enthalten.

Werden Logs gespeichert, so bewahrt SecureVisio sowohl ihre Rohform als auch die geparste Form auf.

Wie funktioniert die PolicyEngine?

Die Daten werden vom LogForwarder empfangen und geparst und anschließend gefiltert, sofern für die Quelle Regeln vom Typ SPAM definiert wurden. Im nächsten Schritt prüft die PolicyEngine, ob der Log die Bedingungen und das Skript der Sicherheitsregeln erfüllt, die zu der dieser Quelle zugewiesenen Policy gehören. Der Parser normalisiert die Daten, während die Policy den Satz an Regeln bestimmt, der für die Log-Quelle geprüft wird.

Jede Policy kann direkt zugewiesene Sicherheitsregeln sowie verknüpfte Policies enthalten, darunter untergeordnete Policies mit eigenen Regelsätzen.

Erzeugung und Speicherung von Events

Nach seiner Erzeugung steht ein Event unter anderem im Event-Browser sowie in den UBA- und EBA-Übersichten zur Verfügung, die eine Zeitachse der mit einem Benutzer oder Host verbundenen Events darstellen. Die Event-Ansicht enthält die geparsten Felder des Logs, der die Regel ausgelöst hat, sowie vom System ergänzte Informationen: die Verknüpfung des Assets mit dem Domänenbenutzer, das Mapping von IP-Adressen auf Assets der Logical Map, den Namen der Regel und deren Kategorie.

Korrelationsmethoden

Die Korrelation in SecureVisio kann auf mehrere Arten erfolgen. Der Assistent für Sicherheitsregeln ermöglicht das Aggregieren und Akkumulieren von Werten. Nach der Definition des Regelskripts lässt sich die Strategie festlegen, nach der das System ein Event erzeugen soll.

Methode	Was geprüft wird	Beispielhafter Einsatz
diffCount	Die Anzahl unterschiedlicher Werte des angegebenen Feldes bei gleichen Aggregationsfeldern.	Erkennung eines Scans über viele Ports zwischen demselben IP-Adresspaar.
Count	Die Anzahl der Logs, die die Bedingungen für dieselbe Feldkombination erfüllen.	Mehrfach fehlgeschlagene Aktionen gegen denselben Benutzer oder Host.
Sum	Die Summe numerischer Werte aus mehreren Logs.	Gesamtzahl der in einem bestimmten Zeitraum übertragenen Bytes.

Die Methode diffCount erlaubt es, ein Feld zu bestimmen, das eine festgelegte Anzahl unterschiedlicher Werte für dieselbe Kombination von Aggregationsfeldern annehmen muss. Im dargestellten Beispiel wird ein Event erzeugt, wenn das Regelskript innerhalb einer Minute für 1500 verschiedene Ports zutrifft – jedoch für dieselbe Kombination aus SrcIP und DstIP.

Die Methode Count prüft das mehrfache Auftreten von Logs, die das Skript für dieselben aggregierten Felder erfüllen. Im folgenden Beispiel wird ein Event erzeugt, wenn das Skript innerhalb von fünf Minuten fünfmal für dieselbe Kombination aus SourceIP und DstUserName zutrifft.

Die Methode Sum ermöglicht das Aufsummieren eines Wertes, der in mehreren Logs vorkommt. Ein Beispiel ist die Gesamtzahl der Bytes, die in einem bestimmten Zeitraum in der Kommunikation zwischen derselben SrcIP und DstIP übertragen wurden.

Die Akkumulationsmechanismen können auch quellenübergreifend arbeiten. SecureVisio nutzt ein eigenes Schema, in das die Parser die erkannten Werte schreiben, sowie Klassifizierungsfelder mit fest definierter Bedeutung. Dadurch lassen sich unterschiedliche Quellen einheitlich interpretieren, und eine Regel, die Klassifizierungsfelder verwendet, kann Daten aus mehreren Systemen korrelieren. Der Umfang der Korrelation bleibt konfigurierbar und hängt vom Skript sowie den Bedingungen der Regel ab.

Korrelation unter Nutzung der Event-Historie

Eine zusätzliche Korrelationsebene bilden Rückgriffe auf frühere Events, die direkt im Skript erfolgen. SecureVisio verwendet die Sprache cSQL, erweitert um herstellerseitig bereitgestellte Funktionen. Eine Regel kann den aktuellen Trigger erhalten und anschließend – zu dessen Plausibilisierung – prüfen, ob innerhalb der vorangegangenen 60 Minuten für denselben Benutzer ein Event einer bestimmten Kategorie aufgetreten ist. Der verfügbare Historienbereich hängt von der Konfiguration der Retention und der Queues des Dienstes EventStore ab.

Die historische Prüfung kann verschiedene Kontexte nutzen. Eine Regel kann sich auf eine Kategorie, auf eine namentlich benannte konkrete Regel sowie auf den allgemeinen Kontext eines Benutzers oder Hosts beziehen. Die cSQL-Syntax erlaubt es, sowohl das einmalige Auftreten eines Events als auch eine bestimmte Anzahl unterschiedlicher Vorkommen zu prüfen, beispielsweise mithilfe der Funktion diffCount in einem vorgegebenen Zeitfenster.

Weiterleitung von Events und Korrelation zwischen Collectoren

SecureVisio ermöglicht außerdem die Weiterleitung von Events. In einer Umgebung mit mehreren Collectoren lassen sich ausgewählte Events an einen anderen Collector-Stack senden, um die Korrelation zwischen verschiedenen Standorten oder Segmenten zu erhalten. Die Bedingung für die Weiterleitung kann sich sowohl auf geparste Felder als auch auf Informationen beziehen, die bei der Erzeugung des Events ergänzt wurden. Auf dieser Grundlage erzeugt das System einen Log, der das Event beschreibt, und sendet ihn an den angegebenen Collector oder an einen externen Syslog-Server.