Agregacja

Agregacja to łączenie danych z wielu rekordów, systemów lub zdarzeń w jeden zbiór albo jedno podsumowanie. Agreguje serwer logów, który zbiera zdarzenia z setek maszyn. Agreguje też raport, który zamienia tysiące wierszy w sumę, średnią lub liczbę.

W bezpieczeństwie to słowo ma dwie strony. Pierwsza to technika: zebranie rozproszonych danych w jednym miejscu, aby można je było przeszukiwać, liczyć i porównywać. Druga to ryzyko: fragmenty niegroźne osobno mogą stać się wrażliwe, gdy położy się je obok siebie. Samo podsumowanie opisuje osobne hasło, informacje zagregowane. Tutaj omawiamy proces i jego wpływ na klasyfikację danych.

Schemat jest ten sam, niezależnie od tego, czy wynikiem jest pulpit, czy alert. Jakość wyniku zależy od drugiego kroku: rekordów, których nie da się przypisać do tego samego użytkownika lub tej samej minuty, nie można połączyć.

1. 1

   Zbieranie

   Pobierz rekordy lub zdarzenia z kilku źródeł, na przykład z logów, baz danych i agentów na stacjach końcowych.

2. 2

   Ujednolicenie

   Sprowadź pola do wspólnej postaci: strefa czasowa, identyfikator użytkownika, nazwy pól.

3. 3

   Łączenie

   Pogrupuj lub połącz rekordy według wspólnego klucza, na przykład użytkownika, hosta lub okna czasowego.

4. 4

   Podsumowanie

   Zastosuj funkcję do każdej grupy, taką jak liczba, suma lub maksimum, albo zachowaj połączone rekordy do przeszukiwania.

Zespoły bezpieczeństwa agregują dane, bo pojedyncze zdarzenie rzadko opowiada całą historię. Centralny magazyn logów, alert progowy i ocena ryzyka opierają się na tym samym pomyśle na różnych poziomach. Przekazywanie zdarzeń do systemu SIEM to jedna z częstych form, a analityka zachowań, taka jak UEBA, korzysta z aktywności łączonej w czasie.

Ryzyko związane z agregacją jest stare i proste. Każdy fakt z listy może być publiczny lub mało wartościowy: nazwisko, dział, kod projektu, data podróży. Razem mogą ujawnić listę klientów, niezapowiedzianą transakcję albo przemieszczanie się danej osoby. Wytyczne bezpieczeństwa nazywają to problemem agregacji, a ten sam wzorzec opisuje efekt mozaiki.

Z tego wynika, że zestawienie może zasługiwać na wyższą etykietę niż każde z jego źródeł. Kto buduje raport, eksport lub wspólny magazyn danych, powinien zapytać, co ujawnia całość, a nie tylko co zawiera każda kolumna, i potraktować wynik jako informacje wrażliwe, jeśli odpowiedź jest poważna.

Te trzy słowa bywają używane luźno i łatwo je pomylić. Opisują różne kroki, a każdy wymaga innej kontroli.

W Anexet Activity statystyczna reguła bezpieczeństwa to agregacja w najprostszej postaci: reguła zlicza zdarzenia wybranego typu, na przykład e-maile, rozmowy lub żądania sieciowe, w ciągu godziny, doby, tygodnia albo własnego okresu i uruchamia się, gdy liczba przekroczy próg. Do raportowania konsola buduje raporty zbiorcze z kolumnami sumy i średniej dziennej, a raporty bezpieczeństwa trafiają do osób, które je oceniają.

1 / 2

• 
• 

Punktem wyjścia jest jedno spostrzeżenie: połączony zbiór danych to nowy zasób. Potrzebuje właściciela, etykiety i własnej reguły dostępu.

• Klasyfikuj zestawienie według tego, co ujawnia jako całość, a nie według najmniej wrażliwego źródła
• Ogranicz krąg osób, które mogą budować, eksportować lub harmonogramować duże raporty zbiorcze
• Chroń dane źródłowe tak samo mocno jak zbiór połączony
• Ustal minimalną wielkość grupy dla podsumowań udostępnianych szeroko
• Obserwuj nietypowy wolumen: wiele zapytań lub eksportów jednego użytkownika w krótkim czasie bywa pierwszym sygnałem eksfiltracji danych

Spisz miejsca, w których organizacja już łączy dane: centralne logi, wspólne raporty, eksporty dla partnerów, przestrzenie analityczne. Dla każdego zapisz, co ujawnia całość i kto ma do niej wgląd, a potem porównaj to z etykietą źródeł.

Liczenie zdarzeń jest drugim krokiem. Gdy wiesz, jak wygląda normalny wolumen w zespole, reguła progowa podpowie, kiedy ktoś z niego wychodzi.