Help Document

Correlatie begrijpen

Correlatie is het proces van het analyseren van verschillende gebeurtenissen die in een reeks plaatsvinden en het identificeren van de relatie daartussen. Het correleren van de gebeurtenissen in uw netwerk kan een betere context van het incident bieden die op individueel niveau over het hoofd zou zijn gezien.

Een enkele wachtwoordfout is bijvoorbeeld een normale gebeurtenis. Maar honderd mislukkingen gevolgd door een succesvolle login binnen een minuut kunnen duiden op een mogelijke inbreuk.

Correlatieregels in Log360 Cloud

Correlatieregels in Log360 Cloud is een expressie waarmee gebruikers de opeenvolgingen van gebeurtenissen kunnen definiëren die kunnen duiden op een anomalie of een maas in de beveiliging.

In de volgende afbeelding ziet u de parameters in een correlatieregel:

Correlatie begrijpen

Actie - Elke gebeurtenis die plaatsvindt in het netwerk. Bijvoorbeeld een mislukte aanmelding.

Tijdvenster tussen de acties - Geeft het tijdsverschil aan tussen de verschillende gebeurtenissen die in de logische volgorde zijn opgegeven.

Drempel - Het minimale aantal keren dat de actie binnen het opgegeven tijdsbestek moet plaatsvinden.

Filters - Hiermee kunnen gebruikers de voorwaarden voor elke actie opgeven. U kunt bijvoorbeeld het bereik van IP-adressen opnemen dat u in het netwerk moet bewaken

Aanbevelingen voor geoptimaliseerde configuratie van correlatieregels

  • Aangezien correlatie een geheugenintensief proces is, moet u ervoor zorgen dat u alleen regels maakt/inschakelt voor de belangrijkste gebruiksscenario's.
  • Als een regel veel valse positieven genereert, past u de regelparameters aan om ze te verminderen of helemaal te vermijden.
Opmerking: Een enkele regel kan maximaal 3 acties (of criteria) bevatten die elk 10000 keer per uur kunnen worden geëvalueerd. Log360 Cloud kan in totaal tot 10 actieve regels aan. Elke regel kan tot 5000 keer per dag worden geactiveerd.