Çalışma mantığı
Şema eşleştirme, zaman damgası ve kimlik ilişkilendirme tanımlanır. Yüksek hacim için sınırlama ve olay kaybı ölçümü gerekir. Hassas veri aktarılmamalıdır.
Uygulamada nasıl değerlendirilir?
RASP olayıyla aynı işlemdeki API reddini ilişkilendirin; yalnızca telefondan gelen alarm sayısını izlemekle kalmayın.
Sınırlar ve yaygın hatalar
Tek olayın farklı kanallarda iki kez sayılması saldırı hacmini abartabilir.
Kontrol listesi
- Ortak olay kimliği kullanın
- Saat farkını yönetin
- Tekrar kaydı ayıklayın
Karar verirken
SIEM tasarımını hangi araştırma sorusunu cevaplayacağına göre yapın.
Olay akışının kendi sağlığı
SIEM bağlantısının kurulması bütün olayların eksiksiz ulaştığı anlamına gelmez. Gecikme, tekrar ve kayıp ölçümleri bulunmalıdır. Şema uyumsuzluğu bazı alanları sessizce düşürebilir; örnek olaylar uçtan uca karşılaştırılır.
Mobil olay, oturum ve API kaydı ortak kimlikle ilişkilendirilir. Günlükte gereksiz hassas veri bulunmaması kontrol edilir. Hangi uyarının kime gideceği ve ilk inceleme adımı, bağlantı teknik olarak tamamlanmadan önce belirlenmelidir.
İlgili rehberler: Mobile RASP SOC çalışma yönergesi, RASP olay kanalının güvenliği.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.