Метаданные событий безопасности с открытым исходным кодом (OSSEM)

Проект, возглавляемый сообществом, ориентированный в первую очередь на документирование, стандартизацию и моделирование журналов событий безопасности.

https://ossemproject.com/intro.html

Цели

• Определить и распространять общую модель данных для улучшения стандартизации и преобразования журналов событий безопасности
• Определять и распространять структуры данных и взаимосвязи, выявленные в журналах событий безопасности
• Предоставлять сообществу подробную информацию в формате словаря о различных журналах событий безопасности
• Узнайте больше о журналах событий безопасности (Windows, Linux, MacOS, Azure, AWS и т.д.)

Структура проекта

• Словари данных (DD):
  • Содержит конкретную информацию о нескольких журналах событий безопасности, сгруппированных по операционной системе и соответствующим поставщикам данных.
  • Каждый словарь описывает один журнал событий и соответствующие имена полей.
  • Он предоставляет базовые концепции для создания вики данных в организации.
• Общая модель данных (CDM)
  • Облегчает нормализацию данных, предоставляя стандартный способ разбора журналов событий безопасности.
  • Проект организован по сущностям схемы, выявленным в различных источниках данных.
  • Определения каждой сущности схемы и соответствующих атрибутов (имен полей) в основном представляют собой общие описания, которые могут помочь и ускорить процедуры разбора журналов событий.
  • Проект также предоставляет концепцию таблиц схемы для агрегации общих сущностей и разбора похожих источников данных. Например, сущности HTTP, Port и User Agent могут использоваться для нормализации метаданных сетевого трафика, захваченных в сетевой среде.
• Модель обнаружения (DM):
  • Фокусируется на выявлении взаимосвязей между событиями безопасности для облегчения разработки аналитики данных и помощи в проверке обнаружения тактик злоумышленников.

Спонсоры

Автор

• Roberto Rodriguez @Cyb3rWard0g

Текущие коммитеры

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

Проекты, использующие OSSEM

• HELK
• Azure Sentinel Normalization

Ресурсы

• Готовы к охоте? Сначала покажите мне свои данные!
• Что нового в Windows 10, версии 1507 и 1511
• Скачать события аудита безопасности для Windows (таблица)
• Расширенные параметры политики аудита безопасности
• Мониторинг Active Directory на предмет признаков компрометации
• Рекомендации по политике аудита
• Использование пересылки событий Windows для помощи в обнаружении вторжений
• Минимальная рекомендуемая минимальная политика аудита
• Windows ITPro Docs - Threat Protection
• MITRE ATT&CKcon 2018: Hunters ATT&CKing with the Data
• MITRE ATT&CKcon 2.0: Ready to ATT&CK? Bring Your Own Data (BYOD) and Validate Your Data Analytics!
• Defining ATT&CK Data Sources, Part I: Enhancing the Current State
• Defining ATT&CK Data Sources, Part II: Operationalizing the Methodology