Rinkinys · Inžinerija
Aptikimo inžinerijos rinkinys
Aptikimo turinys yra turtas, turintis priežiūros kainą. Šiame rinkinyje aprašomas gyvavimo ciklas nuo hipotezės iki pašalinimo, sąlygos, kurias taisyklė turi atitikti, kad galėtų ką nors pažadinti, ir kaip išlaikyti teiginius apie aprėptį sąžiningus.
- Dažnumas
- Savaitinė peržiūra
- Sąlyga
- Jokios taisyklės be reagavimo veiksmo
Taisyklė be reagavimo veiksmo nėra aptikimas
Taisyklė, kuri suveikia ir palieka analitikui pačiam spręsti, ką daryti, nėra aptikimas – tai pranešimas su papildomais žingsniais. Per metus keletas tokių išmokys komandą uždarinėti įspėjimus jų neskaičius, o šis įprotis neatskirs triukšmingos taisyklės nuo svarbios.
Todėl sąlyga paprasta ir besąlygiška: jokia taisyklė nepatenka į produkcinį įspėjimų srautą be dokumentuoto reagavimo veiksmo. Jei negalite pasakyti, ką žmogus turi daryti jai suveikus, ji nėra parengta – ir galbūt jos vieta yra grėsmių medžioklės užklausoje, o ne eilėje.
Aptikimo paleidimo sąlygos
Kiekviena taisyklė turi atitikti visas šias sąlygas, prieš pradėdama generuoti įspėjimus.
Savaitinė derinimo peržiūra
Trisdešimt minučių, tuo pačiu metu kiekvieną savaitę. Tikslas nėra pasiekti nulį netikrų pavojų – tikslas yra užtikrinti, kad dėl triukšmo būtų priimami sprendimai, o ne kad jis būtų tyliai sugeriamas.
Keturi sprendimai dėl triukšmingos taisyklės
| Sprendimas | Kada jis tinkamas | Ko jam reikia |
|---|---|---|
| Derinti | Taisyklė gaudo tinkamą elgesį, bet logika per plati | Pakeitimo įrašo, pakartotinio patikrinimo ir naujo kiekio įvertinimo |
| Slopinti | Triukšmą kelia konkretus žinomas nekenksmingas šaltinis | Kuo siauresnės apimties ir griežtos galiojimo pabaigos datos – niekada neterminuotai |
| Priimti | Triukšmas realus, bet aprėptis verta daugiau nei jo kaina | Įvardyto savininko, užrašyto pagrindimo ir peržiūros datos |
| Pašalinti | Technika nebeaktuali arba taisyklė niekada nesuveikia teisingai | Įrašo, kodėl taip nuspręsta, kad po pusmečio niekas jos nepridėtų iš naujo |
Aptikimo turinį laikykite už infrastruktūros, kurią jis saugo, ribų
Aptikimo logiką valdykite versijomis atskirai nuo stebimos aplinkos, nurodydami autorius, datas ir taikymo laikotarpius. Tai ir operatyvinė apsauga – į infrastruktūrą įsibrovęs priešininkas neturi galėti perskaityti ar pakeisti to, kas jį aptinka, – ir įrodymas, kad jūsų aptikimo inžinerija yra valdomas procesas, o ne paspaudimai valdymo pulte.
Kitas rinkinys
Aplinkos prijungimo rinkinys
Žingsnis po žingsnio, kaip naują aplinką ar žurnalų šaltinį įtraukti į stebėseną, ir patikra, įrodanti, kad aprėptis tikra.