오픈 소스 보안 이벤트 메타데이터 (OSSEM)

커뮤니티 주도 프로젝트로, 주로 보안 이벤트 로그의 문서화, 표준화 및 모델링에 초점을 맞추고 있습니다.

https://ossemproject.com/intro.html

목표

• 보안 이벤트 로그의 데이터 표준화 및 변환을 개선하기 위해 공통 데이터 모델을 정의하고 공유합니다.
• 보안 이벤트 로그에서 식별된 데이터 구조 및 관계를 정의하고 공유합니다.
• 커뮤니티에 여러 보안 이벤트 로그에 대한 사전 형식의 상세 정보를 제공합니다.
• 보안 이벤트 로그(Windows, Linux, MacOS, Azure, AWS 등)에 대해 더 알아봅니다.

프로젝트 구조

• 데이터 사전 (DD):
  • 운영 체제 및 해당 데이터 공급자별로 구성된 여러 보안 이벤트 로그에 대한 구체적인 정보를 포함합니다.
  • 각 사전은 단일 이벤트 로그와 해당 필드 이름을 설명합니다.
  • 조직에서 데이터 위키를 생성하기 위한 기초 개념을 제공합니다.
• 공통 데이터 모델 (CDM)
  • 보안 이벤트 로그를 구문 분석하는 표준 방법을 제공하여 데이터 정규화를 용이하게 합니다.
  • 프로젝트는 여러 데이터 소스에서 식별된 스키마 엔터티로 구성됩니다.
  • 각 스키마 엔터티와 해당 속성(필드 이름)의 정의는 대부분 일반적인 설명으로, 이벤트 로그 구문 분석 절차를 지원하고 신속하게 처리할 수 있습니다.
  • 또한 프로젝트는 스키마 테이블 개념을 제공하여 공통 엔터티를 집계하고 유사한 데이터 소스를 구문 분석합니다. 예를 들어, HTTP, 포트 및 User Agent 엔터티는 네트워크 환경에서 캡처된 네트워크 트래픽 메타데이터를 정규화하는 데 사용될 수 있습니다.
• 탐지 모델 (DM):
  • 보안 이벤트 간의 관계를 식별하는 데 중점을 두어 데이터 분석 개발을 용이하게 하고 적대자 기술 탐지를 검증하는 데 도움을 줍니다.

스폰서

저자

• Roberto Rodriguez @Cyb3rWard0g

현재 커미터

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

OSSEM을 사용하는 프로젝트

• HELK
• Azure Sentinel Normalization

리소스

• 사냥할 준비가 되셨나요? 먼저, 데이터를 보여주세요!
• Windows 10, 버전 1507 및 1511의 새로운 기능
• Windows용 보안 감사 이벤트 다운로드 (스프레드시트)
• 고급 보안 감사 정책 설정
• 침해 징후에 대한 Active Directory 모니터링
• 감사 정책 권장 사항
• 침입 탐지를 지원하기 위한 Windows 이벤트 전달 사용
• 최소 권장 감사 정책
• Windows ITPro 문서 - 위협 방지
• MITRE ATT&CKcon 2018: 데이터로 사냥하는 ATT&CK
• MITRE ATT&CKcon 2.0: ATT&CK할 준비가 되셨나요? 자신의 데이터(BYOD)를 가져와 데이터 분석을 검증하세요!
• ATT&CK 데이터 소스 정의, 1부: 현재 상태 개선
• ATT&CK 데이터 소스 정의, 2부: 방법론 운영화