Amélioration des sources de données SIEM pour des performances optimales
Date de la dernière modification : 19/07/2022
Clause d'exclusion de responsabilité
Produits affectés
Langues :
Cet article est disponible dans les langues suivantes :
Découvrez comment un écosystème XDR qui s'adapte en permanence peut dynamiser votre entreprise.
Bryan Palma, PDG de Trellix, explique qu'une sécurité qui apprend et évolue en permanence est aujourd'hui indispensable.
Téléchargez le rapport Magic Quadrant de Gartner, qui évalue 18 fournisseurs selon des critères tels que la vision complète et la capacité de mise en œuvre.
Selon Gartner, « le XDR est une technologie émergente capable de renforcer l'efficacité de la prévention, de la détection et de la neutralisation des menaces ».
Quelles sont les cybermenaces dont les entreprises doivent se méfier en 2022?
Le secteur de la cybersécurité est en constante effervescence. N'attendez plus pour en tirer parti et dynamiser votre entreprise.
Deux leaders du marché de la cybersécurité unissent leurs forces pour créer un monde numérique résilient.
Bryan Palma, PDG de Trellix, explique qu'une sécurité qui apprend et évolue en permanence est aujourd'hui indispensable.
As of May 14, 2024, Knowledge Base (KB) articles will only be published and updated in our new Trellix Thrive Knowledge space.
Log in to the Thrive Portal using your OKTA credentials and start searching the new space. Legacy KB IDs are indexed and you will be able to find them easily just by typing the legacy KB ID.
Amélioration des sources de données SIEM pour des performances optimales
Articles techniques ID:
KB93502
Date de la dernière modification : 19/07/2022 Environnement
Enterprise Security Manager (ESM) Récepteur d’événements d’entreprise SynthèseVous pouvez optimiser Event Receiver d’entreprise et ESM pour obtenir les meilleures performances de la source de données.
Par défaut, ESM affecte les nouvelles sources de données avec toutes les règles disponibles. De plus, il traite chaque règle avec la même priorité, même si le nombre d’événements réels n’est pas le même de la règle à la règle. Grâce à cette approche, il est facile d’ajouter rapidement des sources de données à l’environnement SIEM. Toutefois, vous pouvez obtenir des gains de performances si vous optimisez les règles pour chaque source de données. SolutionIl existe plusieurs niveaux d’optimisation dans l’ordre, du moins efficace à le plus efficace. Certaines de ces techniques sont facilement mises en œuvre. En revanche, les autres sont plus avancées et peuvent nécessiter une assistance de la part des services professionnels. Les services professionnels peuvent optimiser vos sources de données SIEM pour vous.
Pour désactiver les règles relatives aux événements de faible valeur et de nombre d’événements élevé, procédez comme suit : De nombreuses sources de données envoient plusieurs journaux, dont certains sont plus importants que d’autres. Les journaux de faible importance, mais dont le volume est élevé, réduisent l’événement global par seconde sur la capacité du récepteur. Si un type d’événement particulier comporte un nombre élevé d’événements par seconde et que les journaux ne sont pas importants pour l’utilisateur, les règles responsables de ces événements peuvent être désactivées. Cette action n’empêche pas le récepteur de collecter et d’envoyer ces événements à l’ESM, ce qui évite que les événements ne le fassent vers les tableaux de bord ESM. Les modifications ont un impact faible sur les performances, mais elles permettent de réduire le volume de données dont ESM a besoin pour passer en revue.
Chaque ASP source de données contient une section dans les propriétés pour la gestion des événements qui ne correspondent à aucune règle. Cette option peut être configurée pour ne rien faire, consigner comme inconnuou effectuer une analyse syntaxique en tant que syslog générique. Ces options peuvent être utiles pour la résolution de problèmes, mais nous vous recommandons de désactiver le paramètre syslog générique. La raison en est qu’elle diminue considérablement les performances. Il s’agit d’une solution à court terme lors de la configuration d’une nouvelle source de données qui ne dispose pas des fichiers de règles nécessaires pour l’ensemble des événements. Fondamentalement, il exécute l’événement au-delà de la source de données d’origine et ASP les règles une deuxième fois, mais ajoute des milliers de règles syslog génériques supplémentaires. Etant donné qu’il ajoute de nombreuses règles supplémentaires à chaque événement traité, il y a un impact important sur les performances. L’activation de seulement quelques-uns de ces paramètres de règles génériques peut ralentir le récepteur entier.
Chaque événement entrant dans une source de données doit être vérifié par rapport à chaque règle pour cette source de données jusqu’à ce qu’une concordance soit trouvée. Plus le nombre de règles à vérifier avant la concordance est élevé, plus les performances d’analyse sont lentes. En modifiant l’ordre dans lequel les règles sont utilisées pour vérifier chaque événement, il est possible de réduire l’impact sur les performances de l’analyse syntaxique. L’idée est de rendre les événements les plus courants susceptibles de déclencher d’abord les règles de correspondance. Par exemple, il existe 1 000 règles pour une source de données et l’événement le plus courant est le type 51. Placez les vérifications d’ordre des règles pour le type 51 au lieu de les 999 autres règles.
Les règles de filtre sont similaires à la désactivation des règles d’analyse syntaxique, à la différence près que vous bloquez toutes les deux la collecte de l’événement d’origine. Les événements collectés par le récepteur suivent ces règles de filtrage, et si un événement correspondant à un filtre est défini, il est supprimé du côté de la collection. Cette suppression signifie que les événements ne sont jamais envoyés au pipeline d’analyse ou à ESM, ce qui offre un gain de performances optimal. Si un événement particulier de la valeur faible est déclenché à un nombre plus élevé que les événements plus importants et qu’il n’est pas nécessaire de suivre ces événements dans le tableau de bord ESM, une règle de filtrage est logique à employer. Il est important de noter que, bien qu’une règle de filtrage supprime les événements du traitement du récepteur et de l’ESM, les journaux sont envoyés à l’ELM pour la conformité. Par conséquent, même si un événement est filtré à partir du récepteur et de l’ESM, il peut toujours être trouvé avec une recherche ELM. Les règles de filtre sont des sujets avancés et requièrent que l’utilisateur soit familiarisé avec l’écriture d’expressions régulières PCRE. Clause d'exclusion de responsabilitéLe contenu du présent article a été rédigé en anglais. En cas de divergences entre la version anglaise et sa traduction, la version en anglais prévaut. Certaines parties de ce contenu ont été traduites par le moteur de traduction automatique de Microsoft.
Produits affectésLangues :Cet article est disponible dans les langues suivantes : |
|