Creating correlation rules
출처: 문서
본문
상관 규칙 생성하기
상관 규칙을 사용하면 인프라 내 여러 시스템과 관련된 위협 시나리오를 정의할 수 있어요. 다양한 로그 유형에서 발생하는 위협 이벤트의 시그니처를 매칭하는 방식이죠. 규칙에 최소 두 개의 서로 다른 로그 소스와 의도한 위협 시나리오를 정의하는 필드 및 필드 값이 포함되면, 상관 엔진은 상관 규칙에 지정된 인덱스를 쿼리하고 결과 간의 상관관계를 식별할 수 있어요.
규칙 구성하기
규칙 구성에 최소 두 개의 데이터 소스가 있어야 인프라 내 서로 다른 시스템 간의 연결을 만들고 상관관계를 식별할 수 있어요. 따라서 각 상관 규칙에는 최소 두 개의 쿼리가 필요해요. 하지만 위협 시나리오를 더 잘 정의하고 여러 시스템 간의 상관관계를 찾기 위해 두 개 이상의 쿼리를 포함할 수도 있어요. 다음 단계에 따라 상관 규칙을 생성하세요:
-
먼저 OpenSearch Dashboards 메인 메뉴에서 Security Analytics를 선택하세요. 그런 다음 화면 왼쪽의 Security Analytics 메뉴에서 Correlation rules를 선택하세요. 그러면 다음 이미지와 같이 Correlation rules 페이지가 표시돼요.
{: width="85%" } -
Create correlation rule을 선택하세요. 그러면 Create correlation rule 창이 열려요.
-
Correlation rule details 필드에 규칙 이름을 입력하세요. 다음 이미지를 참조하세요.
{: width="50%" } -
Correlation queries 필드에는 두 개의 드롭다운 목록이 있어요. Select index 드롭다운 목록에서 데이터 소스의 인덱스 또는 인덱스 패턴을 지정하세요. Log type 드롭다운 목록에서 인덱스와 연결된 로그 유형을 지정하세요. 다음 이미지를 참조하세요.
{: width="45%" } -
Field 드롭다운 목록에서 로그 필드를 지정하세요. Field value 텍스트 상자에 필드 값을 입력하세요. 다음 이미지를 참조하세요.
{: width="45%" } -
쿼리에 필드를 더 추가하려면 Add field를 선택하세요.
-
첫 번째 쿼리를 구성한 후, 이전 단계를 반복하여 두 번째 쿼리를 구성하세요. 창 하단의 Add query를 선택하면 규칙에 쿼리를 더 추가할 수 있어요. 다음 이미지를 참조하세요.
{: width="50%" } -
규칙이 완성되면 창 오른쪽 아래의 Create correlation rule을 선택하세요. OpenSearch가 새 규칙을 생성하고, 화면이 Correlation rules 창으로 돌아가며, 새 규칙이 상관 규칙 테이블에 나타나요. 규칙을 편집하려면 Name 열에서 규칙 이름을 선택하세요. 그러면 Edit correlation rule 창이 열려요.
시간 창 설정하기
Cluster Settings API를 사용하면 설정된 시간 창 내에서 결과를 상관 분석할 수 있어요. 예를 들어, 시간 창이 3분이면 시스템은 위협 시나리오에 정의된 결과가 서로 3분 이내에 발생할 때만 상관 분석을 시도해요. 기본적으로 시간 창은 5분이에요. Cluster Settings API에 대한 자세한 내용은 Cluster settings를 참조하세요.
예시 요청
다음 PUT 호출은 시간 창을 2분으로 설정해요:
PUT /_cluster/settings
{
"transient": {
"plugins.security_analytics.correlation_time_window": "2m"
}
}
{% include copy-curl.html %}
다음 단계
탐지기와 상관 규칙을 생성한 후에는 상관 그래프를 사용하여 다양한 로그 소스의 결과 간 상관관계를 관찰할 수 있어요. 상관 그래프 작업에 대한 자세한 내용은 Working with the correlation graph를 참조하세요.
또한 상관 규칙에 트리거를 추가하여 결과를 상관 분석할 때 알림을 생성하고 전송하도록 할 수 있어요. 자세한 내용은 Correlation rule triggers를 참조하세요.