前言
我们在面对各类安全设备海量告警的时候，有时候会感到无从下手，或者不知道改从何开始，就算是只看设备提到的高危攻击有时也还是会显得分身乏术，不知道该怎么办。下面简单介绍下我个人使用的告警紧急度定级的办法，一般用于规则配置或是快速查阅过去一段时间内需关注的告警，可能存在不合理的地方，还请各位指正。
紧急度的判断条件
告警的紧急度涉及的判断条件：攻击流向、日志行为动作、资产重要性、账户类型、（后续可根据资产部署的组件是否受到攻击影响再增加一层判断维度）源数据紧急度、设备日志类型等条件判断。
下面是字段数据的举例：
-
攻击流向：外到内、内到内、内到外; -
行为动作：放行、pass、accept、detected、丢弃、reset、drop、已阻断、拒绝、未阻断、已删除、未删除、删除失败等; -
资产重要性：转发设备、一般资产、重要资产、核心资产（集权机器、生产服务器、研发服务器）等等 -
账户类型：普通账户、领导层账户、高权限账户、管理员账户等 -
源数据紧急度标识：信息、低、中、高、严重 severity：低、中、高、严重 ｜ 「low，medium，high，critical」等
对以上各字段的属性进行排列组合，可以得到完整的矩阵列表，然后再根据实际环境进行制定合适的等级或是进行降噪。但过多的判断条件会增加各类规则的维护以及人员判断的复杂度,比如同一类事件，但是由于攻击流向、行为动作、涉及的资产类型、账户类型等条件有所不同，工程师可能需要维护多条检测同一类型的但是紧急度不同的规则，如何做到这两者的平衡，需要根据实际遇到的情况不断调整实践。简化一下就是下面的逻辑：
-
未阻断>阻断 -
内网>外网 -
核心>普通 -
高权限>低权限 -
可直接造成影响>间接造成影响
这里的告警紧急度定级方法不仅仅适用于SIEM平台规则产生的告警。也可以用于面对安全设备本身产出的原生告警较多无从下手的情况，即给当前平台内的告警由高到低排个序，然后统计一下当前的告警类型，给它们分个类，按照上面提到的几点开始对应吧。
紧急度示例
附加判断条件
-
攻击、威胁类型经分析为低危的，且安全设备未阻断，按照以上紧急度降一级处理 -
攻击、威胁类型经分析为高危及以上、新爆0day、nday的，且安全设备未阻断，按照以上紧急度增加一级 -
攻击资产为转发设备、网络设备如负载、交换机、路由器的，按照以上紧急度降一级处理 -
同类型告警8小时内在不同内网机器出现扩大态势的，紧急度增加一级处理
举例：内网研发机器总是被设备识别出路径遍历类攻击，并且未被阻断，此情况不一定是真实的攻击行为，可能是研发代码不规范导致，可以由紧急降级为重要。
又或是被攻击的资产为核心业务机器，攻击未被阻断，攻击源为一负载均衡设备，并且攻击、威胁类型为高危或是新暴露nday利用，此时的紧急度经过加减依旧为紧急。
其他分级方法
上面提到的只是对安全事件/告警进行分级的其中一种方法，我觉得适用于SOC运营的T1&T2人员。此外还有一些方法大家也可以做参考，比如cisecurity提出的的alert-level计算方法,但个人觉得System Countermeasures + Network Countermeasures这两个值对于SOC的T1&T2人员来说可能不太好进行评估,并且这个计算方法可能不太适用于企业
https://www.cisecurity.org/cybersecurity-threats/alert-level
机翻了一下。
告警等使用以下公式计算得出：
Severity = (Critality + Lethality) – (System Countermeasures + Network Countermeasures）
-
Critality：攻击造成伤害的可能性有多大？
（分数 = 潜在伤害）
-
5：漏洞存在。攻击者可以获得 root 或管理员权限。攻击者可以实施拒绝服务。 -
4：存在漏洞。攻击者可以获得用户级别的访问权限。攻击者可以实施拒绝服务。 -
3：不存在已知漏洞。攻击者可以获得 root 或管理员权限。攻击者可能会导致服务降级。 -
2：不存在已知漏洞。攻击者可以获得用户级别的访问权限。 -
1：不存在已知漏洞。攻击者无法访问。
-
Lethality：攻击的目标是什么？（分数= 目标）
-
5：核心服务，如关键路由器、防火墙、VPN、IDS系统、DNS服务器或身份验证服务器 -
4：电子邮件、Web、数据库和关键应用服务器 -
3：不太重要的应用服务器 -
2：商务桌面系统 -
1：个人终端
-
System Countermeasures：采取了哪些基于主机的预防措施？
（分数=对策）
-
5：应用了适用补丁的当前操作系统。服务器已通过漏洞扫描进行加固和验证。运行基于主机的 IDS 或完整性检查器。存在反病毒签名并已应用于目标系统。 -
4：应用了适用补丁的当前操作系统。操作系统已加固。存在反病毒签名并已应用于目标系统。 -
3：应用了最新补丁的当前操作系统。防病毒签名是最新的。 -
2：当前的操作系统，但缺少一些适用的补丁。防病毒签名不存在或尚未应用于目标系统。 -
1：较旧的操作系统，包括 Windows NT 3.51、Solaris 2.6、Windows 95/98/ME。没有杀毒软件保护。
-
Network Countermeasures：有哪些基于网络的预防措施？（分数=对策）
-
5：限制性（即“拒绝所有允许的除外”）防火墙。防火墙规则已通过渗透测试验证。包括 VPN 在内的所有外部连接都通过（而不是绕过）防火墙。实现了基于网络的 IDS。电子邮件网关过滤此病毒使用的附件。 -
4：限制性防火墙。外部连接（VPN、无线、互联网、业务合作伙伴等）受防火墙保护。电子邮件网关过滤此病毒使用的附件。 -
3：限制性防火墙。电子邮件网关过滤常见的可执行附件。 -
2：允许的防火墙（即“接受所有但”）或允许的服务（例如，HTTP、SMTP）。电子邮件网关不会过滤此病毒使用的所有附件。 -
1：没有实施防火墙。电子邮件网关不过滤任何附件。
使用上面定义的公式的结果，警报级别指示器通常会反映如下严重级别：
低：-8 到 -5
被保护：-4 到 -2
风险上升：-1 到 +2
高：+3 至 +5
严重：+6 至 +8
不同的警报级别颜色表示什么？
低
除了对已知黑客活动、已知病毒或其他恶意活动的正常关注之外，不存在异常活动。举例：
-
网络正常探测 -
低风险病毒
采取措施：
-
继续常规预防措施，包括应用供应商安全补丁和定期更新防病毒软件签名文件。 -
继续日常安全监控。 -
确保人员接受有关网络安全政策的适当培训。
被保护
表示存在黑客攻击、病毒或其他恶意活动增加的一般风险。存在恶意网络活动的可能性，但尚未发现已知漏洞，或已发现已知漏洞但未发生重大影响。
举例：
-
发现了一个严重漏洞，但没有报告任何漏洞。
-
一个严重的漏洞正在被利用，但没有产生重大影响。
-
一种新病毒被发现有可能迅速传播。
-
有增加探测或扫描的可靠警告。
-
非关键系统的妥协不会导致数据丢失。
采取措施：
-
继续上一级推荐的操作。
-
识别易受攻击的系统。
-
实施适当的对策来保护易受攻击的系统。
-
如果可用，在下一个常规周期测试和实施补丁、安装防病毒更新等。
风险上升
表示由于黑客攻击、病毒或其他损害系统或减少服务的恶意活动增加而导致的重大风险。在此级别，有已知漏洞正在被利用，造成中等程度的破坏或破坏，或者造成重大破坏或破坏的可能性很高。
举例：
-
存在对关键漏洞的利用可能造成重大损害。 -
一个严重的漏洞正在被利用，并产生了中等影响。 -
包含敏感信息的安全或关键系统遭到破坏。 -
如果适当，包含非敏感信息的关键系统会受到损害。 -
病毒正在整个 Internet 中快速传播，导致网络流量过大。 -
存在分布式拒绝服务攻击。
采取措施：
-
继续以前级别的建议操作。 -
识别易受攻击的系统。 -
加强对关键系统的监控。 -
立即实施适当的对策来保护易受攻击的关键系统。 -
在可用的情况下，尽快测试和实施补丁、安装防病毒更新等。
高
表示黑客攻击、病毒或其他恶意网络活动增加的高风险，这些活动针对或破坏核心基础设施、导致多个服务中断、导致多个系统破坏或破坏关键基础设施。在这个级别上，漏洞被利用并造成高水平的破坏或破坏，或者严重破坏或破坏的可能性很高。
举例：
-
存在对可能造成严重破坏的关键漏洞的利用。 -
一个严重的漏洞正在被利用，并产生了重大影响。 -
攻击者已获得受感染系统的管理权限。 -
有多种破坏性或破坏性病毒攻击。 -
针对关键基础设施服务的多次拒绝服务攻击。
采取措施：
-
继续以前级别的建议操作。 -
密切监控安全机制，包括防火墙、Web 日志文件、防病毒网关、系统日志文件等，以发现异常活动。 -
考虑限制或关闭与外部网络（如 Internet）的不太重要的连接。 -
考虑隔离任务关键性较低的内部网络，以遏制或限制事件的可能性。 -
考虑使用替代通信方法，例如电话、传真或无线电来代替电子邮件和其他形式的电子通信。 -
如果可用，请立即测试和实施补丁、防病毒更新等。
严重
表示存在黑客攻击、病毒或其他恶意活动的严重风险，从而导致广泛中断和/或对没有已知补救措施的系统造成重大破坏性损害，或削弱一个或多个关键基础设施部门。在这个级别上，漏洞被利用，对关键基础设施资产造成严重或广泛的破坏或破坏。
举例：
-
完全网络故障 -
关键任务应用程序故障 -
关键系统的管理控制受损或丧失 -
关键监控和数据采集 (SCADA) 系统丢失 -
潜在的或实际的生命损失或对国家健康或经济安全的重大影响
采取措施：
-
继续以前级别的建议操作。 -
关闭与 Internet 和外部业务合作伙伴的连接，直到采取适当的纠正措施。 -
隔离内部网络以遏制或限制损害或中断。 -
必要时使用电话、传真或无线电等替代通信方式来代替电子邮件和其他形式的电子通信。
总结
本文权当抛砖引玉，想写的还有很多很多。其实提到事件/告警的分级就应该提到事件分类，做这两件事情的目的是为了当企业真的发生安全事件时，大家可以根据不同的事件的类型去调取相关的内部、外部资源，根据不同的紧急度去判断所投入响应的人力、物力，以及采取相关活动的时间节点，做起事来不至于手忙脚乱。（事件分类和响应剧本 这块感觉又是一个大坑哈，有机会的话下次给大家分享讲讲）
原文始发于微信公众号（Giftia）：安全运营中的告警\事件定级
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论