在前一天的內容中，我們深入探討了 Windows 事件日誌監控技術。而針對監控之後，日誌也可以整合 SIEM 以及撰寫相關的規則。
| eval timestamp=strftime(timestamp， "%Y-%m-%d %H:%M:%S")
| rex field=src_ip "(?<src_ip>\d+\.\d+\.\d+\.\d+)"
| spath input=raw_log path=user output=username
| spath input=raw_log path=action output=operation_type
| join type=inner src_ip
[search index=firewall]
[search index=web_server]
| where firewall_action="block" AND web_server_status="200"
index=windows sourcetype=WinEventLog:Security EventCode=4625
| stats count BY src_ip
| where count > 5
title: 可疑的 PowerShell 下載行為
status: experimental
description: 檢測可能的惡意 PowerShell 下載活動
logsource:
product: windows
service: powershell
detection:
selection:
EventID: 4104
ScriptBlockText|contains:
- 'Net.WebClient'
- 'DownloadFile'
- 'DownloadString'
condition: selection
index=authentication sourcetype=linux_secure src_ip=192.168.1.*
| stats count BY user， src_ip
index=network sourcetype=firewall
| timechart span=1h count BY src_country
| eval data_size_mb=bytes/1024/1024
| where data_size_mb > 1000
| alert action=email to="security@example.com"
| timechart span=1h count BY sourcetype
index=* user="suspicious_user"
| sort _time
| table _time， action， src_ip， dest_ip
index=dataloss
| transaction maxspan=1h maxpause=5m
| where bytes_out > 10000000
透過這些步驟，資安團隊可以有效地將原始日誌資料轉化為可操作的安全洞察，從而提高組織的整體資安態勢。每個步驟都是建立在前一個步驟的基礎上，形成一個完整的安全分析流程。
在了解了日誌收集、分析和 SIEM 操作的重要性後，我們需要將視野擴大到整個組織的資安事件回應流程。有效的日誌管理和分析是識別潛在威脅的關鍵，但這僅是整個資安防護體系的一部分。
組織需要建立一個全面的事件回應框架，以便在發現潛在威脅時能夠迅速且有效地做出反應。這個框架涵蓋了從事件偵測、分類、優先排序，到事故調查、緩解和事後檢討的整個過程。
接下來，我們將探討事件回應流程中的概念，包括事件與事故的區別與事件生命週期中的各個階段。這些知識將幫助組織不僅能夠及時發現威脅，還能有效地應對和管理各種資安事件，從而提高整體的資安韌性。
了解事件和事故之間的區別對於藍隊的工作很重要。只有準確區分兩者，才能有效地分配資源、規劃應急回應，並最終將損失降到最低。
因此，藍隊需要建立明確的分類標準來區分事件和事故，並根據其嚴重程度採取不同的應急回應措施。
以下幾個標準幫助藍隊快速判斷事件是否已升級為事故：
參考規範 NIST SP 800-61r2 文件中詳細說明了事件回應生命週期，其主要分為四個階段：準備、偵測與分析、遏制、根除與復原，以及事件後活動。
在這個階段，組織需要為事件回應做好準備，包括建立事件回應能力、制定政策和流程、培訓人員和準備工具等。
在這個階段，組織需要識別和分析可能發生的事件，並確定事件的類型、程度和嚴重性。
在這個階段，組織需要採取措施來遏制事件蔓延、根除威脅並恢復受影響的系統和服務。
在這個階段，組織需要從事件中汲取教訓，並改進事件回應流程和安全措施。
參考 NIST SP 800-61r2 規範提供建立事件回應計畫、策略和流程的指南，這些指南可以幫助組織更有效地處理事件和事故。
本文深入探討了藍隊如何透過整合日誌監控與事件回應，建立一個全面的資安防護體系。首先，我們介紹了日誌收集後的處理步驟，包括標準化、關聯性分析、SIEM 規則設定等。接著，我們詳細解釋了事件回應流程，包括事件與事故的區別、事件回應計畫的生命週期，以及如何建立有效的事件回應計畫。文章強調了準備、偵測與分析、遏制與復原，以及事後檢討的重要性，並提供了具體的實施建議。透過這些方法，組織可以提升其偵測、回應和管理資安事件的能力，從而加強整體的資安韌性。
Q1: 在日誌分析過程中，關聯性分析的主要目的是什麼?
A) 統一日誌格式
B) 建立自動化規則
C) 識別潛在威脅或異常行為
D) 視覺化日誌資料
答案: C
解析: 關聯性分析的主要目的是分析多個來源的日誌，以識別潛在威脅或異常行為。這種分析方法可以幫助安全團隊發現單一日誌源可能無法顯示的複雜攻擊模式。
Q2: 下列哪項不是判斷事件是否升級為事故的標準?
A) 影響範圍
B) 損害程度
C) 威脅程度
D) 事件發生的時間
答案: D
解析: 事件發生的時間並不是判斷事件是否升級為事故的主要標準。影響範圍、損害程度、威脅程度和應急回應需求才是關鍵的判斷標準。這些標準可以幫助藍隊評估事件的嚴重性和urgency性。
Q3: 根據NIST SP 800-61r2，事件回應生命週期包含幾個主要階段?
A) 3個
B) 4個
C) 5個
D) 6個
答案: B
解析: 根據NIST SP 800-61r2，事件回應生命週期主要分為四個階段:準備、偵測與分析、遏制、根除與復原，以及事件後活動。這四個階段涵蓋了從事前準備到事後檢討的整個處理過程。
Q4: 在事件回應計畫中，「準備階段」應包含哪些元素?
A) 收集必要工具和資源
B) 建立事件偵測機制
C) 制定遏制策略
D) 撰寫事件報告
答案: A
解析: 在準備階段，組織應該收集必要的工具和資源，如聯絡清單、加密軟體、網路圖表等。此外，還應建立事件日誌和報告模板，制定證據收集和保存流程，並進行模擬演練。這些準備工作可以確保團隊在面對實際事件時能夠迅速且有效地回應。
Q5: 下列哪項不是事件後活動階段的主要任務?
A) 召開經驗教訓會議
B) 編寫事件後報告
C) 進行模擬演練
D) 制定證據保留政策
答案: C
解析: 進行模擬演練通常是在準備階段進行的活動，而不是事件後活動。事件後活動階段主要包括召開經驗教訓會議、編寫事件後報告、使用收集到的事件資料改進安全措施，以及制定證據保留政策等。這些活動旨在從事件中學習並改進未來的應變能力。
iThome鐵人賽
看影片追技術