U-SERVER

Корреляция событий безопасности

Security Event Correlation
БезопасностьМониторингПродвинутый

Корреляция событий безопасности — анализ связанных записей из одного или нескольких источников для выявления общей цепочки действий, аномалии или признаков инцидента.

Корреляция событий безопасности — процесс сопоставления событий по времени, субъектам, адресам, хостам, идентификаторам сеансов и иным признакам для выявления связанной активности. Отдельные записи часто выглядят штатно, тогда как их последовательность или сочетание может указывать на атаку, ошибку конфигурации либо нарушение политики. Корреляционные правила используют временные окна, пороги, списки доверенных объектов, контекст активов и данные об угрозах. Качество результата зависит от полноты исходных журналов, нормализации полей, точности времени и корректной настройки правил: слишком широкие условия повышают число ложных срабатываний, а слишком узкие могут не выявить существенную активность. Метод применяется в системах мониторинга безопасности и при расследовании инцидентов. Он отличается от централизованного журналирования, которое прежде всего собирает и хранит записи, и от простого поиска по журналам: корреляция формирует вывод на основе связей между несколькими событиями.

Синонимы и варианты написания:

Корреляция ИБ-событий
Просмотров: 13

Где встречается

Статьи, в которых используется термин «Корреляция событий безопасности»

Связанные термины

AIDE(Advanced Intrusion Detection Environment)

AIDE — средство контроля целостности файлов Linux и Unix, сравнивающее текущее состояние файловой системы с заранее созданной доверенной базой атрибутов и хешей.

БезопасностьLinuxМониторинг

AMSI(Antimalware Scan Interface)

AMSI — интерфейс Windows, через который интегрированные приложения передают содержимое скриптов, макросов и другие данные зарегистрированному средству защиты для проверки.

БезопасностьWindowsМониторинг

Attack Surface Reduction(Attack surface reduction rules)

Правила Attack Surface Reduction (ASR) — набор правил Microsoft Defender Antivirus для Windows, блокирующих или аудирующих рискованные действия приложений, документов и сценариев.

БезопасностьWindowsМониторинг

EDR(Endpoint Detection and Response)

EDR — класс систем защиты конечных точек, которые собирают телеметрию, выявляют подозрительную активность и помогают расследовать и сдерживать инциденты.

БезопасностьМониторингУправление

IOC(Indicator of Compromise)

IOC — наблюдаемый технический признак возможной или подтверждённой компрометации: хеш файла, IP-адрес, домен, путь, ключ реестра или иной артефакт.

БезопасностьМониторингПродвинутый
Вернуться к глоссариюВсе термины на букву «К»