proto.lib

SIEM: Correlation Rule biến log thành phát hiện

Log từ nhiều nguồn (auth, cloud trail, endpoint, network) được chuẩn hoá về một schema chung rồi một rule correlation ghép sự kiện qua các nguồn — đăng nhập từ quốc gia lạ rồi tải hàng loạt trong vài phút là một phát hiện, dù riêng lẻ mỗi nửa đều bình thường; mỗi rule được gắn với một kỹ thuật ATT&CK để lộ ra khoảng trống độ phủ.

SecurityTrung bình2026-08-21
SIEM: Correlation Rule biến log thành phát hiện

Tags

#siem#detection-engineering#correlation-rule#log-normalization#mitre-attack#false-positive-tuning

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Kiểm chứng Detection bằng Atomic Test

Một atomic test mô phỏng an toàn, có phạm vi nhỏ, cho một kỹ thuật ATT&CK cụ thể được chạy trong lab; toàn bộ pipeline được kiểm tra đầu-cuối — telemetry có thu thập, rule có bắn cảnh báo, alert có route đúng hàng đợi, và mất bao lâu — biến độ phủ detection từ một dòng khẳng định trên spreadsheet thành một con số đã đo được.

#atomic-red-team#detection-engineering#mitre-attack#purple-team
SecurityNâng cao

Phát hiện exfiltration qua DNS tunneling

Malware mã hoá dữ liệu đánh cắp vào nhãn subdomain rồi truy vấn một zone do kẻ tấn công kiểm soát; resolver vẫn ngoan ngoãn chuyển tiếp truy vấn đó ra ngoài dù mọi lối egress khác đã bị chặn — phát hiện dựa vào khối lượng subdomain lạ, entropy nhãn cao, tên dài, TTL thấp và domain mới đăng ký.

#dns-exfiltration#dns-tunneling#c2-channel#detection-engineering
SecurityCơ bản

Canary Token: bẫy gần như không báo động giả

Canary token là credential, tệp, tên DNS hoặc dòng dữ liệu giả mà không phần mềm hợp lệ nào từng đụng tới; chỉ cần nó bị dùng một lần là phát hiện gần như chắc chắn đúng, không cần correlation — ví dụ một canary AWS key bị gọi từ bất kỳ đâu nghĩa là source code hoặc bản dump chứa nó đã bị đánh cắp.

#canary-token#honeytoken#deception#honeypot