Detection Systems
ระบบตรวจจับ
ระบบตรวจจับแปลงข้อมูลเป็นเหตุที่ต้องตรวจต่อ กฎที่ดีต้องมีเหตุผล ข้อมูล และวิธีทบทวน
หัวข้อในบทนี้
ศัพท์ในบทนี้ · กดคำที่ขีดเส้นใต้ในเนื้อหาเพื่อดูความหมายได้ด้วย
- IP
- ที่อยู่และโปรโตคอลส่ง packet ระหว่างเครือข่าย รุ่น IPv4 และ IPv6 มีรูปแบบต่างกัน
- NAT
- การแปลงที่อยู่หรือพอร์ตใน packet ตามกฎ
- JSON
- รูปแบบข้อความของ object array และค่าพื้นฐาน
- IDS
- ระบบตรวจและแจ้งสิ่งตรงเงื่อนไขภัย
- SIEM
- ระบบรวม log ค้น วิเคราะห์ และตรวจเหตุ
- SOAR
- ระบบประสาน workflow เครื่องมือและ action ตามเงื่อนไข
จาก telemetry ไปเป็น alert ที่คนตัดสินได้
Detection ไม่ได้เริ่มที่ dashboard แต่เริ่มจากพฤติกรรมหรือภัยที่ต้องรู้ เลือก telemetry ที่เห็นมัน แล้วแปลงเป็นเงื่อนไขค้นหรือ rule Signature จับ pattern ที่รู้ Behavior จับการกระทำและความสัมพันธ์ Anomaly เทียบสิ่งที่ใช้เป็นฐาน แต่ baseline อาจไม่แทนงานใหม่ที่ถูกต้อง
- Coverage
ระบุสิ่งที่ต้องจับ source fields และข้อที่มองไม่เห็น เช่นไม่มี process telemetry
- Rule / query
ตั้งเงื่อนไข window threshold และ scope Suricata อ่าน traffic ส่วน SIEM ใช้เหตุที่ ingest แล้ว
- Alert
ผลที่ตรงกฎ พร้อมเวลา entities และหลักฐาน ไม่เท่ากับ incident ที่ยืนยัน
- Triage / correlate
เทียบงานปกติ ภัยจริง ความสัมพันธ์และผลกระทบ รวม alert เมื่อมีเหตุผล
- Tune / automate
ปรับพร้อมทดสอบ regression SOAR จัด workflow แต่ action ที่กระทบต้องมีเงื่อนไขและเจ้าของ
| ผลระบบตรวจ | ภัยจริง 20 | งานปกติ 80 |
|---|---|---|
| แจ้ง | TP 18 | FP 8 |
| ไม่แจ้ง | FN 2 | TN 72 |
Recall = TP/(TP+FN) = 90.0%
ชุดที่รู้ผล: ภัยจริง 20 งานปกติ 80 → จับภัยได้ 18 พลาด 2 แจ้งผิด 8
เป็นข้อมูลสังเคราะห์ที่รู้ ground truth เพื่อเรียน precision และ recall ไม่ใช่ benchmark ของผลิตภัณฑ์ และไม่แสดง causal rule ว่าเพิ่ม threshold ทุกแบบต้องได้ตัวเลขนี้
False positive คือแจ้งในสิ่งที่จริงไม่ใช่เป้าหมายภัย False negative คือภัยจริงที่ไม่แจ้ง ประเมิน false negative ต้องมีตัวอย่างที่รู้ผลจริง ไม่ดูจากจำนวน alert เท่านั้น Splunk กับ Google SecOps มี schema และภาษา query ต่างกัน Copy query โดยไม่ map fields อาจได้ผลผิด และ exclusion กว้าง ๆ อาจซ่อนบัญชีที่ถูกยึด
วิธีตรวจและรูปแบบตรวจจับDetection Methods and Signatures · 23.3.1
Signature จับรูปแบบที่กำหนด วิธีอื่นอาจดูความผิดปกติหรือพฤติกรรม
Signature จับ pattern ที่ระบุไว้ Behavior detection จับการกระทำหรือความสัมพันธ์ Anomaly ตรวจความต่างจาก baseline แต่ baseline อาจไม่แทนงานใหม่ที่ถูกต้อง การใช้หลายวิธีช่วยลด blind spot
pattern ที่รู้
การกระทำและความสัมพันธ์
ความต่างจากสิ่งที่ใช้เป็นฐาน
Hash malware known ช่วยระบุไฟล์เดิมแต่ไฟล์เปลี่ยนอาจหลุด ส่วน rule process chain ดูพฤติกรรมแต่มี false positive จาก admin tool ต้องเลือก telemetry และเงื่อนไขตามคำถามภัย
ที่มาของหัวข้อนี้ · 2 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 3: Incident investigation and responseReading: Cybersecurity incident detection methodsCY6.M3.R1
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsVideo: Components of a detection signatureCY6.M4.V7
กฎและบันทึกซูริคาตาSuricata Rules and Logs · 23.3.2
Suricata rules กำหนดเงื่อนไข traffic ที่ต้องตรวจ Logs บอกผลและบริบทที่เครื่องมือเห็น
Suricata rule มี action header และ options Header กำหนด protocol source destination port direction Options เพิ่มเงื่อนไขเนื้อหา flow และ metadata เช่น sid rev ความสามารถขึ้นกับ mode และ protocol ที่ engine เห็น
ผลเมื่อ rule ตรง
ขอบเขตและเงื่อนไข
ผลที่อ่านคู่กับบริบท traffic
alert tcp ... ไม่เหมือน drop และ drop จะหยุดได้เมื่อ mode รองรับ การเห็น alert ไม่พิสูจน์ exploit สำเร็จ ต้องดู rule condition กับ flow และเครื่องปลายทาง EVE บันทึกหลาย event type ไม่ใช่ทุกบรรทัดเป็น alert
Rule Conditions and Alert Meaning (สิ่งที่กฎจับ กับสิ่งที่เกิดจริง)
Suricata rule header กับ options กำหนดสิ่งที่ engine ตรวจ เช่น protocol endpoints flow และ content buffer SID ระบุกฎ REV ระบุรุ่น การตรงเงื่อนไขของกฎไม่รับรอง exploit สำเร็จ เพราะกฎอาจจับคำขอ ความพยายาม หรือ pattern ที่งานปกติใช้ด้วย
EVE มี event types หลายแบบ ต้องตรวจว่าเป็น alert flow dns http หรือชนิดใดตามการตั้ง เห็นแล้วแจ้ง ส่วนการ drop ต้องใช้ mode ที่บังคับ traffic ได้จริง หาก traffic เข้ารหัสหรือไม่ผ่าน sensor กฎที่ต้องเห็นเนื้อหานั้นอาจตรวจไม่ได้ ต้องระบุ blind spot ก่อนอ้าง coverage
alert icmp any any -> $HOME_NET any (msg:"Example ICMP observed"; sid:1000001; rev:1;)นี่เป็นตัวอย่างโครง rule แจ้งเมื่อ ไป HOME_NET ตาม configuration ไม่ใช่ detection การโจมตี Header ระบุ protocol และทิศ Options มี message ID และรุ่น ต้องตรวจ syntax กับ engine รุ่นที่จะใช้ก่อน deploy
Rule ของ Suricata ระบุ action protocol source destination และ options ตาม syntax ที่ใช้ เงื่อนไข content ต้องอ่านร่วมกับ protocol และ buffer ที่ระบบตรวจ การเห็นคำว่า GET ในเงื่อนไขไม่ได้แปลว่าตรวจเนื้อหา HTTPS ที่เข้ารหัสได้เสมอ
Rule ต้องทดสอบกับสิ่งที่รู้ว่า match และไม่ควร match ก่อนใช้งาน พร้อมดู telemetry ที่ขาดและ noise ตัวอย่างใน transcript เป็นการอธิบายส่วนประกอบ ไม่ควรนำมาอ้างว่าครอบคลุมภัยทุกชนิด
ที่มาของหัวข้อนี้ · 2 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsVideo: Examine signatures with SuricataCY6.M4.V8
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsVideo: Examine Suricata logsCY6.M4.V9
เอกสารหลักที่ใช้ตรวจแนวคิดเพิ่มเติม
ประมวลผลและแดชบอร์ดซีมSIEM Processing and Dashboards · 23.3.3
SIEM รวมและค้นข้อมูลหลายแหล่ง Dashboard แสดงภาพตามข้อมูลและเงื่อนไขที่สร้าง
รับข้อมูลหลายแหล่ง แปลงให้ค้นได้ และใช้ correlation หรือ detection แสดงผล Dashboard เป็นมุมมองข้อมูลตาม query ไม่รับรองว่า log ครบหรือภัยทุกแบบถูกตรวจ
ข้อมูลที่ระบบรับได้
กฎประมวลเหตุ
สรุปผลตาม query
กราฟ failed login สูงอาจเกิดเปลี่ยน parser ให้ค่าความหมายต่าง ต้องดู query source และ denominator จำนวน alert ต่ำลงอาจเป็น sensor หายไม่ใช่ปลอดภัยขึ้น ใส่ coverage และ ingest health ในมุมดูงาน
ที่มาของหัวข้อนี้ · 2 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Play It Safe: Manage Security Risks · Module 3: Introduction to cybersecurity toolsVideo: SIEM dashboardsCY2.M3.V3
- Sound the Alarm: Detection and Response · Module 1: Introduction to detection and incident responseReading: Overview of SIEM technologyCY6.M1.R6
ค้นหาเหตุในสปลังก์และกูเกิลเซคออปส์Splunk and Google SecOps Queries · 23.3.4
Splunk และ Google SecOps ใช้รูปแบบ query ตามระบบ ต้องรู้ fields และข้อมูลที่นำเข้า
Splunk กับ Google SecOps มี syntax schema และช่องทางค้นของตน Concept ร่วมคือ time range filters grouping และการตรวจ raw event อย่าย้าย query โดยเปลี่ยนชื่อผลิตภัณฑ์อย่างเดียว
ข้อมูลที่ค้นจริง
รูปแบบตามระบบ
สรุปแล้วตรวจ event ตัวอย่าง
ใน Splunk index=auth action=failure | stats count by user เป็นตัวอย่างเมื่อ field ดังกล่าวมีจริง Google SecOps ต้องใช้ event schema ที่ระบบ normalize เช่น UDM ตามชนิดข้อมูล ตรวจชื่อ field ก่อนนำตัวอย่างไปใช้
index=auth action=failure
| stats count by userตัวอย่าง Splunk นี้สมมติ index auth มี field action กับ user ค่าที่คืนเป็นจำนวน event ต่อ user ไม่ใช่จำนวน attacker และต้องตั้ง time range พร้อมตรวจ raw event
ที่มาของหัวข้อนี้ · 2 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsVideo: Query for events with SplunkCY6.M4.V11
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsVideo: Query for events with Google SecOpsCY6.M4.V12
ภาพรวมการประสานงานอัตโนมัติSOAR Overview · 23.3.5
SOAR ประสานขั้นตอนและ automation ต้องกำหนดจุดตัดสินใจและสิทธิ์ให้ชัด
ประสานเครื่องมือและ workflow เช่น enrich alert สร้าง ticket หรือขออนุมัติ action Automation ที่เขียนระบบต้องมี scope input validation error handling และคนรับผิดชอบ
เพิ่มบริบทที่เชื่อถือได้
ตรวจเงื่อนไขก่อน action
ดำเนินและบันทึกผล
การรับ alert แล้วปิดบัญชีทันทีอาจหยุดบัญชีบริการสำคัญ เริ่มจาก enrichment ที่ตรวจได้และกำหนด approval สำหรับ action ผลสูง พร้อม rollback และ audit ของทุกขั้น
ที่มาของหัวข้อนี้ · 1 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Play It Safe: Manage Security Risks · Module 4: Use playbooks to respond to incidentsReading: Playbooks, SIEM tools, and SOAR toolsCY2.M4.R2
เชื่อมโยงและคัดกรองแจ้งเตือนAlert Correlation and Triage · 23.3.6
Correlation เชื่อมหลายเหตุ Triage คัดลำดับตรวจ ไม่ยืนยันการบุกรุกจากชื่อ alert อย่างเดียว
Correlation เชื่อม event ที่เกี่ยวกันด้วย identity device session และเวลา Triage ใช้หลักฐานประเมินว่า alert ต้องตรวจต่อหรือส่ง incident อย่าเชื่อมจาก อย่างเดียวเมื่อมี หรือเครื่องร่วม
ตัวระบุที่ใช้เชื่อม
ลำดับและเหตุประกอบ
สิ่งที่หลักฐานให้ตรวจต่อ
failed login กับ success ที่ตามมามีความหมายต่างตามบัญชี ตำแหน่งและ action หลัง login เปิด raw event ของทั้งสองแหล่งและตรวจ timestamp ก่อนรวมเป็นเหตุเดียว
ที่มาของหัวข้อนี้ · 2 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 3: Incident investigation and responseReading: The triage processCY6.M3.R8
- Sound the Alarm: Detection and Response · Module 1: Introduction to detection and incident responseVideo: Alert and event management with SIEM and SOAR toolsCY6.M1.V11
แจ้งเตือนผิดและตรวจไม่พบFalse Positives and False Negatives · 23.3.7
False positive แจ้งเหตุที่ไม่ใช่ภัย False negative พลาดภัยที่ควรตรวจเจอ
False positive คือแจ้งว่าตรงเป้าภัยแต่ข้อเท็จจริงไม่ใช่ False negative คือภัยตามเป้ากฎเกิดแต่ไม่แจ้ง ค่าทั้งสองต้องมี ground truth หรือการตรวจที่เหมาะ ไม่ทราบ false negative จากจำนวน alert อย่างเดียว
| ผลจากกฎ | มีภัยตามเป้าจริง | ไม่มีภัยตามเป้า |
|---|---|---|
| แจ้งเตือน | True positive ตรวจพบถูก | False positive แจ้งผิด |
| ไม่แจ้ง | False negative ภัยเกิดแต่หลุด | True negative ไม่แจ้งถูก |
ต้องมีข้อมูล ground truth เพื่อรู้ว่าภัยเกิดจริงหรือไม่ Alert ที่ลดลงอาจเกิดจาก tuning หรือข้อมูลต้นทางหายก็ได้ ใช้การตรวจกรณีที่ทราบร่วมกับ health ของ telemetry ก่อนตีความผล
Admin tool ทำพฤติกรรมคล้ายโจมตีสร้าง FP แต่การ suppress ทั้ง process อาจเพิ่ม FN ต้องดูเงื่อนไขที่แยกได้ ใช้ตัวอย่างที่ยืนยันแล้วและการจำลองที่อนุญาตเพื่อตรวจ detection
ที่มาของหัวข้อนี้ · 1 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsReading: Detection tools and techniquesCY6.M4.R3
ปรับกฎตรวจจับDetection Rule Tuning · 23.3.8
Tuning ปรับกฎตามหลักฐานและทดสอบทั้งสิ่งที่ควรจับกับสิ่งที่ควรผ่าน
Tuning ปรับ scope threshold window และ exclusion เพื่อให้ detection มีประโยชน์โดยไม่ซ่อนสิ่งสำคัญ ต้องมีรุ่นกฎ เหตุผล ตัวอย่างผลก่อนหลังและวันทบทวน exception
ข้อมูลปรับที่ยืนยัน
เงื่อนไขที่เปลี่ยน
ตรวจทั้งการแจ้งผิดและภัยที่ต้องจับ
Exclude service account ทั้งหมดอาจซ่อนการยึดบัญชี ตรวจเงื่อนไขเฉพาะงาน เช่น host และ command ที่รู้ แล้วเก็บ monitoring ของ account นั้นไว้ เปลี่ยน threshold ตาม baseline ที่มี ไม่ลด alert เพื่อให้กราฟดูดี
ที่มาของหัวข้อนี้ · 1 รายการ
คำอธิบายและภาพในหน้านี้เรียบเรียงใหม่ ชื่อบทต้นทางด้านล่างใช้ตรวจที่มา ไม่ได้แทนเนื้อหาที่คุณต้องไปอ่านเพิ่มเพื่อเข้าใจหน้านี้ และไม่ยืนยันว่าทุกประโยคมีอยู่ในคอร์ส
- Sound the Alarm: Detection and Response · Module 4: Network traffic and logs using IDS and SIEM toolsReading: Overview of SuricataCY6.M4.R4
นำศัพท์มาเชื่อมกับงาน
กฎล็อกอินผิดหลายครั้งต้องแยกความผิดพลาดของผู้ใช้จากความพยายามโจมตี
สิ่งที่บทนี้เชื่อมไว้
ระบบตรวจจับแปลงข้อมูลเป็นเหตุที่ต้องตรวจต่อ กฎที่ดีต้องมีเหตุผล ข้อมูล และวิธีทบทวน
ใช้ภาพกับตัวอย่างด้านบนเชื่อมหน้าที่ของแต่ละส่วน แล้วตรวจความเข้าใจด้วยการอธิบายเหตุผลของผลที่เห็น ก่อนเปิดบทถัดไป
บทเรียนที่เกี่ยวข้องและที่มาของบทอ่าน
transcript ที่เคยใช้ตรวจแนวคิดพื้นฐานและตัวอย่างบางส่วน: T0226 · Sound the Alarm Detection and Response · T0197 · Sound the Alarm Detection and Response คำอธิบายเป็นการเขียนใหม่ ไม่ใช่การแปลครบทุกประโยค ภาพและตัวอย่างเป็นการเรียบเรียงเพื่อเชื่อมความเข้าใจ
คำอธิบายหน้านี้เขียนใหม่ตามหัวข้อใน Atlas รายการด้านล่างเป็นชื่อ Video/Reading ที่เคยจับคู่ไว้ แสดงไว้ให้ตรวจที่มาของชื่อหัวข้อ และไม่รับรองว่าคอร์สสอนทุกส่วนของคำอธิบายนี้