Risk skóre v nástroji GREYCORTEX Mendel 5.0 vyhodnocuje chování hostů v čase a napoví bezpečnostnímu analytikovi, kde začít vyšetřování incidentů.

Každé vyšetřování začíná stejnou otázkou: „Kde začít?“

Jednou možností je událost s nejvyšší závažností. Dvě události se stejnou závažností ale nemusí být stejně důležité. Jedna se objeví na mnoha hostech ve stejné podsíti, druhá jen na jednom. Ta druhá z provozu v podsíti vybočuje, a proto je dobré podívat se na ni blíž. Risk skóre tyto rozdíly zohledňuje a řadí hosty podle toho, kolik pozornosti potřebují.

Ukážeme si, co ovlivňuje risk skóre, co hosta v seznamu posune výš a jak při rozhodování pomáhá historie a trend skóre.

Co ovlivňuje risk skóre

Risk skóre je číslo, které Mendel 5.0 přiřazuje každému hostu, tedy každému zařízení komunikujícímu v síti, například serveru, pracovní stanici nebo tiskárně. Vychází z bezpečnostních událostí, které Mendel u hosta zaznamenal, a udává, kolik pozornosti host potřebuje.

Na skóre má vliv několik faktorů:

  • Výjimečnost: Událost na mnoha hostech v podsíti je běžnější než událost jen na několika. Když událost z aktivity v podsíti vybočuje, analytik má důvod podívat se na hosta blíž.
  • Čerstvost: Nedávná a významná aktivita zvyšuje skóre víc než starší aktivita. Ta naopak postupně ztrácí váhu. Mendel navíc uchovává historii skóre, a analytik tak vidí, jestli riziko hosta roste, klesá, nebo se nemění.
  • Změna četnosti: Událost, která se na hostu obvykle objevuje jednou denně, ale najednou přijde stokrát za minutu, může hosta v seznamu posunout výš.

Jak vyšetřovat incident pomocí risk skóre

Pro výběr hosta k prozkoumání platí jednoduché vodítko: vysoké skóre a rostoucí trend. Následující kroky vás provedou vyšetřováním incidentu.

Krok 1: Seřaďte hosty podle rizika a sledujte trend. V menu Events otevřete stránku Hosts by risk. Pozornost si zaslouží i host s nižším skóre, které ale prudce vzrostlo.

Krok 2: Zjistěte, co je host zač. Klikněte na hosta v seznamu. Otevře se okno Host Dialog s detaily hosta, historií rizika a událostmi.

Okno ukazuje také podsíť hosta, jeho tagy a služby, které host používá. Tagy popisují roli hosta, například NTP client nebo DNS server. U každého tagu uvidíte změna jeho platnosti, takže poznáte roli hosta v době, kdy se aktivita odehrála. Pokud má Mendel o hostu málo informací, tlačítko Identify device role nabídne doplňující posouzení. 

Krok 3: Najděte největší nárůst rizika. V okně Host Dialog otevřete záložku Risk. Ukazuje vývoj skóre v čase a události, které za ním stojí. Poznamenejte si, kdy k největšímu nárůstu došlo, a zúžte časový rozsah kolem něj. Seznam událostí se řídí vybraným rozsahem, takže v něm zůstanou jen ty z daného období. 

Krok 4: Podle potřeby rozšiřte časový rozsah. Zkontrolujte vývoj rizika za delší období. Zjistíte tak, jestli je nárůst součástí dlouhodobějšího vzorce.

Krok 5: Otevřete mapu toků. Tlačítko Traffic flow map v dolní části okna Host Dialog ukáže, s jakými dalšími hosty tento host komunikuje.

Upozornění na změny rizika hosta

Mendel vytváří dvě události spojené s rizikem hosta. První se týká úrovně rizika a vznikne, když host dosáhne vysokého rizika. Druhá se týká změny rizika a vznikne, když riziko hosta výrazně vzroste. V seznamu událostí je najdete pod názvy Risk: Host Reached High Risk a Risk: Host Risk Increased Significantly.

Pro obě události můžete nastavit notifikace. Díky nim zjistíte, kdy se riziko hosta změní, a nemusíte se spoléhat jen na závažnost událostí.

Od priority ke kontextu

Risk skóre v nástroji Mendel 5.0 pomáhá určit, který host si zaslouží pozornost jako první. Okno Host Dialog pak dodá kontext. Analytik v něm zjistí, co je to za hosta, kdy jeho riziko vzrostlo a jaké události za tím stojí.

Vyšetřování tak začíná cíleně a soustředí se na aktivitu, na které záleží.

Chcete vidět celý postup vyšetřování v nástroji Mendel 5.0?
Podívejte se na záznam webináře →

Kategorie