Συγκέντρωση (Aggregation)

Η συγκέντρωση είναι η ένωση δεδομένων από πολλές εγγραφές, συστήματα ή συμβάντα σε ένα σύνολο ή μια σύνοψη. Ένας διακομιστής αρχείων καταγραφής που συλλέγει συμβάντα από εκατοντάδες μηχανήματα κάνει συγκέντρωση. Το ίδιο κάνει και μια αναφορά που μετατρέπει χιλιάδες γραμμές σε σύνολο, μέσο όρο ή πλήθος.

Στην ασφάλεια η λέξη έχει δύο όψεις. Η πρώτη είναι μια τεχνική: φέρνουμε διάσπαρτα δεδομένα μαζί, ώστε να αναζητούνται, να μετρώνται και να συγκρίνονται. Η δεύτερη είναι ένας κίνδυνος: στοιχεία που είναι αθώα μεμονωμένα μπορούν να γίνουν ευαίσθητα όταν μπουν το ένα δίπλα στο άλλο. Η ίδια η σύνοψη έχει δική της σελίδα, συγκεντρωτικές πληροφορίες. Εδώ εξετάζουμε τη διαδικασία και την επίδρασή της στην κατηγοριοποίηση δεδομένων.

Η διαδικασία είναι ίδια είτε το αποτέλεσμα είναι πίνακας ελέγχου είτε ειδοποίηση. Η ποιότητά της εξαρτάται από το δεύτερο βήμα: εγγραφές που δεν αντιστοιχίζονται στον ίδιο χρήστη ή στο ίδιο λεπτό δεν μπορούν να συνδυαστούν.

1. 1

   Συλλογή

   Συγκεντρώστε εγγραφές ή συμβάντα από περισσότερες πηγές, όπως αρχεία καταγραφής, βάσεις δεδομένων και πράκτορες στους σταθμούς εργασίας.

2. 2

   Ευθυγράμμιση

   Φέρτε τα πεδία σε κοινή μορφή: ζώνη ώρας, αναγνωριστικό χρήστη, ονόματα πεδίων.

3. 3

   Συνδυασμός

   Ομαδοποιήστε ή συνδέστε τις εγγραφές με ένα κοινό κλειδί, για παράδειγμα χρήστη, υπολογιστή ή χρονικό παράθυρο.

4. 4

   Σύνοψη

   Εφαρμόστε μια συνάρτηση σε κάθε ομάδα, όπως πλήθος, άθροισμα ή μέγιστο, ή κρατήστε τις συνδυασμένες εγγραφές για αναζήτηση.

Οι ομάδες ασφάλειας συγκεντρώνουν δεδομένα, επειδή ένα μεμονωμένο συμβάν σπάνια λέει όλη την ιστορία. Ένας κεντρικός χώρος αρχείων καταγραφής, μια ειδοποίηση ορίου και μια βαθμολογία κινδύνου στηρίζονται στην ίδια ιδέα σε διαφορετικά επίπεδα. Η αποστολή συμβάντων σε μια πλατφόρμα SIEM είναι μία συνηθισμένη μορφή, ενώ η ανάλυση συμπεριφοράς, όπως η UEBA, βασίζεται σε δραστηριότητα που συνδυάζεται στον χρόνο.

Η πλευρά του κινδύνου στη συγκέντρωση είναι παλιά και απλή. Κάθε στοιχείο μιας λίστας μπορεί να είναι δημόσιο ή μικρής αξίας: ένα όνομα, ένα τμήμα, ένας κωδικός έργου, μια ημερομηνία ταξιδιού. Μαζί μπορούν να αποκαλύψουν έναν κατάλογο πελατών, μια ανακοίνωση που δεν έχει γίνει ή τις μετακινήσεις ενός προσώπου. Οι οδηγίες ασφάλειας το ονομάζουν πρόβλημα συγκέντρωσης, και το φαινόμενο του ψηφιδωτού περιγράφει το ίδιο μοτίβο.

Η συνέπεια είναι ότι ένα σύνολο μπορεί να αξίζει υψηλότερη ταξινόμηση από καθεμία από τις πηγές του. Όποιος φτιάχνει μια αναφορά, μια εξαγωγή ή έναν κοινό χώρο δεδομένων πρέπει να αναρωτηθεί τι αποκαλύπτει το σύνολο και όχι μόνο τι περιέχει κάθε στήλη, και να αντιμετωπίσει το αποτέλεσμα ως ευαίσθητες πληροφορίες όταν η απάντηση είναι σοβαρή.

Οι τρεις όροι χρησιμοποιούνται χαλαρά και μπερδεύονται εύκολα. Περιγράφουν διαφορετικά βήματα, και το καθένα απαιτεί διαφορετικό έλεγχο.

Στο Anexet Activity ο στατιστικός κανόνας ασφάλειας είναι η συγκέντρωση στην πιο άμεση μορφή της: ο κανόνας μετρά συμβάντα ενός επιλεγμένου τύπου, όπως email, συνομιλίες ή αιτήματα web, μέσα σε μία ώρα, μία ημέρα, μία εβδομάδα ή μια προσαρμοσμένη περίοδο και ενεργοποιείται όταν το πλήθος ξεπεράσει ένα όριο. Για τις αναφορές, η κονσόλα δημιουργεί ενοποιημένες αναφορές με στήλες συνόλου και ημερήσιου μέσου όρου, και οι αναφορές ασφάλειας φέρνουν τα αποτελέσματα σε όσους τα ελέγχουν.

1 / 2

• 
• 

Οι έλεγχοι ξεκινούν από ένα γεγονός: ένα συνδυασμένο σύνολο δεδομένων είναι νέο περιουσιακό στοιχείο. Χρειάζεται υπεύθυνο, ετικέτα και δικό του κανόνα πρόσβασης.

• Ταξινομήστε το σύνολο με βάση ό,τι αποκαλύπτει συνολικά, όχι με βάση την λιγότερο ευαίσθητη πηγή του
• Περιορίστε ποιος μπορεί να δημιουργεί, να εξάγει ή να προγραμματίζει μεγάλες συνδυασμένες αναφορές
• Προστατεύστε τα δεδομένα πηγής όσο και το συνδυασμένο σύνολο
• Ορίστε ελάχιστο μέγεθος ομάδας για συνόψεις που διανέμονται ευρέως
• Προσέξτε τον ασυνήθιστο όγκο: πολλά ερωτήματα ή εξαγωγές ενός χρήστη σε σύντομο διάστημα μπορεί να είναι το πρώτο σημάδι εξαγωγής δεδομένων (exfiltration)

Καταγράψτε τα σημεία όπου ο οργανισμός σας ήδη συνδυάζει δεδομένα: κεντρικά αρχεία καταγραφής, κοινές αναφορές, εξαγωγές για συνεργάτες, χώρους ανάλυσης. Για καθένα σημειώστε τι αποκαλύπτει το σύνολο και ποιος μπορεί να το δει, και συγκρίνετέ το με την ετικέτα των πηγών.

Η μέτρηση συμβάντων έρχεται δεύτερη. Όταν ξέρετε πώς είναι ο κανονικός όγκος μιας ομάδας, ένας κανόνας ορίου σας δείχνει πότε κάποιος τον ξεπερνά.