Agregação

Agregação é o ato de combinar dados de muitos registros, sistemas ou eventos em um único conjunto ou resumo. Um servidor de logs que reúne eventos de centenas de máquinas está agregando. Um relatório que transforma milhares de linhas em um total, uma média ou uma contagem também.

Na segurança, a palavra tem dois lados. O primeiro é uma técnica: juntar dados dispersos para que possam ser pesquisados, contados e comparados. O segundo é um risco: peças inofensivas isoladamente podem se tornar sensíveis lado a lado. O resumo em si tem página própria, informações agregadas. Esta página trata do processo e do seu efeito na classificação de dados.

O fluxo é o mesmo quando o resultado é um painel ou um alerta. A qualidade depende da segunda etapa: registros que não podem ser associados ao mesmo usuário ou ao mesmo minuto não podem ser combinados.

1. 1

   Coletar

   Reúna registros ou eventos de várias fontes, como logs, bancos de dados e agentes nas estações de trabalho.

2. 2

   Alinhar

   Leve os campos a uma forma comum: fuso horário, identificador do usuário, nomes de campos.

3. 3

   Combinar

   Agrupe ou una os registros por uma chave comum, por exemplo um usuário, um host ou uma janela de tempo.

4. 4

   Resumir

   Aplique uma função a cada grupo, como contagem, soma ou máximo, ou mantenha os registros combinados para pesquisa.

As equipes de segurança agregam porque um único evento raramente conta a história. Um repositório central de logs, um alerta por limite e uma pontuação de risco partem da mesma ideia em níveis diferentes. Enviar eventos a uma plataforma SIEM é uma forma comum, e a análise de comportamento, como UEBA, se apoia em atividade combinada ao longo do tempo.

O lado de risco da agregação é antigo e simples. Cada fato de uma lista pode ser público ou de baixo valor: um nome, um departamento, um código de projeto, uma data de viagem. Juntos, podem revelar uma lista de clientes, um negócio ainda não anunciado ou os deslocamentos de uma pessoa. As diretrizes de segurança chamam isso de problema de agregação, e o efeito mosaico descreve o mesmo padrão.

A consequência é que uma compilação pode merecer um rótulo mais alto do que cada uma de suas fontes. Quem monta um relatório, uma exportação ou um repositório compartilhado deve perguntar o que o conjunto revela, e não só o que cada coluna contém, e tratar o resultado como informações sensíveis quando a resposta for séria.

As três palavras são usadas de forma solta e é fácil confundi-las. Descrevem etapas diferentes, e cada uma pede um controle diferente.

No Anexet Activity, a regra de segurança estatística é a agregação em sua forma mais direta: a regra conta eventos de um tipo escolhido, como e-mails, conversas ou requisições web, em uma hora, um dia, uma semana ou um período personalizado, e dispara quando a contagem passa de um limite. Para relatórios, o console monta relatórios consolidados com colunas de total e média diária, e os relatórios de segurança levam os resultados a quem os revisa.

1 / 2

• 
• 

Os controles partem de um fato: um conjunto de dados combinado é um novo ativo. Ele precisa de um responsável, de um rótulo e de uma regra de acesso própria.

• Classifique a compilação pelo que ela revela como um todo, e não pela fonte menos sensível
• Limite quem pode montar, exportar ou agendar relatórios combinados grandes
• Mantenha os dados de origem sob a mesma proteção do conjunto combinado
• Defina um tamanho mínimo de grupo para resumos compartilhados amplamente
• Observe volumes incomuns: muitas consultas ou exportações de um usuário em pouco tempo podem ser o primeiro sinal de exfiltração de dados

Liste os lugares em que sua organização já combina dados: logs centrais, relatórios compartilhados, exportações para parceiros, ambientes de análise. Para cada um, anote o que o conjunto revela e quem pode vê-lo, e compare com o rótulo das fontes.

Contar eventos vem em segundo lugar. Quando você sabe como é o volume normal de uma equipe, uma regra por limite mostra quando alguém sai dele.