Cyber Security: Аутентификация

Описание

Раздел Аутентификация предназначен для мониторинга событий авторизации и аутентификации на хостах, в приложениях и при удаленных соединениях.

Отображаемые данные

• количество попыток аутентификации
• топ пользователей по попыткам аутентификации
• топ хостов и источников аутентификации, а также источники с попытками аутентификации нескольких пользователей
• статистика по событиям аутентификации с детализацией по пользователям
• статистика по событиям аутентификации с детализацией по источникам

Список дашбордов

Раздел содержит три дашборда с разным уровнем детализации: от общей картины по всей инфраструктуре до профиля конкретного пользователя или источника.

Аутентификация: Общие сведения

Дашборд предназначен для обзора аутентификации в инфраструктуре в целом за выбранный период, без привязки к конкретному пользователю или источнику.

• метрики за период: количество уникальных пользователей и источников, успешных и неуспешных попыток аутентификации

• графики успешных и неуспешных попыток аутентификации во времени

• топ-20 пользователей с успешными и неуспешными попытками аутентификации

• топ-20 хостов и топ-20 источников аутентификации по числу попыток, а также таблица Источники с несколькими пользователями — помогают выявить источники, с которых аутентифицируется необычно большое число разных учетных записей, что может указывать на компрометацию источника

Аутентификация: Профиль пользователя

Дашборд показывает данные, отфильтрованные по пользователю (параметр Пользователь, поле user.name). При расследовании инцидента он позволяет просмотреть историю аутентификации учетной записи: источники, узлы назначения и результаты входа. Дополнительные фильтры позволяют сузить выборку по статусу (event.outcome) и источнику события (event.provider), а также исключить служебные учетные записи (например, СИСТЕМА, SYSTEM и машинные учетные записи вида *$).

• Статусы событий аутентификации и Типы событий аутентификации — динамика успешных/неуспешных попыток и распределение событий по типам действий (event.action) для выбранного пользователя

• События с разбивкой по назначению и События с разбивкой по информационной системе — динамика событий пользователя в разрезе узла назначения (destination) и источника данных (event.provider)

• Детальная статистика (последние 20000 событий) — таблица событий пользователя с указанием источника (source.ip), назначения, источника данных, результата и типа действия. По умолчанию (фильтр Пользователь = *) отображаются события всех пользователей; при выборе конкретного пользователя — только его события

Аутентификация: Профиль источников

Дашборд показывает данные по выбранному источнику аутентификации (параметр Источник, поля source.ip и source.address) — узлу, с которого выполнялись попытки входа. Он помогает определить, кто и как часто проходил аутентификацию с этого источника и может ли источник быть связан с компрометацией нескольких учетных записей.

• Статусы событий аутентификации и Типы событий аутентификации — динамика успешных/неуспешных попыток и распределение событий по типам действий для выбранного источника

• События с разбивкой по назначению и События с разбивкой по информационной системе — на какие узлы (destination) и через какие источники данных (event.provider) шла аутентификация с этого источника

• Детальная статистика (последние 20000 событий) — таблица аутентификаций, сгруппированных по источнику запроса, пользователю, назначению, информационной системе, результату и типу действия. По умолчанию (фильтр Источник = *) отображаются все источники; при выборе конкретного источника — только его события

Навигация между дашбордами

Из таблицы Детальная статистика дашборда Профиль источников можно перейти к дашборду Профиль пользователя, отфильтрованному по пользователю из выбранной строки. Аналогично из таблицы Детальная статистика дашборда Профиль пользователя можно перейти к дашборду Профиль источников, отфильтрованному по источнику (source.ip) из выбранной строки.

---

Модель данных

В разделе используются перечисленные ниже поля источников данных. Алиас: sm_cs_auth_indexes.

Поля категоризации

Имя поля	Значение
event.kind	event
event.category	authentication
event.type	start | end | info
event.outcome	success | failure | unknown
event.action	Из исходного события

Поля общего назначения

Пользователь user

Имя поля	Значение
user.name	Имя пользователя или ID
user.effective.name	Имя пользователя или ID для событий с эскалацией прав
user.effective.id	ID пользователя для событий с эскалацией прав в *nix-системах

Источник source

Источник запроса на аутентификацию.

Имя поля	Значение
source.address	Адрес источника запроса на аутентификацию (имя или IP-адрес)
source.ip	IP-адрес источника запроса на аутентификацию
source.domain	Имя (hostname или FQDN) источника запроса на аутентификацию

Назначение destination

Место, в котором выполняется аутентификация (при локальной аутентификации совпадает с источником).

Имя поля	Значение
destination.address	Адрес назначения аутентификации (имя или IP-адрес)
destination.ip	IP-адрес назначения аутентификации
destination.domain	Имя (hostname или FQDN) назначения аутентификации

Справочники

В таблице приведены справочники, используемые разделом.

Название	Поля	Описание
sm_cs_auth_default_users_lookup	user.name is_default	Справочник значений имен пользователей по умолчанию
sm_cs_auth_privileged_users_lookup	user.name is_privileged	Справочник значений имен привилегированных пользователей

---

Примеры источников

• Windows Security Log
• Linux Auditd Log
• Cisco ASA