Мониторинг кибербезопасности: практика и уровни зрелости
Мониторинг кибербезопасности: практика и уровни зрелости
Сбор и анализ событий, чтобы замечать атаки и ошибки раньше ущерба.
С чего начать
Мониторинг нужен, чтобы узнавать о проблеме до пользователей и злоумышленников, а не после. В ИБ он держится на трёх вещах: собираются нужные журналы, по ним работают правила обнаружения, и кто-то реагирует на срабатывания.
- Начните со сбора журналов с серверов в одно место: journald и rsyslog.
- Включите обнаружение: например, Wazuh с первыми правилами.
- Поймите разницу между мониторингом доступности и мониторингом безопасности: SOC, SIEM и Zabbix.
- Автоматизируйте рутинные проверки скриптами: Python и Bash.
- Определите, кто смотрит оповещения и в какие сроки отвечает.
Что нужно на первом и втором уровне
| Уровень | Что должно быть |
|---|---|
| 1. Базовый | Журналы ключевых систем сохраняются. |
| 2. Гигиенический | Журналы собираются централизованно, настроены оповещения, на срабатывания реагируют в согласованный срок. |
Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.
Материалы по теме
- Fail2ban: свой фильтр для сканеров nginx и проверка fail2ban-regex
Практика собственного фильтра Fail2ban для сканеров уязвимостей по журналу доступа nginx: регулярное выражение, проверка на примерах командой fail2ban-regex, ловушка с вырезанным временем, проверка настроек jail без перезапуска и… - logrotate и journald: сколько хранить журналы и как это проверить
Практика ротации и хранения журналов Linux: конфигурация logrotate с проверкой отладочным и принудительным запуском, ловушки (первый запуск, dateext, неизвестные директивы), настройки journald и расчёт реального срока хранения журнала… - Python и Bash для ИБ: пять скриптов для регулярных проверок
Пять небольших скриптов на Bash и Python для регулярных проверок безопасности Linux-сервера, запуск по systemd timer и передача результата в Zabbix. - SOC и SIEM: чем отличаются от мониторинга в Zabbix
Разница между мониторингом доступности, SIEM и SOC на практике: задачи, данные и ограничения. - Wazuh в Docker: установка, агенты, правила и эксплуатация
Лонгрид о Wazuh в Docker: архитектура, порты, установка на один сервер, смена паролей по умолчанию, агенты Linux и Windows, первое собственное правило, эксплуатация и диагностика. - Wazuh: пять правил выявления атак на Linux-сервере
Пять пользовательских правил Wazuh для выявления типовых действий нарушителя на Linux-сервере: вход в нерабочее время, всплеск неудачных входов SSH, root-оболочка через sudo, добавление в привилегированную группу, cron с… - Журналы ИСПДн: регистрация событий безопасности и контроль доступа
Практика регистрации событий безопасности в информационных системах с ПДн: перечень событий, настройка auditd на Linux, защита журналов, сроки хранения, регулярный разбор и показатели. - Централизованный сбор логов Linux: journald и rsyslog
Постоянный journald, отправка логов на отдельный сервер через rsyslog, ротация и запросы для поиска подозрительных входов.
В плане
- Сценарии выявления атак для Wazuh
- Обогащение событий данными об угрозах
Где это на карте зрелости
Направление 12 из 16. Остальные направления и самоаудит: карта зрелости.
