आम घटना प्रारूप अंदर

एक के बाद एक, सॉफ्टवेयर और हार्डवेयर और सॉफ्टवेयर सॉल्यूशंस के निर्माता HP ArcSight Common Event Format (CEF) फॉर्मेट: Stonesoft , Tripwire , Citrix , Imperva , NetScout और कई दर्जन विक्रेताओं के समर्थन की पुष्टि करते हुए एक प्रमाण पत्र प्राप्त करने का दावा करते हैं।

सिएम के बारे में

गार्टनर की वार्षिक रिपोर्टों के अनुसार, HP ArcSight (सितंबर 2010 तक - ArcSight) आत्मविश्वास से सर्जियम -क्लास समाधान विकसित करने वाले नेताओं में से है। संक्षेप में, इस तरह के निर्णयों का सार विभिन्न सूचना सुरक्षा प्रणालियों द्वारा उत्पन्न सैकड़ों- हजारों- लाखों घटनाओं को एक जगह इकट्ठा करना और इन घटनाओं का सहसंबंध विश्लेषण करना है। सहसंबंध के परिणामस्वरूप सुरक्षा घटनाएं होती हैं जो एक व्यक्ति पहले से ही काम कर रहा है - एक व्यवस्थापक या एक ऑपरेटर।

उनके विज्ञापन ब्रोशर में CRM समाधान के प्रत्येक निर्माता आमतौर पर समर्थित इवेंट स्रोतों की संख्या को इंगित करता है। उदाहरण के लिए, यह कहा गया है कि आर्कस ESM 300+ उपकरणों और अनुप्रयोगों का समर्थन करता है, जबकि QRadar Siem का "केवल" 200+ है। कौन है और सूत्रों के अनुसार - यह अब मायने नहीं रखता है, क्योंकि इस लेख के ढांचे के भीतर हम सूचना सुरक्षा घटनाओं (पत्रिकाओं) के प्रारूप में रुचि लेंगे।

पत्रिकाओं के बारे में

आईएस लॉग और घटनाओं की संरचना के लिए अभी तक कोई सामान्य आवश्यकताएं नहीं हैं। इसलिए, प्रत्येक डेवलपर एक तरह से पत्रिकाओं को तैयार करता है जो उसके लिए अधिक सुविधाजनक है।

कोई उन्हें केवल एक पाठ फ़ाइल में लिखता है, कोई व्यक्ति Syslog सर्वर को डेटा भेजने की क्षमता प्रदान करता है। एक को केवल एसएनएमपी की आवश्यकता होती है, और दूसरा सभी लॉग को एक रिलेशनल डेटाबेस में रखना चाहता है। इसके .evt प्रारूप के साथ Microsoft है, इसके OPSEC के साथ CheckPoint है। और SDEE के बारे में मत भूलना।

समस्या के बारे में

लॉग्स की संरचना और उन्हें प्रसारित करने के लिए उपयोग किए जाने वाले प्रोटोकॉल दोनों हर जगह अलग हैं। CRM समाधानों के साथ एकीकरण के दृष्टिकोण से (और न केवल उनके साथ), यह बुरा है। क्योंकि लॉग के एकीकृत प्रसंस्करण के लिए उन्हें सामान्यीकृत करने की आवश्यकता होती है, अर्थात्। एक ही प्रारूप के लिए नेतृत्व। घटनाओं को एकल प्रारूप में संग्रहीत करना आसान है। डेटा की खोज और रिपोर्ट उत्पन्न करना आसान।

सामान्यीकरण में पार्सिंग और मैपिंग फ़ील्ड शामिल हैं। इसलिए, सूचना सुरक्षा प्रणाली और सिएम समाधान के बीच प्रत्येक कनेक्टर एक ऐसा अनुप्रयोग है जो इसकी कॉन्फ़िगरेशन सेटिंग्स के अनुसार पार्स और मैप करता है।
यदि CRM निर्माता के पास आपके लिए आवश्यक उत्पाद का समर्थन नहीं है, तो आपको कॉन्फ़िगरेशन सेटिंग्स स्वयं करनी होंगी। डिजाइन और नियमित अभिव्यक्ति का परीक्षण करें। डेटाबेस की संरचना का अध्ययन करने के लिए, मास्टर SQL * प्लस। मिलान के नियम लिखिए। दुख की बात है, सामान्य रूप में ...

प्रस्तावित समाधान

"यह अच्छा होगा अगर सूचना सुरक्षा प्रणालियों के सभी निर्माताओं ने अपने लॉग को इस तरह से अलग कर दिया जो सभी के लिए समझ में आता है," आर्कसाइट और 2006 में, सामान्य अनुमोदन के लिए प्रस्तुत सीईएफ प्रारूप की समीक्षा की। मेरी राय में, इस प्रारूप में कुछ भी जटिल नहीं है। बस कुछ आवश्यकताओं को पूरा करना आवश्यक है:

आवश्यकता नंबर 1 - हम परिवहन के रूप में Syslog का उपयोग करते हैं

यहाँ स्पष्ट प्रतीत होता है।
मैं चाहता हूं - मैं यूडीपी प्रोटोकॉल का उपयोग करता हूं, मैं चाहता हूं - टीसीपी।

आवश्यकता नंबर 2 - आठ आवश्यक फ़ील्ड भरें

बेशक, संदेश की शुरुआत में पारंपरिक syslog हेडर मौजूद होना चाहिए।
Jan 18 11:07:53 host

और पहले से ही इसके पीछे CEF: उपसर्ग है CEF: और आवश्यक फ़ील्ड का एक सेट, "द्वारा अलग किया गया" |
CEF:Version|Device Vendor|Device Product|Device Version|Signature ID|Name|Severity|Extension

यहां:

• संस्करण - CEF प्रारूप संस्करण
• डिवाइस विक्रेता, डिवाइस उत्पाद और डिवाइस संस्करण - ये लाइनें विशिष्ट रूप से घटनाओं के स्रोत की पहचान करती हैं। ऐसे कोई उत्पाद नहीं हैं जिनमें इन तीन मूल्यों का एक ही सेट है
• हस्ताक्षर आईडी - घटना के प्रकार के लिए एक विशिष्ट पहचानकर्ता
• नाम - घटना का मानव-पठनीय विवरण
• गंभीरता - घटना की गंभीरता (0 से 10)
• विस्तार - नीचे देखें

आवश्यकता 3 - CEF शब्दकोश के अनुसार एक्सटेंशन फ़ील्ड भरें

एक्सटेंशन फ़ील्ड कुंजी-मूल्य जोड़े का एक सेट है। यहाँ शब्दकोश से कुछ चाबियाँ हैं:

dmac गंतव्य मैक पता है (उदा। 00: 0D: 60: AF: 1B: 65)
Spt सोर्स पोर्ट (पोर्ट 0 से 65535 तक) है
अनुरोध URL है (HTTP अनुरोध के मामले में, URL निर्दिष्ट है)

CEF प्रारूप के विवरण में, शब्दकोश पूर्ण में दिया गया है, जो प्रत्येक कुंजी के लिए डेटा के प्रकार और अधिकतम आकार की अनुमति देता है।

दस्तावेज़ के अंत में कुछ और सामान्य आवश्यकताएं हैं। विशेष रूप से, पूरे संदेश में UTF-8 एन्कोडिंग का उपयोग करना चाहिए। कुछ विशेष वर्णों और बहुस्तरीय प्रविष्टियों के डिजाइन के नियम भी इंगित किए गए हैं।

परिणामस्वरूप, CEF प्रारूप के साथ सटीक रूप में स्वरूपित संदेश कुछ इस तरह दिखना चाहिए:
May 29 15:26:33 host CEF:0|McAfee|Antivirus|5.2|100|worm successfully stopped|10|src=10.0.0.1 dst=2.1.2.2 spt=1232

फायदा क्या है?

1. एक नया ईवेंट स्रोत कनेक्ट करना "प्लग एंड प्ले" में बदल जाता है
2. खुद ही सिएम सिस्टम पर लोड कम हो जाता है।
3. CRM समाधान के निर्माता अब समर्थित स्रोतों की संख्या से नहीं मापे जाते हैं और अन्य पहलुओं (उत्पाद प्रयोज्य, दोष सहिष्णुता, आदि) पर अधिक ध्यान देते हैं।
4. और सामान्य तौर पर, इस प्रारूप का आविष्कार न केवल सिएम के लिए किया गया था। यह प्रसंस्करण लॉग से संबंधित अन्य समाधानों में पहले से ही उपयोग किया जाता है।