How can you optimize your SIEM system to reduce false positives and negatives?

Refining detection rules and tuning correlation logic are the two most important steps you can take to reduce overall false positives. Refining Detection Rules involves reviewing and refining existing rules to ensure they are tailored to your organization's specific security requirements and threat landscape. Additionally, regularly updating detection rules based on emerging threats, industry trends, and changes in your IT environment is crucial. Tuning Correlation Logic entails fine-tuning correlation rules to reduce the occurrence of false positives by adjusting thresholds, time windows, and other parameters.

-Suivre les échecs d authentification des équipements -suivre l évolution du nombre de log, du nombre de log error et warning -compter les hit de log de failed ...

Frameworks wie MITRE ATT&CK und SIGMAHQ sind als de facto Standards in der IT-Security anerkannt und sind wichtige Instrumente bei der Entwicklung des SIEM Regeln. Zur überprüfung der Regeln helfen auch Testskripte, wie z.B. das Atomic Red Team Repository. Zus?tzlich k?nnen auch Open Source Intelligence Feeds wie z.B. Threathfox dazu beitragen, Firewall, DNS und Proxy Alarme zu optimieren bzw. darüber den Threat Score oder die Severity eines Events zu erh?hen.

Das Feintuning des Regelwerks ist ein kontinuierlicher Prozess. Threat Intelligence Reports, Frameworks wie MITRE ATT&CK und die individuellen Gegebenheiten der eigenen Infrastruktur sollten immer wieder geprüft werden und in das Regelwerk einfliessen.

Au cas par cas voir avec les constructeur et éditeur les log pertinent à suivre par thématiques cyber, performances, résilience...

In erster Linie sollte die Qualit?t der Logdaten geprüft werden, denn wenn die Logging Richtlinien auf den Datenquellen nicht entsprechend angepasst sind, k?nnen wichtige Daten verloren gehen. Zus?tzlich muss sichergestellt werden, dass Security Devices, wie z.B. Endpoint Protection (AV, EDR, etc.) Proxy, DNS Security, IDS, ...) korrekt konfiguriert und die Signaturen regelm??ig gepflegt und an die Anforderungen angepasst werden.

Fine-tuning configurations, adopting best practices, and utilizing advanced capabilities are key elements in the optimization of a Security Information and Event Management (SIEM) system to minimize both false positives and negatives. Here are some suggested approaches: Modify rule thresholds to decrease sensitivity and prevent the triggering of alerts for harmless activities Customize existing rules or craft new ones to align more effectively with the unique environment and threat landscape of your organization. Standardize and correlate data to recognize patterns and connections, thereby decreasing the probability of false positives. Integrate SIEM with incident response tools to validate findings

Threat Intelligence Feeds (OSINT) sollten angereichert werden, um aus Daten Informationen zu gewinnen. Zus?tzliche forensische Ma?nahmen oder auch Ausführung von Dateien in einer Sandbox lassen sich sehr gut automatisieren. Zus?tzlich kann die Automatisierung auch zur Mitigation beitragen, um gr??eren Schaden zu verhindern. Beim Berichtswesen spielt die Automatisierung ebenfalls eine wichtige Rolle, um konsistente und vergleichbare Ergebnisse zu erzielen.

Ohne Automatisierung l?sst sich die gro?e Anzahl an Logs und Alarmen nicht wirklich in den Griff bekommen. Wichtig ist es hier sicher zu gehen dass man immer wiederkehrende Aufgaben automatisiert. Hier reichen oftmals schon kleine Hilfsmittel um die Arbeit zu unterstützen. Was man nicht versuchen sollte ist Analysten an sich zu automatisieren. Automatisierung soll den Analysten bestm?glich unterstützen und nicht ersetzen.

Die Analysten sind die Hauptnutzer des SIEM Systems und da der Faktor Zeit im Security Umfeld ein wichtiger ist, muss der Umgang mit dem System in Fleisch und Blut übergegangen sein. Somit ist das Training ein essentieller Punkt. Hierfür sind vordefinierte und detaillierte Playbooks, die immer wieder trainiert werden eine gute M?glichkeit.

SIEM sind hochkomplexe Systeme. Einige L?sungen lassen sich zwar ziemlich einfach installieren, reichen dann aber nur für Testzwecke. Im Enterprise Umfeld müssen solche Systeme skalieren und teilweise hochverfügbar geplant werden. Bei der Erstellung der SIEM Regeln kann eine einzige Regel dazu führen, dass es Performance Problemen kommt und dadurch die Detektion beeintr?chtigt wird bzw. das Einlesen der Logdaten verz?gert oder sogar ausf?llt. Ein SIEM ist definitiv nicht für Anf?nger.

Establish a baseline by identifying different types of network traffic and the expected amount of network traffic. Ensure rules are tailored to alert on specific traffic and/or minimize the amount of rules used for the system to mitigate false positives. Ensure staff is properly trained to handle adverse events and know the proper reporting protocols/standard operating procedures. This may include conducting training sessions for employees to appropriately identify normal events vs. abnormal events, exercises, knowing important POC's for the company, and knowing the necessary steps to resolve the event.

Die Einführung eines SIEM Systems sollte nicht nur auf Basis von Datenbl?ttern erfolgen, denn da gibt es nicht allzu viele Unterschiede. Auch die Benutzerfreundlichkeit spielt eine sehr wichtige Rolle, da die Analysten und Administratoren t?glich am und mit dem System arbeiten müssen. Es sollte auch auf eine sehr gute SOAR Integration geachtet werden, die sich nahtlos in die SIEM Oberfl?che und das Benutzer- und Rollenkonzept integriert.

Ein SIEM System ist nie fertig. Es muss kontinuierlich weiterentwickelt, feinjustiert und vor allem getestet werden. Für das Testen bieten sich Tools wie Atomic Red Team an, um mit Hilfe des MITRE ATT&CK Frameworks eventuelle Lücken in der Detektion von TTPs zu erkennen und die Lücken dann natürlich auch zu schlie?en. Hierbei ist es wichtig relevante TTPs durch die Analyse des eigenen Bedrohungsrisikos herauszuarbeiten und diese dann priorisiert zu behandeln. Eine weitere überlegung ist die Nutzung des SIEMs für Threat Hunting, also dem proaktiven Analysieren von Logs nach gewissen Auff?lligkeiten oder Mustern. Dadurch k?nnen eventuelle Bedrohungen frühzeitig identifiziert und mitigiert werden.

Durch Abschaltung des SIEM Systems kann man ma?geblich dazu beitragen, dass die Anzahl der Fehlalarme reduziert wird. Durch konsequentes Umsetzen einer "Wir haben kein SIEM"-Strategie k?nnen auftretende Warnungen bereits frühzeitig umgangen werden - dies entlastet das Servicepersonal.