オープンソースセキュリティイベントメタデータ (OSSEM)

コミュニティ主導のプロジェクトで、主にセキュリティイベントログの文書化、標準化、モデリングに重点を置いています。

https://ossemproject.com/intro.html

目標

• セキュリティイベントログのデータ標準化と変換を改善するための共通データモデルを定義・共有する
• セキュリティイベントログで特定されたデータ構造と関係性を定義・共有する
• コミュニティに対して、複数のセキュリティイベントログに関する詳細情報を辞書形式で提供する
• セキュリティイベントログ（Windows、Linux、MacOS、Azure、AWSなど）についてさらに学ぶ

プロジェクト構造

• データ辞書 (DD):
  • オペレーティングシステムとそれぞれのデータプロバイダーごとに整理された、いくつかのセキュリティイベントログに関する特定情報を含みます。
  • 各辞書は単一のイベントログとそれに対応するフィールド名を記述します。
  • 組織内でデータwikiを作成するための基礎概念を提供します。
• 共通データモデル (CDM)
  • セキュリティイベントログを解析する標準的な方法を提供することで、データの正規化を容易にします。
  • プロジェクトは、複数のデータソースで特定されたスキーマエンティティごとに構成されています。
  • 各スキーマエンティティとその属性（フィールド名）の定義は、ほとんどが一般的な説明であり、イベントログの解析手順を支援し迅速化するのに役立ちます。
  • プロジェクトはまた、共通エンティティを集約し、類似のデータソースを解析するためのスキーマテーブルの概念を提供します。例えば、HTTP、Port、User Agentエンティティは、ネットワーク環境でキャプチャされたネットワークトラフィックメタデータを正規化するために使用できます。
• 検出モデル (DM):
  • セキュリティイベント間の関係性を特定することに焦点を当て、データ分析の開発を容易にし、敵対的技術の検出の検証を支援します。

スポンサー

著者

• Roberto Rodriguez @Cyb3rWard0g

現在のコミッター

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

OSSEMを使用しているプロジェクト

• HELK
• Azure Sentinel Normalization

リソース

• ハンティングの準備はできましたか？まずデータを見せてください！
• Windows 10 バージョン1507および1511の新機能
• Windows用セキュリティ監査イベントのダウンロード（スプレッドシート）
• 高度なセキュリティ監査ポリシー設定
• 侵害の兆候に対するActive Directoryの監視
• 監査ポリシーの推奨事項
• 侵入検出を支援するためのWindowsイベント転送の使用
• 推奨される最小監査ポリシー
• Windows ITPro Docs - 脅威対策
• MITRE ATT&CKcon 2018: Hunters ATT&CKing with the Data
• MITRE ATT&CKcon 2.0: Ready to ATT&CK? Bring Your Own Data (BYOD) and Validate Your Data Analytics!
• ATT&CKデータソースの定義、パートI: 現状の強化
• ATT&CKデータソースの定義、パートII: 方法論の運用化