Vous montez une supervision à partir de zéro. Quelles sources de journaux intégrez-vous en premier et pourquoi ?

Commencez par l'identité et le poste de travail, parce que la plupart des intrusions passent par les identifiants et l'exécution de processus. Intégrez d'abord les journaux d'annuaire et de connexion cloud, puis la télémétrie de poste avec la création de processus et les lignes de commande, puis le DNS et le proxy ou la sortie pare-feu, puis la sécurité de la messagerie, puis les journaux d'audit du plan de contrôle cloud. Séquencez par valeur de détection par unité de coût d'ingestion, et confirmez le parsing et la synchronisation d'horloge avant de passer à la suite.

Je séquence selon la part de la chaîne d'attaque que chaque source me montre par euro d'ingestion. L'identité d'abord : authentification d'annuaire plus journaux de connexion cloud, parce que l'abus d'identifiants touche presque toutes les intrusions et que ces journaux sont relativement petits. Le poste ensuite, précisément la création de processus avec les lignes de commande complètes, le processus parent et les connexions réseau, puisque c'est là que l'exécution et le déplacement latéral deviennent visibles. Troisième, la sortie, DNS plus proxy ou pare-feu, qui me donne le commande et contrôle et l'exfiltration. Quatrième, la messagerie, parce que c'est le point d'entrée le plus courant. Cinquième, la piste d'audit du plan de contrôle cloud, où vit la persistance cloud. Pour chacune, je ne la considère pas finie tant que le parseur ne mappe pas les champs correctement, que les horodatages ne sont pas en UTC et cohérents entre les sources, et qu'au moins une poignée de détections ne tourne pas dessus. Une source intégrée sans détection n'est qu'une facture de stockage, et j'en ai hérité quelques-unes.