Aggregazione

L'aggregazione consiste nell'unire i dati di molti record, sistemi o eventi in un unico insieme o in un'unica sintesi. Un server di log che raccoglie gli eventi di centinaia di macchine aggrega. Lo fa anche un report che trasforma migliaia di righe in un totale, una media o un conteggio.

Nella sicurezza la parola ha due facce. La prima è una tecnica: riunire dati sparsi per poterli cercare, contare e confrontare. La seconda è un rischio: elementi innocui da soli possono diventare sensibili se messi uno accanto all'altro. La sintesi in sé ha una pagina propria, informazioni aggregate. Questa pagina tratta il processo e il suo effetto sulla classificazione dei dati.

Lo schema è lo stesso che il risultato sia una dashboard o un allarme. La qualità dipende dal secondo passaggio: i record che non si possono ricondurre allo stesso utente o allo stesso minuto non si possono combinare.

1. 1

   Raccogliere

   Riunisci record o eventi da più fonti, come log, database e agent sulle postazioni.

2. 2

   Allineare

   Porta i campi a una forma comune: fuso orario, identificativo utente, nomi dei campi.

3. 3

   Combinare

   Raggruppa o collega i record in base a una chiave condivisa, per esempio un utente, un host o una finestra temporale.

4. 4

   Sintetizzare

   Applica una funzione a ogni gruppo, come un conteggio, una somma o un massimo, oppure conserva i record combinati per la ricerca.

I team di sicurezza aggregano perché un singolo evento raramente racconta la storia intera. Un archivio centrale dei log, un allarme a soglia e un punteggio di rischio nascono dalla stessa idea a livelli diversi. Inviare gli eventi a una piattaforma SIEM è una forma comune, e l'analisi del comportamento, come l'UEBA, si basa sull'attività combinata nel tempo.

Il lato rischio dell'aggregazione è antico e semplice. Ogni dato di un elenco può essere pubblico o di scarso valore: un nome, un reparto, un codice progetto, una data di viaggio. Insieme possono rivelare un elenco di clienti, un'operazione non ancora annunciata o gli spostamenti di una persona. Le linee guida di sicurezza lo chiamano problema dell'aggregazione, e l'effetto mosaico descrive lo stesso schema.

La conseguenza è che una raccolta può meritare un livello più alto di ciascuna delle sue fonti. Chi costruisce un report, un'esportazione o un archivio dati condiviso dovrebbe chiedersi che cosa rivela l'insieme, e non solo che cosa contiene ogni colonna, e trattare il risultato come informazioni sensibili quando la risposta è seria.

Le tre parole si usano spesso in modo approssimativo e si confondono facilmente. Descrivono passaggi diversi, e ciascuno richiede un controllo diverso.

In Anexet Activity la regola di sicurezza statistica è l'aggregazione nella sua forma più diretta: la regola conta gli eventi di un tipo scelto, come e-mail, conversazioni o richieste web, in un'ora, un giorno, una settimana o un periodo personalizzato, e scatta quando il conteggio supera una soglia. Per la reportistica la console crea report consolidati con colonne di totale e media giornaliera, e i report di sicurezza portano i risultati a chi li esamina.

1 / 2

• 
• 

I controlli partono da un fatto: un insieme di dati combinato è una nuova risorsa. Ha bisogno di un responsabile, di un'etichetta e di una regola di accesso propria.

• Classifica la raccolta in base a ciò che rivela nel suo insieme, non in base alla fonte meno sensibile
• Limita chi può costruire, esportare o pianificare grandi report combinati
• Mantieni i dati di origine sotto la stessa protezione dell'insieme combinato
• Fissa una dimensione minima del gruppo per le sintesi condivise ampiamente
• Osserva i volumi insoliti: molte query o esportazioni di un utente in poco tempo possono essere il primo segnale di una esfiltrazione di dati

Elenca i punti in cui la tua organizzazione combina già i dati: log centrali, report condivisi, esportazioni per i partner, ambienti di analisi. Per ciascuno annota che cosa rivela l'insieme e chi può vederlo, poi confrontalo con l'etichetta delle fonti.

Contare gli eventi viene dopo. Quando sai com'è il volume normale di un team, una regola a soglia ti dice quando qualcuno ne esce.