Suljetut ratkaisut laajojen kontekstien tunnistamiseen
Yleiskatsaus
Esittelemme uusia suljettuja ratkaisutyyppejä laajakontekstihavainnoille (BCD). Nämä ratkaisutyypit korvaavat nykyiset ”Vahvistettu” ja ”Vahvistamaton” -vaihtoehdot, ja niiden avulla voit kirjata tulokset entistä tarkemmin ja johdonmukaisemmin, edistää automaatiota ja auttaa järjestelmää kehittymään ajan myötä.
Tässä artikkelissa selitetään kukin tuleva päätöslauselma, milloin sitä käytetään ja miten se vaikuttaa järjestelmän toimintaan, kun ominaisuus otetaan käyttöön.
Päätökset, jotka on käsitelty loppuun
Seuraavat ratkaisut ovat käytettävissä, kun BCD suljetaan. Osa niistä asetetaan manuaalisesti käyttäjän toimesta, osa otetaan käyttöön automaattisesti järjestelmän toimesta.
Päätöslauselma | Asettanut | Kuvaus |
|---|
Tapaus | Käyttäjä | BCD on tietoturvaongelma, joka vaatii toimenpiteitä. Valitse tämä vaihtoehto, kun olet varmistunut siitä, että BCD on todellinen poikkeustilanne tai luvaton toiminta. Käytä tätä vaihtoehtoa vain, jos olet varma, että BCD on haitallista tai vaatii jatkotoimia. |
Epäselvä | Käyttäjä | Valitse tämä vaihtoehto, jos et pysty määrittämään, onko BCD todellinen tietoturvaongelma, koska tiedot tai asiayhteys ovat puutteellisia. Automaattisia toimia ei suoriteta, eikä BCD:tä käytetä koulutukseen tai automaatioon. Älä käytä tätä oletusvaihtoehtona. |
Väärä positiivinen tulos | Käyttäjä | Kyseessä on tapahtuma, joka perustuu sovelluksen normaaliin toimintaan tai automaatioon ja joka vaikuttaa normaalilta ja turvalliselta toiminnalta. Tapahtuman sulkeminen vääränä hälytyksenä auttaa järjestelmää oppimaan, ja vastaavat tapahtumat suljetaan jatkossa automaattisesti. |
Hyväksyttävä käyttäytyminen | Käyttäjä | Joskus samalta näyttävissä vääriä positiivisia tapahtumissa on eroja komentorivin tai polkuparametreissa, minkä vuoksi ne eivät ole ”täysin identtisiä”. Kun tapaus suljetaan ”Hyväksytty käyttäytyminen” -merkinnällä, avautuu ohjattu toiminto, jonka avulla voit luoda suodatussääntöjä. Niissä voit hienosäätää parametreja jokerimerkkien avulla, mikä mahdollistaa vääriä positiivisia tuloksia tehokkaamman suodattamisen. |
Automaattisesti hyväksytty käyttäytyminen | Järjestelmä | Järjestelmä sulki BCD:n automaattisesti vastaavan piilotussäännön perusteella. BCD pysyy näkyvissä tarkastus- ja vaatimustenmukaisuustarkoituksia varten. Käyttäjän ei tarvitse tehdä mitään, mutta voit tarvittaessa tarkistaa piilotussäännöt. |
Automaattinen vääriä positiivisia tuloksia | Järjestelmä | Järjestelmä sulki tämän BCD:n automaattisesti, koska se vastasi aiempaa väärää positiivista tulosta. Jatkoseurantaa ei suoriteta. Jos katsot, että päätös oli virheellinen, voit tarkistaa aiemmat ratkaisusi. |
Oikean resoluution valitseminen
Käytä seuraavia ohjeita valitaksesi sopivimman tarkkuuden:
- Tapaus – Käytä tätä, kun olet varma, että BCD viittaa todelliseen hyökkäykseen tai luvattomaan toimintaan.
- Ei ratkaisevaa – Käytä tätä, kun olet tarkastellut BCD:tä, mutta et pysty päättelemään, onko kyseessä todellinen uhka, koska asiayhteys puuttuu.
- Väärä positiivinen – käytä, kun tunnistus oli virheellinen tai sama hälytys toistuu jatkuvasti ilman, että sillä olisi merkitystä tietoturvan kannalta.
- Hyväksyttävä käyttäytyminen – Käytä tätä, kun toiminta oli tarkoituksellista ja sallittua (esimerkiksi suunniteltu järjestelmänvalvojan toimenpide), mutta et halua luoda poissulkemissääntöä.
Huomautus: Vältä käyttämästä luokitusta ”Inconclusive” oletusarvona. Se on tarkoitettu tilanteisiin, joissa konteksti on aidosti riittämätön. Liiallinen käyttö heikentää tämän luokituksen arvoa järjestelmän oppimisen ja tulevien parannusten kannalta.
Miten määritykset vaikuttavat järjestelmän toimintaan
Päätökset eivät ole pelkkiä nimityksiä. Niillä on suora vaikutus automaatioon ja tuleviin havaitsemisiin:
- BCD-tapahtumia, jotka on luokiteltu ”Incident”-tyyppisiksi, ei käytetä automaattisen tukahduttamisen käynnistämiseen. Niitä käytetään parantamaan havaitsemistarkkuutta ajan mittaan.
- ”Epäselväksi” luokitellut BCD:t jätetään pois koulutuksesta ja automaatiosta.
- Jos BCD suljetaan vääränä positiivisena, se voi johtaa siihen, että vastaavat tulevat BCD:t suljetaan automaattisesti automaattisina vääriä positiivisia.
- BCD:t, jotka on suljettu luokituksella ”Hyväksytty käyttäytyminen”, voidaan käyttää perustana tukahdutussäännön luomiselle, jolloin tulevat vastaavat BCD:t suljetaan automaattisesti luokituksella ”Automaattisesti hyväksytty käyttäytyminen”.
Huomautus: Automaattista vääriä positiivisia tuloksia ei laukaista, jos aiempi BCD on jo ratkaistu tapahtumaksi. Tämä estää todellisten uhkien automaattisen hylkäämisen.
Rajoitussäännöt ja hyväksyttävä käyttäytyminen
BCD:n sulkeminen ”Hyväksytty käyttäytyminen” -tilassa ei automaattisesti estä vastaavien BCD:iden syntymistä tulevaisuudessa. Jos haluat estää vastaavien BCD:iden toistumisen, sinun on luotava estosääntö.
Kun suljet BCD:n ”Hyväksytty käyttäytyminen” -tilassa, sinua pyydetään luomaan estosääntö, jos BCD sisältää tunnistettuja, estämättömiä näppäinhavaintoja. Voit myös luoda ja hallita estosääntöjä manuaalisesti kohdassa Turvallisuusasetukset → Automaattiset toiminnot → Estosäännöt.
Huomautus: Lisätietoja piilotussäännöistä löytyy piilotussääntöjen käyttöoppaasta.
Sähköposti-ilmoitukset
Ratkaisutyypit vaikuttavat sähköpostimuistutusten toimintaan seuraavasti:
- Tapahtuma – laukaisee saman sähköposti-ilmoituksen kuin aiempi ”Ratkaisu vahvistettu” -tapahtuma.
- Epäselvä – aiheuttaa saman sähköpostihälytyksen kuin aiempi ratkaisu ”Vahvistamaton”.
- Kaikki muut päätökset noudattavat tavanomaista ilmoituskäytäntöä.
Siirtyminen aiemmista päätöslauselmista
”Vahvistetut” ja ”vahvistamattomat” päätöslauselmatyypit on korvattu tässä artikkelissa kuvatuilla päätöslauselmilla. Sovelletaan seuraavaa vastaavuusta:
- Vahvistettu → käytä vaihtoehtoa ”Tapahtuma” todellisissa tietoturvatapahtumissa tai vaihtoehtoa ”Hyväksytty toiminta” sallitussa toiminnassa.
- Vahvistamaton → käytä ilmaisua ”Epäselvä”, kun asiayhteys ei riitä päätelmän tekemiseen.
Tätä muutosta edeltäneillä ratkaisutyypeillä suljetut BCD-tapaukset eivät muutu. Niiden ratkaisut pysyvät ennallaan.