¿A qué llamamos Correlación de Eventos?

Inicialmente, correlación de eventos es la posibilidad de relacionar eventos entre sí, en pos de una finalidad específica. Muchas veces, sólo se menciona a la correlación como a una repetición de un mismo evento en el tiempo; o a la ejecución de una alerta, un aviso, o a una acción correctiva. Sin embargo, cuando con nuestros clientes hablamos de correlación surgen matices y es por eso que consideramos importante abordar este tema en profundidad

Las soluciones de Barcelona/04 disminuyen la complejidad de análisis y dan mayor precisión y confianza al proceso de inferencia, buscando la reacción proactiva e inmediata ante la aparición de cualquier evento relevante. Ante la existencia de gran volumen de eventos, hacer un análisis de los mismos puede ser muy complejo y a veces parece imposible en la práctica; pero mediante mecanismos que combinan eventos y reglas de comportamiento, se pueden deducir o inferir situaciones o casos de problemas a resolver. Para simplificar el análisis se han reducido aquí las necesidades de correlación de eventos a tres casos prácticos con los cuales nos enfrentamos habitualmente:

1 - Ocurrencias conocidas de eventos

Este tipo de correlación puede utilizar Filtrado de eventos y Enmascarado de eventos. El objetivo es que ante la generación de múltiples eventos que están asociados a un mismo “hecho”, sólo se destaque el que resulta de interés.

Ver ejemplo.

2 - Enriquecimiento de eventos

Este tipo de correlación se relaciona con la Mejora de eventos y permite agregar información relevante que originalmente no existe al evento, así como también la adaptación del mismo para su correcta interpretación.

Casos típicos encontrados:

Ver ejemplo.

3 - Posibilidades lógicas o patrones de relación

La aproximación por posibilidades lógicas plantea patrones de correlación generales (sin interesar qué evento es o de qué plataforma viene) y la idea es dar solución a ellos. Un patrón es la forma en que los eventos se correlacionan.

Los patrones con los que trabaja Barcelona/04 son los siguientes:

Ver ejemplo.

¿Qué correlaciones se ofrecen con VISUAL Message Center?

VISUAL Message Center, el producto insignia de Barcelona/04, ofrece soporte a las correlaciones en base a ocurrencias conocidas de eventos, en base al enriquecimiento de eventos y en base a posibilidades lógicas o patrones de relación.*

A continuación, algunos ejemplos:

Ocurrencias conocidas de eventos

La creación de un usuario en algunas plataformas genera múltiples eventos, pero todos ellos están asociados al mismo “hecho”. Aquí aplicaríamos tanto el enmascarado de eventos como el filtrado de eventos.

El procedimiento comenzaría por correlacionar los múltiples eventos e identificarlos como un solo hecho. Así se evitaría la tormenta de eventos irrelevantes o falsos positivos.

Enriquecimiento de eventos

Nuestros agentes de Seguridad están orientados y desarrollados para ofrecer una gran cantidad de correlaciones automáticas que generen información relevante, útil y afín a los requerimientos más solicitados por el mercado, con la finalidad de disminuir la complejidad, eliminar información irrelevante y enriquecer los eventos.

Ejemplos:

Traducciones
Traducción de todo tipo de códigos a información relevante, descripciones y errores, entre otros.

Adición de información, sugerencias y acciones a tomar
Adiciones de información tales como descripciones, sugerencias y acciones a tomar de acuerdo al evento generado.

Categorización de usuarios privilegiados
Categorización de usuarios, incluyendo privilegiados. Clasificación de archivos sensibles o confidenciales. Organización automática en categoría y sub-categoría. Aquí estamos aplicando las definiciones de enmascarado de eventos y filtrado de eventos.

Posibilidades lógicas o patrones de relación

A continuación se muestran diferentes patrones de relación con ejemplos asociados. Los ejemplos son instancias puntuales de esos patrones para ilustrar la presentación del caso, pero debe tenerse en cuenta que los patrones son genéricos y aplicables a cualquier clase de evento de monitorización.

Patrón I: Repetición de un mismo evento
Este patrón responde a los casos de eventos similares repetidos según algún criterio común. La acción más frecuente en este caso es la inferencia y la ejecución de una acción automática.

Por usuario: Login fallido repetido para un mismo usuario
En este caso se detecta que es el mismo usuario y se correlacionan las repeticiones en el mismo sistema.

Por estación de trabajo o IP: Login fallido repetido por estación de trabajo o IP
En este caso el criterio de correlación es la estación de trabajo. La inferencia es que alguien está probando con cuentas diferentes desde un mismo puesto de trabajo.

Aquí estamos aplicando la definición de filtrado de eventos, enmascarado de eventos y automatización de acciones.

Patrón II: Condicionalidad de eventos con intervalos de tiempo flexible
Ciertos eventos, si ocurren, deben guardar una condicionalidad pre-establecida. Si la condición no se cumple, generalmente se considera anormal y la acción más común es notificar. Por supuesto, no se obliga la ocurrencia de todos los eventos, sino solamente de los que sea necesario.

Un ejemplo habitual es el ingreso físico al lugar de trabajo relacionado con el login en la red. Existen diferentes opciones que se pueden plantear, como por ejemplo, que alguien ingrese a su empresa sin haber hecho login en la red. Pero SI lo hace, DEBE existir un registro de su entrada al edificio.

Aquí estamos aplicando la definición de filtrado de eventos, enmascarado de eventos, mejora de eventos y automatización de acciones.

Patrón III: Secuencialidad obligada con intervalos de tiempo fijos
A diferencia del caso anterior, a veces se necesita que los eventos ocurran en tiempos pre-establecidos relativos entre sí y en forma obligatoria. La ausencia de uno de ellos es problemática.

Un ejemplo claro en este caso sería el de un mensaje que debe ser atendido o respondido en un intervalo de tiempo x. Si apareciera un evento que requiere intervención de una persona, y no se detectara el evento de respuesta o atención en un tiempo establecido, deberá escalarse o tomar una acción específica.

Aquí estamos aplicando la definición de filtrado de eventos, enmascarado de eventos, mejora de eventos y automatización de acciones.

Patrón IV: Secuencialidad posible con intervalos de tiempo fijos
En este patrón se plantea el caso de eventos que no están condicionados entre sí pero que, sin embargo, si se presentan en una secuencia específica en un intervalo de tiempo, puede inferirse algo.

Un ejemplo de esto es la creación de un usuario, obtención de permisos especiales y posteriormente el acceso al sistema. Si estos eventos ocurren en tiempos muy lejanos o en una secuencia diferente, puede no haber interés en relacionarlos. Pero si se dan secuencialmente y en un lapso de tiempo corto, se puede inferir una actividad sospechosa que debe ser alertada o notificada.

Aquí estamos aplicando la definición de filtrado de eventos, enmascarado de eventos, mejora de eventos y automatización de acciones.

Patrón V: Jerarquización de eventos o causa raíz
En este caso se relacionan los eventos para jerarquizarlos entre sí, reducir complejidad e inferir la causa raíz de un problema.

Tomemos como ejemplo la existencia de una aplicación ACME, que tiene su esquema de permisos basados en un perfil de grupo. Se plantea un caso en el que se puede detectar cuál es la real causa de una serie de eventos que se van a recibir. Si, por ejemplo, se da que alguien le quita atributos especiales necesarios al perfil de grupo de la aplicación en cuestión, seguramente esta aplicación dejará de funcionar.

Cuando el usuario ingrese a la aplicación seguramente recibirá un error de la aplicación, o un error de permiso a algún archivo de la aplicación por parte del sistema operativo.

Lo interesante en este ejemplo es poder asociar que la quita de un atributo especial a un perfil de grupo es la causa raíz de esta serie de eventos asociados.

Aquí estamos aplicando la definición de filtrado de eventos, enmascarado de eventos, mejora de eventos, análisis de Causa/Raíz y automatización de acciones.

* Además, puede ajustarse a otros tipos de correlaciones que Ud. conozca y no estén aquí mencionadas.