Open Source Security Events Metadata (OSSEM)

Ein von der Community geleitetes Projekt, das sich hauptsächlich auf die Dokumentation, Standardisierung und Modellierung von Sicherheitsereignisprotokollen konzentriert.

https://ossemproject.com/intro.html

Ziele

• Ein gemeinsames Datenmodell definieren und teilen, um die Datenstandardisierung und -transformation von Sicherheitsereignisprotokollen zu verbessern
• Datenstrukturen und Beziehungen, die in Sicherheitsereignisprotokollen identifiziert wurden, definieren und teilen
• Der Community detaillierte Informationen in einem Wörterbuchformat über mehrere Sicherheitsereignisprotokolle bereitstellen
• Mehr über Sicherheitsereignisprotokolle erfahren (Windows, Linux, MacOS, Azure, AWS, etc.)

Projektstruktur

• Data Dictionaries (DD):
  • Enthält spezifische Informationen zu mehreren Sicherheitsereignisprotokollen, geordnet nach Betriebssystem und den jeweiligen Datenanbietern.
  • Jedes Wörterbuch beschreibt ein einzelnes Ereignisprotokoll und die entsprechenden Feldnamen.
  • Es bietet die grundlegenden Konzepte zur Erstellung eines Daten-Wikis in einer Organisation.
• Common Data Model (CDM)
  • Erleichtert die Normalisierung von Daten, indem es eine standardisierte Methode zum Parsen von Sicherheitsereignisprotokollen bereitstellt.
  • Das Projekt ist nach Schema-Entitäten organisiert, die in mehreren Datenquellen identifiziert wurden.
  • Die Definitionen jeder Schema-Entität und ihrer jeweiligen Attribute (Feldnamen) sind meist allgemeine Beschreibungen, die bei der Analyse von Ereignisprotokollen helfen und diese beschleunigen können.
  • Das Projekt bietet auch das Konzept der Schema-Tabellen, um gemeinsame Entitäten zu aggregieren und ähnliche Datenquellen zu parsen. Beispielsweise können HTTP-, Port- und User-Agent-Entitäten verwendet werden, um Netzwerkverkehrsmetadaten zu normalisieren, die in einer Netzwerkumgebung erfasst wurden.
• Detection Model (DM):
  • Konzentriert sich auf die Identifizierung von Beziehungen zwischen Sicherheitsereignissen, um die Entwicklung von Datenanalysen zu erleichtern und die Erkennung von Angreifertechniken zu validieren.

Sponsoren

Autor

• Roberto Rodriguez @Cyb3rWard0g

Derzeitige Committer

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

Projekte, die OSSEM verwenden

• HELK
• Azure Sentinel Normalization

Ressourcen

• Bereit zur Jagd? Zeig mir zuerst deine Daten!
• Neuerungen in Windows 10, Versionen 1507 und 1511
• Sicherheitsüberwachungsereignisse für Windows herunterladen (Tabellenkalkulation)
• Erweiterte Sicherheitsüberwachungsrichtlinieneinstellungen
• Überwachung von Active Directory auf Anzeichen einer Kompromittierung
• Empfehlungen zur Überwachungsrichtlinie
• Verwenden der Windows-Ereignisweiterleitung zur Unterstützung der Angriffserkennung
• Mindestempfehlung für die Überwachungsrichtlinie
• Windows ITPro-Dokumentation – Bedrohungsschutz
• MITRE ATT&CKcon 2018: Hunters ATT&CKing with the Data
• MITRE ATT&CKcon 2.0: Ready to ATT&CK? Bring Your Own Data (BYOD) and Validate Your Data Analytics!
• Defining ATT&CK Data Sources, Part I: Enhancing the Current State
• Defining ATT&CK Data Sources, Part II: Operationalizing the Methodology