Anomalieerkennungsregeln
Anomalieerkennungsregeln prüfen die Ergebnisse gespeicherter Datenfluss- oder Ereignissuchen, um zu erkennen, wenn ungewöhnliche Datenverkehrsmuster in einem Netz auftreten.
Für Anomalieerkennungsregeln ist eine gespeicherte Suche erforderlich, die um einen allgemeinen Parameter gruppiert ist; außerdem muss ein Zeitreihendiagramm aktiviert sein. Bei der Suche müssen in der Regel zunächst Daten kumuliert werden, bevor die Anomalieregel Ergebnisse zur Identifizierung von Mustern für Anomalien, Schwellenwerte oder Verhaltensänderungen zurückgibt.
Anomalieregeln
Prüfen Ereignis- und Datenflussverkehr auf Änderungen in kurzfristigen Ereignissen, wenn Sie Vergleiche mit einem längerfristigen Zeitrahmen durchführen. Dies können zum Beispiel in einem Netz auftauchende neue Services oder Anwendungen, der Ausfall eines Web-Servers oder Firewalls sein, die alle beginnen, Datenverkehr zurückweisen.
- Erstellen und speichern Sie eine Suche, die eine Gruppierung nach Protokollquelle vornimmt und nur die Zählerspalte anzeigt.
- Wenden Sie die gespeicherte Suche auf eine Anomalieregel an und fügen Sie den Regeltest hinzu, und wenn der Durchschnittswert (pro Intervall) der Zählung in der letzten 1 Stunde mindestens 100% vom Durchschnittswert (pro Intervall) derselben Eigenschaft in den letzten 24 Stundenabweicht.
Schwellenwertregeln
Prüfen Ereignisse oder Datenflüsse auf Aktivitäten, die außerhalb eines angegebenen Bereichs liegen. Verwenden Sie diese Regeln, um Bandbreitennutzungsänderungen in Anwendungen, ausgefallene Services, die Anzahl der mit einem VPN verbundenen Benutzer sowie große ausgehende Übertragungsvolumen zu erkennen.
Wenn ein Benutzer in einen vorherigen Angriff involviert ist, legen Sie als Regelantwort automatisch 'Zu Referenzset hinzufügen' fest. Wenn Sie eine Beobachtungsliste mit Benutzern haben, fügen Sie die betreffenden Benutzer dem Referenzset hinzu. Optimieren Sie die zulässigen Grenzwerte innerhalb der Schwellenwertregel.
Für Ihre Suche werden ein Referenzset sowie die Angaben 'WatchUsers' und 'Key:username' benötigt.
select assetuser(sourceip, now()) as 'srcAssetUser',
Applicationname(applicationid)as 'AppName', long(sum(sourcebytes
+destinationbytes)) as 'flowsum' from flows where flowdirection = 'L2R' and
REFERENCESETCONTAINS('Watchusers', username)group by 'srcAssetUser',
applicationid order by 'flowsum' desc last 24 hoursVerhaltensänderungsregeln
Prüfen Ereignisse oder Datenflüsse auf in regelmäßigen Mustern auftretende Volumensänderungen, um Ausreißer zu erkennen. Dies kann zum Beispiel ein E-Mail-Server mit einem geöffneten Relay sein, der plötzlich mit vielen Hosts kommuniziert, oder ein IPS-System (Intrusion-Protection-Systems), das beginnt, zahlreiche Alertvorgänge zu generieren.
Eine Verhaltensregel ermittelt während eines vordefinierten Zeitabschnitts, welche Geschwindigkeits- oder Umfangswerte eine Eigenschaft üblicherweise hat. Dieser Zeitabschnitt definiert die Zeitachse für den Baselinevergleich der Eigenschaft, die ausgewertet werden soll. Wenn Sie als Zeitabschnitt 1 Woche festlegen, wird das Verhalten der Eigenschaft während dieser Woche ermittelt und als Vergleichsgrundlage verwendet; danach können Sie sich mithilfe von Regeltests über erhebliche Abweichungen vom ermittelten Verhalten benachrichtigen lassen.
Nachdem eine Verhaltensregel festgelegt wurde, wird der Zeitabschnitt automatisch angepasst. Da die im jeweiligen Zeitabschnitt ermittelten Daten kontinuierlich ausgewertet werden, um ein Profil des Geschäftswachstums innerhalb des Zeitabschnitts zu erstellen, brauchen Sie Ihre Regeln nicht zu ändern. Je länger eine Verhaltensregel ausgeführt wird, desto exakter wird sie mit der Zeit. Sie können dann die Regelantworten anpassen, um geringfügigere Änderungen zu erfassen.
In der folgenden Tabelle sind die Optionen für Verhaltensregeltestparameter aufgeführt.
| Regeltestparameter | Beschreibung |
|---|---|
| Season (Zeitabschnitt) | Der wichtigste Wert. Der Zeitabschnitt definiert die Vergleichsbasis für das Verhalten der Eigenschaft, die Sie testen und die von den anderen Regeltests verwendet wird. Berücksichtigen Sie für die Definition eines Zeitabschnitts die Art des Datenverkehrs, den Sie überwachen. Bei Netzverkehr oder Prozessen mit Benutzerinteraktion ist 1 Woche beispielsweise ein geeigneter Zeitabschnitt. Wenn Sie automatisierte Services mit konsistenten Mustern überwachen wollen, können Sie für die Definition dieses Verhaltensmusters möglicherweise einen Zeitabschnitt von nur 1 Tag festlegen. |
| Current traffic level (Aktuelles Datenverkehrsniveau) | Gewichtung der ursprünglichen Daten unter Berücksichtigung von saisonalen Änderungen und Zufallsfehlern. Bei diesem Regeltest lautet die Frage: "Sind es heute genauso viele Daten wie gestern um dieselbe Uhrzeit?" Die Gewichtung muss einen Wert zwischen 1 und 100 haben. Je höher der Wert ist, desto größeres Gewicht erhalten die zuvor aufgezeichneten Daten. |
| Current traffic trend (Aktueller Datenverkehrstrend) | Gewichtung von Änderungen bei den Daten für jedes Zeitintervall. Bei diesem Regeltest lautet die Frage: "Wie stark ändern sich die Daten, wenn man diese Minute mit der vorherigen Minute vergleicht?" Die Gewichtung muss einen Wert zwischen 1 und 100 haben. Je höher der Wert ist, desto größeres Gewicht erhält der Datenverkehrstrend gegenüber dem zuvor berechneten Verhalten. |
| Current traffic behavior (Aktuelles Datenverkehrsverhalten) | Gewichtung des saisonalen Effekts für jeden Zeitraum. Bei diesem Regeltest lautet die Frage: "Hat die Datenmenge von Woche 2 zu Woche 3 genauso stark zugenommen wie von Woche 1 zu Woche 2?" Die Gewichtung muss einen Wert zwischen 1 und 100 haben. Je höher der Wert ist, desto größeres Gewicht erhält das zuvor ermittelte Verhalten. |
| Vorhergesagte Werte | Verwenden Sie vorhergesagte Werte, um durch Skalierung von Baselines die Sensitivität der Alertausgabe zu erhöhen. Die Sensitivität muss einen Wert zwischen 1 und 100 haben. Der Wert 1 bedeutet, dass der gemessene Wert nicht außerhalb des vorhergesagten Werts liegen darf. Der Wert 100 bedeutet, dass der Umfang des Datenverkehrs mehr als vier mal größer als der vorhergesagte Wert sein darf. |
Die Vorhersage für den Wert des (n+1)th-Intervalls wird mithilfe der folgenden Formel berechnet:
Fn+1 = Bn + Tn + Tn+1-sDabei ist F der vorhergesagte Wert, B der Basiswert für das Intervall n, T der Trendwert für das Intervall n und T der Trendwert für vergangene Intervalle des Zeitabschnitts, wobei s die Anzahl der Intervalle innerhalb des Zeitabschnitts angibt.
Der Basiswert wird anhand der folgenden Formel berechnet:
Bn+1 = (0.2 + 0.3*(<Current traffic level> / 100.0))*(valuen+1 – Tn+1-s) + (1 – (0.2 + 0.3*(<Current traffic level> / 100.0)))*TnDer Trendwert wird anhand der folgenden Formel berechnet:
Tn+1 = (0.2 + 0.3*(<Current traffic trend> / 100.0))*(Bn+1 - Bn) + (1 - (0.2 + 0.3*(<Current traffic trend> / 100.0)))*TnDie geglättete Abweichung D wird anhand der folgenden Formel berechnet:
Dn+1 = (0.2 + 0.3*(<Current traffic behavior> / 100.0))*|valuen+1 – Fn+1| + (1 – (0.2 + 0.3*(<Current traffic behavior> / 100.0)))*Dn+1-sDie Verhaltensregel generiert für das Intervall einen Alert, wenn der folgende Ausdruck falsch ist:
F – (1 + (sensitivity / 100.0)*3)*D <= value <= F + (1 + (sensitivity / 100.0)*3)*DWährend des ersten Zeitabschnitts generiert die Verhaltensregel keine Alerts, sondern ermittelt lediglich die Daten für zukünftige Berechnungen.