Năng lực Rule AGI cho SIEM
Năng lực · Detection engineering
Biết rule nào hiệu quả, và sửa những rule chưa hiệu quả.
SIEM chỉ tốt bằng các rule của nó. Rule AGI xem xét từng detection rule trong SIEM của bạn, cho thấy rule nào bắt được tấn công thật, rule nào chỉ tạo nhiễu, rule nào không bao giờ kích hoạt, và soạn sẵn thay đổi để đội detection engineering xem xét.
Trạng thái: Bản xem trước Báo cáo hiệu quả rule và đề xuất tinh chỉnh cho Elastic đang ở bản preview, chỉ đọc; thay đổi rule chỉ là bản nháp chờ người duyệt, các nền tảng SIEM khác nằm trong lộ trình.
Bài toán rule ở hầu hết SOC
Theo thời gian, một SIEM tích luỹ hàng trăm, hàng nghìn detection rule. Có rule viết cho mối đe dọa đã qua, có rule viết cho nguồn log đã đổi định dạng, có rule kích hoạt nhiều đến mức analyst không còn đọc. Trong khi đó, những kỹ thuật kẻ tấn công thực sự dùng có thể chưa có rule nào. Ít đội có đủ thời gian rà từng rule xem nó thực sự bắt được gì.
Rule AGI làm việc rà soát đó liên tục. Hệ thống đọc danh mục rule và kết quả của các alert mà mỗi rule tạo ra, rồi báo cáo rõ ràng rule nào xứng đáng giữ, rule nào cần tinh chỉnh, và chỗ nào còn thiếu độ phủ.
Rule AGI làm gì
Hiệu quả từng rule
Với mỗi rule: kích hoạt bao nhiêu lần, bao nhiêu alert thực sự đáng quan tâm, và rule đó đang ồn, im lặng hay bị mù vì thiếu dữ liệu.
Lỗ hổng độ phủ
Rule của bạn phủ những kỹ thuật ATT&CK nào, kỹ thuật nào xuất hiện trong dữ liệu mà chưa có rule, và rule nào đã lỗi thời so với bộ rule tham chiếu hiện hành.
Đề xuất tinh chỉnh
Gợi ý ngoại lệ và thay đổi phạm vi dựa trên các alert analyst đã chốt là lành tính, được kiểm để không bỏ lỡ một cuộc tấn công đã xác nhận nào.
Backtest trước khi thay đổi
Thay đổi đề xuất được chạy lại trên lịch sử gần đây, để bạn thấy bao nhiêu alert sẽ thay đổi trước khi chạm vào bất cứ thứ gì.
Rule nháp để duyệt
Rule mới hoặc rule nâng cấp được soạn theo đúng định dạng của SIEM, ở trạng thái tắt và gắn nhãn đề xuất rõ ràng, để kỹ sư của bạn xem xét và bật.
Quyết định được lưu lại
Mỗi đề xuất được chấp nhận hay từ chối đều ghi lại ai quyết, để vòng gợi ý sau học từ lựa chọn của bạn.
Từ danh mục rule đến phát hiện tốt hơn
01
Đọc
Rule AGI đọc danh mục rule và lịch sử alert với quyền chỉ đọc.
02
Đo
Mỗi rule được chấm theo những gì nó thực sự bắt được, và danh mục được kiểm tra lỗ hổng và độ lệch.
03
Đề xuất
Tinh chỉnh, nâng cấp và rule mới được soạn kèm bằng chứng.
04
Backtest
Mỗi đề xuất được chạy lại trên dữ liệu gần đây để thấy tác động trước khi dùng.
05
Quyết định
Kỹ sư detection của bạn chấp nhận hoặc từ chối; không gì được bật trong SIEM nếu không có họ.
Các nền tảng SIEM
| Nền tảng | Phạm vi | Trạng thái |
|---|---|---|
| Elastic Security | Hiệu quả rule, độ phủ, đề xuất tinh chỉnh, backtest, rule nháp | Preview |
| Palo Alto Cortex XSIAM | Đã chuẩn bị đọc rule qua kết nối chỉ đọc; báo cáo hiệu quả và đề xuất tinh chỉnh sẽ có sau | Đang phát triển |
| Microsoft Sentinel | Cùng năng lực qua quy trình tích hợp chuẩn, tiếp theo sau XSIAM | Lộ trình |
Câu hỏi thường gặp
Đo hiệu quả detection rule bằng cách nào?
Bằng cách xem alert của mỗi rule cuối cùng là gì: bao nhiêu là tấn công thật, bao nhiêu là lành tính, và rule có kích hoạt hay không. Sau đó rule được xếp vào nhóm xứng đáng giữ, nhóm cần tinh chỉnh và nhóm im lặng hay bị mù.
Rule AGI có thay đổi rule trong SIEM của tôi không?
Không. Hệ thống đọc rule và đề xuất thay đổi. Bản nháp được giao ở trạng thái tắt, gắn nhãn đề xuất, và kỹ sư của bạn quyết định có bật hay không.
Tinh chỉnh có thể che mất tấn công thật không?
Đó là rủi ro chính của tinh chỉnh, nên mọi đề xuất đều được kiểm với các cuộc tấn công đã xác nhận trong lịch sử và được backtest trước khi đến tay bạn. Thay đổi nào khiến một tấn công đã xác nhận bị bỏ lỡ sẽ không được đề xuất.
Những SIEM nào được hỗ trợ?
Hiện nay là Elastic Security, ở bản preview. Với Palo Alto Cortex XSIAM, việc đọc rule đã được chuẩn bị và đề xuất tinh chỉnh sẽ có sau. Microsoft Sentinel nằm trong lộ trình.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.