Métadonnées des événements de sécurité open source (OSSEM)

Un projet mené par la communauté, principalement axé sur la documentation, la normalisation et la modélisation des journaux d'événements de sécurité.

https://ossemproject.com/intro.html

Définir et partager un modèle de données commun afin d'améliorer la normalisation et la transformation des journaux d'événements de sécurité
Définir et partager les structures de données et les relations identifiées dans les journaux d'événements de sécurité
Fournir à la communauté des informations détaillées sous forme de dictionnaire concernant plusieurs journaux d'événements de sécurité
En apprendre davantage sur les journaux d'événements de sécurité (Windows, Linux, MacOS, Azure, AWS, etc.)

Dictionnaires de données (DD):
- Contient des informations spécifiques sur plusieurs journaux d'événements de sécurité organisés par système d'exploitation et leurs fournisseurs de données respectifs.
- Chaque dictionnaire décrit un seul journal d'événements et ses noms de champs correspondants.
- Il fournit les concepts fondamentaux pour créer un wiki de données dans une organisation.
Modèle de données commun (CDM)
- Facilite la normalisation des données en fournissant une manière standard d'analyser les journaux d'événements de sécurité.
- Le projet est organisé par entités de schéma identifiées dans plusieurs sources de données.
- Les définitions de chaque entité de schéma et de ses attributs respectifs (noms de champs) sont principalement des descriptions générales qui pourraient aider et accélérer les procédures d'analyse des journaux d'événements.
- Le projet fournit également le concept de tables de schéma pour agréger les entités communes et analyser des sources de données similaires. Par exemple, les entités HTTP, Port et User Agent peuvent être utilisées pour normaliser les métadonnées du trafic réseau capturées dans un environnement réseau.
Modèle de détection (DM):
- Se concentre sur l'identification des relations entre les événements de sécurité pour faciliter le développement d'analyses de données et aider à valider la détection des techniques adverses.