|
|
Nástroj pro vizualizaci a analýzu korelačních pravidel SIEM nasazených v kyberprostoru
Závišková, Hana ; Říha, Kamil (oponent) ; Safonov, Yehor (vedoucí práce)
Ve světě neustále se vyvíjejících moderních technologií roste potřeba vytváření kybernetických bezpečnostních strategií pro ochranu digitálních infrastruktur, neboť se rapidně zvyšují počty kybernetických útoků. Hlavním cílem bakalářské práce je vytvořit nástroj pro vizualizaci korelačních pravidel systémů SIEM. Nástroj je realizován formou rozšíření existující webové aplikace a klade si za cíl umožnit bezpečnostnímu expertovi či uživateli aplikace zkoumat uživatelská Sigma pravidla podle různých kritérií a na základě různých pohledů. Z teoretického hlediska se bakalářská práce zaměřuje na seznámení čtenáře se základy kybernetické bezpečnosti z hlediska motivace zajišťování bezpečnosti, vysvětlení základních pojmů nezbytných pro pochopení obsahu práce a rozbor perspektiv, jakými způsoby lze na kybernetické útoky nahlížet. Obsahuje také popis vybraných kybernetických útoků, jejichž výběr vychází z vypracovaných statistik provedených kybernetických útoků na Českou republiku za období prvních třech kvartálů roku 2023. Následuje vysvětlení principu detekce a prevence vzniku kybernetických incidentů, technologií pro zajištění ochrany v kyberprostoru včetně problematiky zdrojů logů a platforem pro zjišťování informací o hrozbách a principů vyšetřování kybernetických incidentů. Následuje úvod do problematiky právní úpravy kybernetické bezpečnosti včetně popisu doporučení organizace ENISA. Praktická část bakalářské práce je dále rozdělena na čtyři kapitoly. V první části byla provedena analýza dostupných webových frameworků, které mohou být použity v rámci vývoje aplikace, a analýza způsobů vizualizace pravidel použitých ve dvou moderních SIEM řešeních. Druhá fáze se věnuje návrhu různých pohledů, pomocí nichž lze zajistit příjemné, intuitivní a interaktivní prostředí pro zobrazení uživatelských pravidel. Součást vizualizačních návrhů tvoří komponenty dostupné v knihovně D3.js a práce s maticí MITRE ATT&CK. Druhá fáze také zahrnuje vytvoření struktury pro rozložení prvků ve webové aplikaci. Třetí fáze je orientována na přiblížení samotné implementace vhodných zobrazení, které vyplývají z analýzy provedené ve druhé fázi. Zahrnuje také popis experimentálního prostředí, v němž byla aplikace vyvíjena, a způsob získání dat. Poslední fáze je zaměřena na testování vizuální části aplikace z pohledu uživatele. Celou práci zakončuje závěr, v němž jsou shrnuty výsledky bakalářské práce, kterých bylo dosaženo, a návrhy na vylepšení aplikace do budoucna.
|
|
|
Tool for generalizing automated SOAR scenarios for cybersecurity knowledge sharing
Ištoňová, Miriam ; Dobiáš, Patrik (oponent) ; Safonov, Yehor (vedoucí práce)
Today’s era could be defined as quantity, speed and possibilities. Security monitoring centers have responded to the challenge of an unrelenting amount of information with monitoring and categorization tools such as SIEM. However, in case of incidents themselves, the speed and automation of response is offered by an advanced SOAR solution. Like any technology, SOAR offered by different companies also contributes to the variety of individual response scenario structures and formats, bringing the clear challenge of simplification, collaboration and generalization. Therefore, the bachelor thesis focuses on the implementation of a conversion tool, with the goal of unifying and generalizing the format of automated SOAR scenarios using the evolving CACAO playbook standard. The main benefit of the tool is the ability to unify the use of SOAR scenarios, ensure successful conversion and thus facilitate knowledge sharing in the field of cybersecurity. The theoretical part of this thesis focuses on the current issue of security monitoring, explains the importance of automation within incident response and offers a detailed analysis and comparison of available technologies and formats of automated incident response playbooks. The practical part is closely related and depends on the results of the analysis. It focuses on the selection and design of a suitable format for the description of the individual automatic response scenarios as well as the following final implementation of the conversion tool itself.
|
|
| |
|
|
Automated network for deceiving attackers through illusory assets in cyberspace
Maťaš, Matúš ; Lieskovan, Tomáš (oponent) ; Safonov, Yehor (vedoucí práce)
The bachelor thesis deals with the design of a fake network to deceive attackers using SIEM to monitor network activity and SOAR to create scenarios with automatic countermeasures. The theoretical part of the thesis is describes the principles of attacker deception technologies, security monitoring and automated responses to security incidents. The practical part provides a detailed analysis of available tools for deceiving attackers. Subsequently, the design of a fake network is created with the use of virtual devices. The network incorporates a SIEM system for device monitoring and centralized log collection, and a SOAR system for creating scenarios with automatic countermeasures in the case of a security incident. The practical result of this work is the creation of a real network to deceive attackers with fake devices and the combination of advanced SIEM and SOAR solutions. Several attacks have been designed and simulated within this constructed network. Automated countermeasures have subsequently been created to respond to them.
|
|
|
Webová aplikace integrující techniky umělé inteligence do procesu tvorby korelačních pravidel
Šibor, Martin ; Caha, Tomáš (oponent) ; Safonov, Yehor (vedoucí práce)
V současné době, kdy se digitalizace stává neodmyslitelnou součástí všech oblastní našich životů, se neustále zvyšuje komplexnost a sofistikovanost kybernetických hrozeb. Klíčovým prvkem v boji proti těmto kybernetickým hrozbám je bezpečnostní monitoring. Důležitým nástrojem bezpečnostního monitoringu jsou systémy SIEM, které umožňují včasnou detekci a reakci na potenciální útoky na základě korelačních pravidel. Hlavním přínosem této práce je návrh a implementace webové aplikace, která integruje techniky umělé inteligence do procesu tvorby a správy korelačních pravidel pro systémy bezpečnostních monitoringů s cílem zefektivnit proces tvorby, úprav a pochopení korelačních pravidel. Práce se nejdříve věnuje teoretickému úvodu do oblasti zpracování přirozeného jazyka a moderních neuronových sítí, zejména architektury transformers, která je základem generativních modelů umělé inteligence (např. ChatGPT, Gemini). Dále jsou představeny principy bezpečnostního monitoringu, systémů pro zpracování záznamů událostí, koncept generalizace korelačních pravidel a v neposlední řadě výzvy spojené se správou a udržováním korelačních pravidel, které integrace umělé inteligence do těchto procesů výrazně odbourává. Praktická část práce popisuje návrh a implementaci webové aplikace, která využívá modely gpt-4 a gpt-3.5-turbo od společnosti OpenAI a model Gemini Ultra 1.0 od společnosti Google pro tvorbu nových korelačních pravidel, úpravu existujících pravidel a jejich vysvětlením a interpretací pro snazší pochopení a rychlejší nasazení. Aplikace je navržena s ohledem na uživatelskou přívětivost a efektivitu. Výsledky práce ukazují, že integrace umělé inteligence do procesu tvorby korelačních pravidel přináší významné zlepšení efektivity. Webová aplikace umožňuje uživatelům snadno vytvářet a upravovat korelační pravidla. Aplikace také umožňuje uživatelům lépe porozumět korelačním pravidlům a umožňuje jim takto rychleji reagovat na potenciální hrozby.
|
|
|
Advanced Web-based Tool for Managing Security Correlation Rules and Cybersecurity Responses
Hemza, Martin ; Firc, Anton (oponent) ; Malinka, Kamil (vedoucí práce)
The aim of this bachelor thesis is to develop an advanced web-based tool for managing security correlation rules and cybersecurity responses, focusing on SIEM and SOAR technologies. The reason for this thesis is the lack of a standardized resource format for these technologies. As part of this work, these formats were found and a web tool was created to manage and design them. The interface for managing SOAR scenarios includes a visualization in the form of a decision tree. The application uses a microservices architecture with integration of the Git versioning system. Testing included a description of an attack and the use of the developed tool. The created tool allows security analysts to quickly design and manage resources for detecting and responding to security threats.
|
|
|
Application for collecting security event logs from computer infrastructure
Žernovič, Michal ; Dobiáš, Patrik (oponent) ; Safonov, Yehor (vedoucí práce)
Computer infrastructure runs the world today, so it is necessary to ensure its security, and to prevent or detect cyber attacks. One of the key security activities is the collection and analysis of logs generated across the network. The goal of this bachelor thesis was to create an interface that can connect a neural network to itself to apply deep learning techniques. Embedding artificial intelligence into the logging process brings many benefits, such as log correlation, anonymization of logs to protect sensitive data, or log filtering for optimization a SIEM solution license. The main contribution is the creation of a platform that allows the neural network to enrich the logging process and thus increase the overall security of the network. The interface acts as an intermediary step to allow the neural network to receive logs. In the theoretical part, the thesis describes log files, their most common formats, standards and protocols, and the processing of log files. It also focuses on the working principles of SIEM platforms and an overview of current solutions. It further describes neural networks, especially those designed for natural language processing. In the practical part, the thesis explores possible solution paths and describes their advantages and disadvantages. It also analyzes popular log collectors (Fluentd, Logstash, NXLog) from aspects such as system load, configuration method, supported operating systems, or supported input log formats. Based on the analysis of the solutions and log collectors, an approach to application development was chosen. The interface was created based on the concept of a REST API that works in multiple modes. After receiving the records from the log collector, the application allows saving and sorting the records by origin and offers the user the possibility to specify the number of records that will be saved to the file. The collected logs can be used to train the neural network. In another mode, the interface forwards the logs directly to the AI model. The ingestion and prediction of the neural network are done using threads. The interface has been connected to five sources in an experimental network.
|
|
|
Návrh metodiky hodnocení efektivity systému SIEM v organizaci
Kosková, Zdeňka ; Lukáš,, KUBÍK (oponent) ; Ondrák, Viktor (vedoucí práce)
V bakalářské práci je řešena problematika hodnocení efektivity systému SIEM v průmyslovém prostředí. Jejím cílem je navržení metodiky, která pro hodnocení využívá matici MITRE ATT&CK for ICS. V práci jsou analyzována již existující řešení a jejich možná aplikace. Dále je popsáno hodnocení monitoringu v energetické společnosti, které společně s maticí tvoří základ návrhu vlastního řešení. Výsledkem práce je návrh kvantitativního hodnocení jednotlivých technik matice, jeho grafická interpretace a možnost bezpečného sdílení výsledků s ostatními CERT týmy.
|
|
|
Vývoj korelačních pravidel pro detekci kybernetických útoků
Dzadíková, Slavomíra ; Safonov, Yehor (oponent) ; Martinásek, Zdeněk (vedoucí práce)
Diplomová práca sa zaoberá problematikou efektívneho spracovávania logových záznamov a ich následnou analýzou pomocou korelačných pravidiel. Cieľom práce bolo implementovať spracovávanie logových záznamov do štruktúrovanej podoby, extrahovať jednotlivé polia záznamu pomocou modelu pre spracovanie prirodzeného jazyka riešením úlohy zodpovedania otázok, a vyvinúť korelačné pravidlá pre detekciu škodlivého správania. Počas riešenia zadania boli vyhotovené dve dátové sády, jedna so záznamami zo zariadení Windows, druhá obsahuje záznamy z firewallu Fortigate. Vytvorené modely na báze predtrénovaných modelov s architektúrou BERT a XLNet, ktoré boli doučené na riešenie problému parsovania logov pomocou vyhotovených datasetov a ich výsledky boli analyzované a porovnané. Druhá čásť diplomovej práce bola venovaná vývoju korelačných pravidiel, kde bol skúmaný koncept obecného zápisu Sigma. Bolo vytvorených a úspešne otestovaných šesť pravidiel, ktoré boli nasadené vo vlastnom experimentálnom pracovisku v systéme Elastic Stack, pričom každé pravidlo je popísané taktikami, technikami a subtechnikami frameworku MITRE ATT&CK.
|
|
| |
host ::
RSS.