开源安全事件元数据 (OSSEM)

一个社区主导的项目，主要关注安全事件日志的文档化、标准化和建模。

https://ossemproject.com/intro.html

目标

• 定义并共享一个通用数据模型，以改善安全事件日志的数据标准化和转换
• 定义并共享安全事件日志中识别出的数据结构和关系
• 以字典格式向社区提供多个安全事件日志的详细信息
• 了解更多关于安全事件日志的信息（Windows、Linux、macOS、Azure、AWS等）

项目结构

• 数据字典 (DD):
  • 包含按操作系统及其相应数据提供者组织的多个安全事件日志的特定信息。
  • 每个字典描述单个事件日志及其对应的字段名称。
  • 它提供了在组织中创建数据维基的基础概念。
• 通用数据模型 (CDM)
  • 通过提供解析安全事件日志的标准方法，促进数据的规范化。
  • 项目按在多个数据源中识别的模式实体进行组织。
  • 每个模式实体及其各自属性（字段名称）的定义大多是一般性描述，有助于并加快事件日志解析过程。
  • 项目还提供了模式表的概念，以聚合公共实体并解析相似的数据源。例如，HTTP、端口和用户代理实体可用于规范化在网络环境中捕获的网络流量元数据。
• 检测模型 (DM):
  • 专注于识别安全事件之间的关系，以促进数据分析的开发，并帮助验证对手技术的检测。

赞助商

作者

• Roberto Rodriguez @Cyb3rWard0g

当前提交者

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

使用 OSSEM 的项目

• HELK
• Azure Sentinel Normalization

资源

• 准备狩猎？首先，给我看看你的数据！
• Windows 10 版本 1507 和 1511 的新增功能
• 下载 Windows 安全审计事件（电子表格）
• 高级安全审计策略设置
• 监控 Active Directory 以发现入侵迹象
• 审计策略建议
• 使用 Windows 事件转发协助入侵检测
• 最低推荐最低审计策略
• Windows ITPro 文档 - 威胁防护
• MITRE ATT&CKcon 2018: Hunters ATT&CKing with the Data
• MITRE ATT&CKcon 2.0: Ready to ATT&CK? Bring Your Own Data (BYOD) and Validate Your Data Analytics!
• 定义 ATT&CK 数据源，第一部分：增强当前状态
• 定义 ATT&CK 数据源，第二部分：使方法论可操作