کیفیت داده در شکار تهدید؛ پوشش، نگهداشت و نقاط کور

مفاهیم پایه کیفیت داده در شکار تهدید

کیفیت داده در شکار تهدید به میزان صحت، کامل بودن و قابلیت اتکای اطلاعاتی اشاره دارد که از منابع مختلف جمع‌آوری می‌شود. این کیفیت به سه مؤلفه اصلی وابسته است: پوشش (Coverage)، نگهداشت (Retention) و نقاط کور (Blind Spots). پوشش به دامنه و تنوع داده‌هایی گفته می‌شود که از منابع مختلف مانند لاگ‌های سیستم‌عامل، شبکه، برنامه‌های کاربردی و سرویس‌های ابری جمع‌آوری می‌شود. نگهداشت به مدت زمانی اشاره دارد که داده‌ها برای تحلیل در دسترس هستند و نقاط کور به شکاف‌هایی در جمع‌آوری داده گفته می‌شود که ممکن است فعالیت‌های مشکوک از دید تحلیلگر پنهان بماند.

چارچوب MITRE ATT&CK با معرفی «منابع داده» (Data Sources) و «مؤلفه‌های داده» (Data Components) چارچوبی ساختاریافته برای ارزیابی کیفیت داده فراهم می‌کند. منابع داده موضوعات کلی اطلاعاتی هستند که توسط سنسورها یا لاگ‌ها قابل جمع‌آوری‌اند؛ مانند «فایل»، «فرایند»، «ترافیک شبکه» یا «سرویس ابری». مؤلفه‌های داده ویژگی‌ها یا مقادیر خاصی از یک منبع داده را مشخص می‌کنند که برای شناسایی یک تکنیک یا زیرتکنیک خاص در ATT&CK مرتبط هستند. به عنوان مثال، منبع داده «پایگاه داده» ممکن است مؤلفه‌هایی مانند «دسترسی به شیء» یا «ایجاد شیء» داشته باشد که هر کدام برای تشخیص رفتارهای خاصی کاربرد دارند.

درک این مفاهیم به تیم‌های امنیتی کمک می‌کند تا شکاف‌های داده‌ای خود را شناسایی کنند. برای مثال، اگر یک سازمان تنها لاگ‌های احراز هویت را جمع‌آوری کند اما لاگ‌های مربوط به دسترسی به فایل را نداشته باشد، ممکن است در تشخیص تکنیک‌هایی که از دسترسی به فایل استفاده می‌کنند دچار نقاط کور شود. همچنین، نگهداشت کوتاه‌مدت داده‌ها می‌تواند تحلیل رویدادهای گذشته را محدود کند و پوشش ناقص ممکن است منجر به از دست رفتن فعالیت‌های مشکوک در بخش‌هایی از زیرساخت شود. بنابراین، ارزیابی کیفیت داده باید به صورت مستمر انجام شود تا اطمینان حاصل شود که داده‌های جمع‌آوری‌شده با نیازهای شناسایی تهدید هماهنگ هستند.

توجه به این نکته ضروری است که منابع داده در ATT&CK از نسخه ۱۸ (اکتبر ۲۰۲۵) منسوخ شده‌اند و دیگر منابع جدیدی به چارچوب اضافه نخواهد شد. با این حال، این صفحه همچنان به عنوان مرجع باقی مانده است و مفاهیم آن برای درک کیفیت داده مفید است. تیم‌های امنیتی باید از این مفاهیم به عنوان پایه‌ای برای ارزیابی داده‌های خود استفاده کنند و در عین حال به تحولات آینده در چارچوب‌های شناسایی توجه داشته باشند.

• پوشش (Coverage): دامنه و تنوع داده‌های جمع‌آوری‌شده از منابع مختلف.
• نگهداشت (Retention): مدت زمانی که داده‌ها برای تحلیل در دسترس هستند.
• نقاط کور (Blind Spots): شکاف‌هایی در جمع‌آوری داده که ممکن است فعالیت‌های مشکوک را پنهان کنند.
• منابع داده (Data Sources): موضوعات کلی اطلاعاتی که توسط سنسورها یا لاگ‌ها قابل جمع‌آوری هستند.
• مؤلفه‌های داده (Data Components): ویژگی‌ها یا مقادیر خاص یک منبع داده که برای شناسایی تکنیک‌ها مرتبط هستند.

شواهد و تله‌متری: منابع داده و مؤلفه‌های داده

در فرآیند شکار تهدید، کیفیت داده‌ها نقشی تعیین‌کننده در موفقیت تحلیل دارد. داده‌های جمع‌آوری‌شده از منابع مختلف، به‌عنوان شواهد دیجیتال، امکان بازسازی زنجیره رویدادها و شناسایی رفتارهای مشکوک را فراهم می‌کنند. در این راستا، چارچوب MITRE ATT&CK فهرستی از منابع داده و مؤلفه‌های داده را ارائه می‌دهد که هر کدام می‌توانند بخشی از تصویر عملیاتی یک تهدید را روشن کنند. این منابع و مؤلفه‌ها، به‌عنوان نقاط مرجع برای تیم‌های دفاعی، کمک می‌کنند تا مشخص شود چه نوع تله‌متری برای پوشش تکنیک‌های خاص لازم است.

منابع داده‌ای که در این چارچوب معرفی شده‌اند، شامل مواردی مانند Active Directory، File، Network Traffic و دیگر موارد هستند. برای مثال، منبع داده Active Directory به رویدادهای مرتبط با مدیریت دسترسی‌ها و اشیاء در دامنه اشاره دارد. منبع داده File نیز به رویدادهای مربوط به ایجاد، تغییر یا حذف فایل‌ها در سیستم‌ها اشاره می‌کند. منبع داده Network Traffic نیز به جریان ارتباطات شبکه‌ای و محتوای آن‌ها می‌پردازد. هر یک از این منابع، بسته به نوع تهدید و تکنیک موردنظر، می‌توانند شواهد کلیدی را در اختیار تحلیلگر قرار دهند.

مؤلفه‌های داده، جزئیات دقیق‌تری از یک منبع داده را مشخص می‌کنند. به‌عنوان مثال، مؤلفه Active Directory Object Access به رویدادهای دسترسی به اشیاء Active Directory مانند کاربران، گروه‌ها و سیاست‌ها اشاره دارد. این مؤلفه می‌تواند برای شناسایی تلاش‌های جستجوی غیرعادی یا دسترسی به اشیاء حساس مورد استفاده قرار گیرد. همچنین مؤلفه‌هایی مانند Active Directory Object Creation و Active Directory Object Modification به ترتیب به ایجاد و تغییر اشیاء در Active Directory اشاره دارند که برای شناسایی فعالیت‌های مخرب مانند ایجاد حساب‌های کاربری جعلی یا تغییر گروه‌های امنیتی مفید هستند. درک این مؤلفه‌ها به تیم دفاعی کمک می‌کند تا بداند چه رویدادهایی را باید در لاگ‌ها جستجو کند.

در طراحی یک سیستم شکار تهدید، انتخاب منابع داده و مؤلفه‌های مرتبط باید بر اساس تکنیک‌های موردنظر و محیط عملیاتی انجام شود. به‌عنوان مثال، برای پوشش تکنیک‌های مرتبط با جستجوی اطلاعات در Active Directory، مؤلفه Active Directory Object Access می‌تواند نقطه شروع مناسبی باشد. با این حال، باید توجه داشت که صرف وجود داده‌ها کافی نیست؛ بلکه کیفیت داده‌ها، پوشش زمانی و مکانی آن‌ها و نیز امکان تشخیص سیگنال‌های ضعیف در میان نویز، از عوامل کلیدی در موفقیت شکار تهدید است. بنابراین، تیم‌های دفاعی باید به‌طور مستمر کیفیت داده‌های جمع‌آوری‌شده را ارزیابی و در صورت نیاز، منابع جدید را به زیرساخت تله‌متری اضافه کنند.

در این بخش، فهرست منابع داده و مؤلفه‌های داده صرفاً به موارد ذکرشده در صفحات MITRE Data Sources و Data Components محدود می‌شود. این محدودیت به این دلیل است که چارچوب MITRE به‌عنوان یک مرجع استاندارد، تعریف دقیقی از این مفاهیم ارائه می‌دهد و استفاده از منابع داده خارج از آن ممکن است منجر به سردرگمی یا ناسازگاری در تحلیل‌ها شود. بنابراین، تحلیلگران باید هنگام طراحی سناریوهای شکار تهدید، از این فهرست به‌عنوان پایه استفاده کنند و در صورت نیاز به داده‌های تکمیلی، آن‌ها را به‌عنوان مکمل در نظر بگیرند، نه جایگزین.

• منابع داده اصلی شامل Active Directory، File، Network Traffic و سایر موارد ذکرشده در MITRE است.
• مؤلفه‌های داده مانند Active Directory Object Access، Active Directory Object Creation و Active Directory Object Modification برای پوشش تکنیک‌های مرتبط با AD مفید هستند.
• کیفیت داده‌ها به پوشش، دقت و قابلیت اطمینان آن‌ها بستگی دارد و باید به‌طور مستمر ارزیابی شود.

گردش کار شکار تهدید مبتنی بر کیفیت داده

شکار تهدید مؤثر، پیش از هر چیز به داده‌های باکیفیت وابسته است. کیفیت داده در این زمینه به معنای وجود پوشش کافی از رویدادهای مرتبط با تکنیک‌های شناخته‌شده، نگهداری مناسب آن‌ها در بازه زمانی مورد نیاز، و شناسایی شکاف‌های پوشش (Blind Spot) است. بدون داده‌های دقیق و کامل، حتی پیشرفته‌ترین روش‌های تحلیلی نیز به نتایج نادرست یا ناقص منجر می‌شوند. بنابراین، گردش کار شکار تهدید باید با ارزیابی کیفیت داده‌های موجود آغاز شود و در تمام مراحل، این ارزیابی را به عنوان یک اصل راهنما حفظ کند.

مرحله نخست، شناسایی منابع داده‌ای است که با تکنیک‌های مورد نظر در چارچوب ATT&CK مرتبط هستند. برای این کار، می‌توان از مؤلفه‌های داده (Data Components) که در منابع MITRE معرفی شده‌اند، استفاده کرد. این مؤلفه‌ها مشخص می‌کنند که برای تشخیص هر تکنیک، چه ویژگی‌ها یا مقادیری از یک منبع داده باید جمع‌آوری شود. به عنوان مثال، برای تکنیک‌های مرتبط با دسترسی به اشیاء در اکتیو دایرکتوری، مؤلفه‌هایی مانند «دسترسی به شیء» یا «تغییر شیء» تعریف شده است. این مرحله به تحلیلگر کمک می‌کند تا بداند چه داده‌هایی باید موجود باشد و چه داده‌هایی ممکن است از قلم افتاده باشد.

پس از شناسایی منابع داده، باید کیفیت آن‌ها از نظر پوشش (Coverage) و نگهداشت (Retention) بررسی شود. پوشش به این معناست که آیا رویدادهای لازم برای تشخیص تکنیک‌های مورد نظر، به طور کامل ثبت می‌شوند یا خیر. نگهداشت نیز مشخص می‌کند که داده‌ها برای چه مدت زمانی در دسترس هستند. در این مرحله، تحلیلگر باید شکاف‌های موجود را شناسایی کند؛ به عنوان مثال، ممکن است برخی رویدادها به دلیل تنظیمات ناقص ثبت نشوند یا داده‌های قدیمی به دلیل محدودیت فضای ذخیره‌سازی پاک شده باشند. این شکاف‌ها به عنوان نقاط کور (Blind Spot) در نظر گرفته می‌شوند و باید به طور مستند گزارش شوند.

در مرحله بعد، با استفاده از داده‌های باکیفیت، فرضیه‌های شکار تهدید بر اساس تکنیک‌های ATT&CK شکل می‌گیرد. این فرضیه‌ها باید به گونه‌ای طراحی شوند که با داده‌های موجود قابل بررسی باشند. سپس، تحلیلگر با جستجو در داده‌ها، به دنبال الگوهای مشکوک می‌گردد. در این مرحله، توجه به کیفیت داده اهمیت ویژه‌ای دارد؛ زیرا داده‌های ناقص می‌توانند منجر به نتایج منفی کاذب شوند. در نهایت، یافته‌های به دست آمده باید تأیید شوند و در صورت نیاز، اقدامات اصلاحی برای بهبود کیفیت داده‌ها پیشنهاد شود.

این گردش کار، یک فرایند چرخه‌ای است که در آن ارزیابی کیفیت داده به طور مستمر انجام می‌شود. با هر بار اجرای شکار تهدید، تحلیلگر می‌تواند شکاف‌های جدیدی را شناسایی کند و پیشنهادهایی برای بهبود جمع‌آوری داده‌ها ارائه دهد. به این ترتیب، کیفیت داده‌ها به مرور زمان افزایش می‌یابد و شکار تهدید مؤثرتر می‌شود. لازم به ذکر است که این مراحل بر اساس مفاهیم عمومی موجود در منابع MITRE ارائه شده‌اند و جزئیات اجرایی به محیط و ابزارهای خاص بستگی دارد.

• شناسایی تکنیک‌های ATT&CK مرتبط با سناریوهای تهدید
• انتخاب مؤلفه‌های داده مناسب برای هر تکنیک
• بررسی پوشش و نگهداشت داده‌های موجود
• طراحی فرضیه‌های شکار بر اساس داده‌های موجود
• تحلیل داده‌ها و تأیید یافته‌ها

1. مطالعه مؤلفه‌های داده در ATT&CK برای تکنیک‌های هدف
2. مقایسه مؤلفه‌های مورد نیاز با داده‌های جمع‌آوری‌شده
3. شناسایی شکاف‌های پوشش و نگهداشت
4. طراحی پرس‌وجوهای تحلیلی بر اساس داده‌های موجود
5. بررسی نتایج و تأیید نهایی

بررسی و غربالگری (Triage) رویدادها با توجه به کیفیت داده

کیفیت داده‌های جمع‌آوری‌شده از منابع مختلف، نقش تعیین‌کننده‌ای در اثربخشی فرآیند بررسی و غربالگری رویدادها در threat hunting دارد. داده‌های ناقص، نادرست یا نامرتبط می‌توانند منجر به ایجاد نویز بالا و هشدارهای کاذب شوند که تحلیلگران را از شناسایی تهدیدات واقعی منحرف می‌کند. در این راستا، شناخت مؤلفه‌های داده‌ای که توسط چارچوب MITRE ATT&CK تعریف شده‌اند، به عنوان یک مرجع معتبر، می‌تواند به تیم‌های امنیتی کمک کند تا ارزیابی دقیق‌تری از پوشش و کیفیت داده‌های خود داشته باشند.

برای غربالگری مؤثر، ابتدا باید مشخص شود که کدام مؤلفه‌های داده (Data Components) برای هر تکنیک یا زیرتکنیک مرتبط هستند. به عنوان مثال، برای شناسایی فعالیت‌های مرتبط با دسترسی به اشیاء در اکتیو دایرکتوری، مؤلفه‌هایی مانند 'Active Directory Object Access' یا 'Active Directory Object Modification' می‌توانند حیاتی باشند. اگر این مؤلفه‌ها در داده‌های جمع‌آوری‌شده وجود نداشته باشند یا به طور کامل ثبت نشوند، احتمال از دست رفتن رویدادهای مهم افزایش می‌یابد. بنابراین، در فرآیند triage، تحلیلگران باید بررسی کنند که آیا داده‌های موجود شامل فیلدها و ویژگی‌های لازم برای پوشش این مؤلفه‌ها هستند یا خیر.

علاوه بر وجود مؤلفه‌ها، صحت و به‌موقع بودن داده‌ها نیز اهمیت دارد. داده‌هایی که با تأخیر دریافت می‌شوند یا حاوی مقادیر نادرست هستند (مثلاً به دلیل تنظیمات نادرست زمان‌بندی یا تغییرات در ساختار لاگ‌ها) می‌توانند تحلیل را مخدوش کنند. در این راستا، توصیه می‌شود که تیم‌های امنیتی به طور دوره‌ای کیفیت داده‌های خود را از نظر کامل بودن (وجود تمام فیلدهای مورد انتظار)، صحت (مطابقت با رویدادهای واقعی) و به‌موقع بودن (در دسترس بودن در زمان مناسب) ارزیابی کنند. این ارزیابی می‌تواند به صورت دستی یا با استفاده از ابزارهای خودکار انجام شود، اما باید بر اساس معیارهای مشخص و مستند باشد.

در نهایت، برای کاهش نویز و تمرکز بر تهدیدات واقعی، پیشنهاد می‌شود که فرآیند triage به صورت سلسله‌مراتبی طراحی شود: ابتدا رویدادهایی که فاقد مؤلفه‌های داده کلیدی هستند کنار گذاشته شوند، سپس رویدادهایی که دارای مؤلفه‌های کلیدی هستند اما کیفیت پایینی دارند (مثلاً فیلدهای خالی یا مقادیر نامعتبر) علامت‌گذاری شده و در اولویت دوم بررسی قرار گیرند. رویدادهایی که از نظر کیفیت داده در سطح مطلوبی هستند، باید با دقت بیشتری تحلیل شوند. این رویکرد به تحلیلگران اجازه می‌دهد تا منابع محدود خود را بر روی مواردی متمرکز کنند که بیشترین احتمال کشف تهدید را دارند.

• بررسی وجود مؤلفه‌های داده مرتبط با تکنیک‌های مورد نظر در لاگ‌ها
• ارزیابی کامل بودن فیلدهای حیاتی مانند شناسه رویداد، زمان، منبع و مقصد
• تأیید صحت داده‌ها از طریق تطبیق با رویدادهای شناخته شده یا منابع معتبر
• پایش به‌موقع بودن داده‌ها برای جلوگیری از تحلیل داده‌های قدیمی یا ناقص

1. شناسایی تکنیک‌های پرخطر و مؤلفه‌های داده مرتبط با آن‌ها از مرجع MITRE ATT&CK
2. ممیزی داده‌های جمع‌آوری‌شده برای تعیین وجود یا عدم وجود مؤلفه‌های کلیدی
3. طراحی یک سیستم امتیازدهی ساده برای کیفیت داده بر اساس معیارهای فوق
4. اعمال این امتیازدهی در فرآیند triage برای اولویت‌بندی رویدادها

مثبت‌های کاذب و چالش‌های کیفیت داده

کیفیت داده‌ها در فرآیند شکار تهدید، نقشی تعیین‌کننده در کاهش مثبت‌های کاذب دارد. داده‌های ناقص یا نامتجانس، اغلب منجر به تولید هشدارهایی می‌شوند که نه تنها زمان تحلیلگر را هدر می‌دهند، بلکه ممکن است سیگنال‌های واقعی تهدید را نیز تحت‌الشعاع قرار دهند. یکی از چالش‌های اصلی، نبود مؤلفه‌های داده‌ای لازم برای پوشش کامل برخی تکنیک‌هاست؛ به‌عنوان مثال، در چارچوب MITRE ATT&CK، برخی تکنیک‌ها به داده‌هایی نیاز دارند که در محیط عملیاتی جمع‌آوری نمی‌شوند یا تنها به‌صورت جزئی در دسترس هستند. این شکاف پوششی (Coverage Gap) می‌تواند باعث شود تحلیلگر نتواند رفتارهای مشکوک را از داده‌های موجود استخراج کند و در نتیجه به دنبال الگوهای نادرست بگردد.

عامل دیگر، عدم تطابق بین مؤلفه‌های داده و تکنیک‌های موردنظر است. برای مثال، اگر یک تکنیک به داده‌های مربوط به «دسترسی به اشیاء» نیاز داشته باشد، اما تنها داده‌های «ایجاد شیء» ثبت شوند، احتمال تولید مثبت کاذب افزایش می‌یابد. این ناهماهنگی می‌تواند ناشی از پیکربندی نادرست سنسورها، محدودیت‌های فنی ابزارها، یا نبود درک دقیق از نیازمندی‌های داده‌ای هر تکنیک باشد. همچنین، داده‌هایی که با کیفیت پایین جمع‌آوری می‌شوند (مانند لاگ‌های دارای فیلدهای خالی یا مقادیر ناسازگار) می‌توانند الگوریتم‌های تشخیص را گمراه کنند و منجر به هشدارهای بی‌ربط شوند.

برای کاهش مثبت‌های کاذب، ابتدا باید موجودی داده‌های موجود را با مؤلفه‌های داده‌ای تعریف‌شده در MITRE ATT&CK مقایسه کرد و شکاف‌ها را شناسایی نمود. سپس، می‌توان با تنظیم دقیق سنسورها و افزودن منابع داده‌ای مکمل (مانند لاگ‌های سیستمعامل یا شبکه) پوشش را بهبود بخشید. همچنین، به‌کارگیری تکنیک‌های اعتبارسنجی مانند تحلیل زمینه‌ای (Contextual Analysis) و استفاده از لیست‌های سفید (Whitelist) برای فعالیت‌های شناخته‌شده، می‌تواند به فیلتر کردن هشدارهای غیرمرتبط کمک کند. در نهایت، بازبینی دوره‌ای قوانین تشخیص و به‌روزرسانی آن‌ها بر اساس بازخورد تحلیلگران، نقش مهمی در کاهش نرخ مثبت کاذب دارد.

• شناسایی شکاف‌های پوششی داده‌ها نسبت به تکنیک‌های MITRE ATT&CK
• بررسی کیفیت داده‌ها از نظر کامل بودن فیلدها و سازگاری مقادیر
• استفاده از منابع داده‌ای مکمل برای پوشش تکنیک‌های بدون مؤلفه
• پیاده‌سازی مکانیزم‌های اعتبارسنجی و زمینه‌سازی برای کاهش هشدارهای بی‌ربط

1. مستندسازی منابع داده‌ای موجود و مؤلفه‌های مرتبط با هر تکنیک
2. تحلیل شکاف (Gap Analysis) برای یافتن تکنیک‌های بدون پوشش داده‌ای
3. بهبود جمع‌آوری داده‌ها با تنظیم سنسورها و افزودن لاگ‌های لازم
4. طراحی قوانین تشخیص با در نظر گرفتن محدودیت‌های داده‌ای و زمینه
5. ارزیابی دوره‌ای نرخ مثبت کاذب و اصلاح قوانین بر اساس بازخورد

محدودیت‌های داده و نقاط کور در شکار تهدید

در فرآیند شکار تهدید، کیفیت و پوشش داده‌های جمع‌آوری‌شده نقش تعیین‌کننده در موفقیت یا شکست تحلیل دارد. هر منبع داده، بسته به نوع رویداد یا مؤلفه‌ای که ثبت می‌کند، تنها بخشی از تصویر کلی فعالیت‌های یک مهاجم را نشان می‌دهد. به عنوان مثال، داده‌های مرتبط با لاگ برنامه‌های کاربردی (Application Log) می‌تواند رفتارهای غیرعادی در سطح سرویس را آشکار کند، اما از فعالیت‌هایی که در سطح هسته سیستم‌عامل (Kernel) رخ می‌دهد بی‌خبر است. این شکاف‌ها ذاتاً منجر به ایجاد نقاط کور می‌شوند؛ نقاطی که مهاجم می‌تواند از آن‌ها برای پنهان‌سازی اقدامات خود استفاده کند.

محدودیت‌های داده‌ها را می‌توان به چند دسته تقسیم کرد: نخست، محدودیت در دامنه (Scope)؛ یعنی برخی منابع داده تنها بخش خاصی از زیرساخت (مانند دایرکتوری فعال یا سرویس‌های ابری) را پوشش می‌دهند و از سایر بخش‌ها غافل می‌مانند. دوم، محدودیت در عمق (Depth)؛ به این معنا که برخی رویدادها فقط در سطح انتزاعی ثبت می‌شوند و جزئیات لازم برای تشخیص زنجیره کامل حمله را فراهم نمی‌کنند. سوم، محدودیت در زمان (Temporal)؛ داده‌هایی که با تأخیر جمع‌آوری می‌شوند یا دوره نگهداری کوتاهی دارند، امکان بازبینی رویدادهای قدیمی را از بین می‌برند. این محدودیت‌ها در کنار هم، ارزیابی پوشش تکنیک‌های حمله را دشوار می‌سازند.

برای شناسایی نقاط کور، تحلیلگران باید به طور سیستماتیک منابع داده موجود را با تکنیک‌های شناخته‌شده (مانند فهرست‌های مرجع مانند MITRE ATT&CK) مقایسه کنند. این مقایسه نشان می‌دهد که کدام تکنیک‌ها فاقد پوشش داده‌ای کافی هستند. به عنوان مثال، اگر تنها از لاگ‌های احراز هویت استفاده شود، تکنیک‌هایی که از طریق دستکاری اشیاء دایرکتوری فعال (Active Directory Object Modification) انجام می‌شوند، قابل شناسایی نیستند. بنابراین، درک محدودیت‌های هر منبع داده، پیش‌نیاز طراحی یک برنامه شکار تهدید مؤثر است.

• منابع داده با دامنه محدود (مانند لاگ برنامه) نمی‌توانند رویدادهای سطح هسته یا شبکه را پوشش دهند.
• دوره نگهداری کوتاه داده‌ها، تحلیل گذشته‌نگر (Hunting) را مختل می‌کند.
• نبود داده‌های زمینه‌ای (مانند اطلاعات مربوط به اشیاء دایرکتوری فعال) باعث می‌شود که تکنیک‌های مبتنی بر دستکاری هویت نادیده گرفته شوند.
• تکیه صرف بر یک منبع داده، احتمال خطای تشخیصی را افزایش می‌دهد.

1. فهرست کاملی از منابع داده موجود در سازمان تهیه کنید و نوع رویدادهای ثبت‌شده در هر یک را مشخص کنید.
2. تکنیک‌های حمله مرتبط با حوزه کاری خود را از یک چارچوب مرجع (مانند MITRE ATT&CK) استخراج کنید.
3. برای هر تکنیک، تعیین کنید که کدام منبع داده می‌تواند شواهد لازم را فراهم کند و کدام تکنیک‌ها فاقد پوشش هستند.
4. نقاط کور شناسایی‌شده را بر اساس ریسک و احتمال بهره‌برداری اولویت‌بندی کنید و برای رفع آن‌ها برنامه‌ریزی کنید.

سنجه‌های کیفیت داده برای شکار تهدید

کیفیت داده‌ها، ستون فقرات هر برنامه‌ی شکار تهدید مؤثر است. بدون داده‌های دقیق، کامل و به‌موقع، حتی پیشرفته‌ترین تحلیل‌گران نیز در تشخیص فعالیت‌های مشکوک ناتوان خواهند بود. در این بخش، سنجه‌هایی را معرفی می‌کنیم که به تیم‌های امنیتی امکان می‌دهد تا به‌طور عینی کیفیت داده‌های خود را ارزیابی کرده و نقاط کور را شناسایی کنند. این سنجه‌ها بر اساس مفاهیم موجود در چارچوب MITRE ATT&CK، به‌ویژه مؤلفه‌های داده (Data Components)، طراحی شده‌اند.

نخستین سنجه، «تعداد مؤلفه‌های داده فعال برای یک تکنیک» است. هر تکنیک در MITRE به مجموعه‌ای از مؤلفه‌های داده مرتبط است که برای شناسایی آن تکنیک حیاتی هستند. برای مثال، تکنیک «اجرای فرمان و اسکریپت‌های تفسیری» به مؤلفه‌هایی مانند «اجرای فرمان» و «محتوای لاگ برنامه» وابسته است. اگر سازمانی تنها یکی از این مؤلفه‌ها را پوشش دهد، احتمال شناسایی حملات مرتبط با آن تکنیک به‌شدت کاهش می‌یابد. بنابراین، اندازه‌گیری تعداد مؤلفه‌های داده‌ای که برای هر تکنیک جمع‌آوری و تحلیل می‌شوند، تصویری روشن از میزان آمادگی دفاعی ارائه می‌دهد. این سنجه را می‌توان به‌صورت دوره‌ای (مثلاً ماهانه) محاسبه کرد و روند بهبود یا پسرفت آن را دنبال نمود.

دومین سنجه، «میزان پوشش منابع داده» است. MITRE فهرستی از منابع داده (Data Sources) مانند «فرایند»، «فایل»، «ترافیک شبکه»، «لاگ‌های ویندوز» و «سرویس‌های ابری» ارائه می‌دهد. پوشش کامل به این معناست که سازمان برای هر منبع داده‌ای که در محیط خود دارد، سنسورها و لاگ‌های مربوطه را فعال کرده باشد. برای ارزیابی این سنجه، می‌توان فهرست منابع داده‌ای که در محیط فناوری اطلاعات وجود دارند را با فهرست منابعی که در حال حاضر جمع‌آوری می‌شوند مقایسه کرد. نسبت منابع پوشش‌داده‌شده به کل منابع موجود، یک شاخص کمی ساده و در عین حال قدرتمند است. به‌عنوان مثال، اگر سازمانی از زیرساخت ابری استفاده می‌کند اما لاگ‌های «سرویس ابری» را جمع‌آوری نمی‌کند، این یک شکاف جدی در پوشش محسوب می‌شود.

سومین سنجه، «مدت زمان نگهداشت لاگ‌ها» است. تهدیدات پیشرفته اغلب در بازه‌های زمانی طولانی (هفته‌ها یا ماه‌ها) در شبکه باقی می‌مانند. اگر لاگ‌ها فقط برای مدت کوتاهی (مثلاً ۳۰ روز) نگهداری شوند، تحلیل‌گران قادر به بررسی فعالیت‌های قدیمی‌تر نخواهند بود و ممکن است ردپای یک حمله را از دست بدهند. برای هر منبع داده، باید حداقل مدت زمان نگهداشت متناسب با ریسک آن منبع تعیین شود. به‌عنوان مثال، لاگ‌های احراز هویت و دسترسی به داده‌های حساس باید برای مدت طولانی‌تری (مثلاً ۱۸۰ روز یا بیشتر) نگهداری شوند. این سنجه را می‌توان به‌صورت «درصد منابع داده‌ای که مدت نگهداشت آن‌ها از حداقل آستانه تعیین‌شده فراتر است» اندازه‌گیری کرد.

در نهایت، ترکیب این سه سنجه به تیم‌های امنیتی کمک می‌کند تا «نقاط کور» خود را شناسایی کنند. برای مثال، اگر برای یک تکنیک خاص، مؤلفه‌های داده فعال کم باشد و مدت نگهداشت لاگ‌ها نیز کوتاه باشد، آن تکنیک به‌عنوان یک نقطه کور پرخطر در نظر گرفته می‌شود. پیشنهاد می‌شود که سازمان‌ها به‌صورت دوره‌ای این سنجه‌ها را محاسبه و نتایج را در قالب یک «کارنامه کیفیت داده» مستند کنند. این کارنامه باید در جلسات بررسی امنیتی مورد بحث قرار گیرد و برای تخصیص بودجه و منابع به بهبود جمع‌آوری داده‌ها استفاده شود. لازم به ذکر است که این سنجه‌ها صرفاً پیشنهادی هستند و سازمان‌ها باید آن‌ها را بر اساس نیازها و ریسک‌های خاص خود تنظیم کنند.

• تعداد مؤلفه‌های داده فعال برای هر تکنیک: این سنجه نشان می‌دهد که برای هر تکنیک، چه تعداد از مؤلفه‌های داده‌ای که MITRE معرفی کرده است، در محیط جمع‌آوری و تحلیل می‌شوند.
• میزان پوشش منابع داده: نسبت منابع داده‌ای که سنسور یا لاگ فعال دارند به کل منابع داده‌ای موجود در محیط.
• مدت زمان نگهداشت لاگ‌ها: مدت زمانی که لاگ‌های هر منبع داده در سیستم ذخیره می‌شوند و برای تحلیل در دسترس هستند.

1. فهرستی از تمام تکنیک‌های MITRE که برای محیط خود مرتبط می‌دانید تهیه کنید.
2. برای هر تکنیک، مؤلفه‌های داده مرتبط را از وب‌سایت MITRE استخراج کنید.
3. بررسی کنید که کدام یک از این مؤلفه‌ها در حال حاضر توسط سنسورها و لاگ‌های شما پوشش داده می‌شوند.
4. برای هر منبع داده، مدت زمان نگهداشت فعلی را ثبت کنید و آن را با حداقل آستانه‌ای که بر اساس ریسک تعیین کرده‌اید مقایسه کنید.
5. نتایج را در یک جدول یا داشبورد تجمیع کنید و نقاط کور را اولویت‌بندی کنید.

عملیاتی‌سازی کیفیت داده در تیم شکار تهدید

برای عملیاتی‌سازی کیفیت داده در تیم شکار تهدید، نخستین گام، مستندسازی دقیق منابع داده و نگاشت آن‌ها به مؤلفه‌های داده (Data Components) در چارچوب ATT&CK است. این مستندسازی باید شامل نوع منبع (مانند لاگ‌های سیستم‌عامل، ترافیک شبکه، یا رویدادهای سرویس ابری)، سطح پوشش (Coverage) هر مؤلفه، و مدت زمان نگهداری (Retention) داده‌ها باشد. به‌روزرسانی منظم این مستندات با تغییرات چارچوب ATT&CK (مانند افزوده‌شدن تکنیک‌های جدید یا تغییر در تعریف مؤلفه‌ها) ضروری است تا تیم شکار تهدید همواره از شکاف‌های پوشش (Blind Spots) آگاه باشد.

هماهنگی بین تیم‌های جمع‌آوری داده و تحلیل، عامل کلیدی دیگری در عملیاتی‌سازی کیفیت داده است. تیم تحلیل باید نیازمندی‌های خود را به‌صورت شفاف به تیم جمع‌آوری داده اعلام کند و تیم جمع‌آوری نیز باید محدودیت‌های فنی و هزینه‌ای خود را بازگو کند. این هماهنگی می‌تواند از طریق جلسات دوره‌ای، کانال‌های ارتباطی مشخص، و استفاده از ابزارهای مشترک برای مدیریت پیکربندی سنسورها و لاگ‌ها انجام شود. همچنین، تعریف فرآیندهای آزمایش و اعتبارسنجی برای اطمینان از اینکه داده‌های جمع‌آوری‌شده واقعاً برای تشخیص تکنیک‌های هدف‌مند قابل استفاده هستند، ضروری است.

در نهایت، تیم شکار تهدید باید از مؤلفه‌های داده (Data Components) به‌عنوان زبان مشترک برای ارزیابی کیفیت داده استفاده کند. این مؤلفه‌ها مشخص می‌کنند که برای تشخیص هر تکنیک، چه ویژگی‌ها و مقادیری از داده‌ها لازم است. برای مثال، برای تکنیک‌های مرتبط با دسترسی به اشیاء در اکتیو دایرکتوری، مؤلفه «دسترسی به شیء اکتیو دایرکتوری» (Active Directory Object Access) مشخص می‌کند که رویدادهایی مانند Event ID 4661 باید جمع‌آوری شوند. با نگاشت این مؤلفه‌ها به منابع داده موجود، تیم می‌تواند به‌صورت سیستماتیک شکاف‌های پوشش را شناسایی و اولویت‌بندی کند. این رویکرد، کیفیت داده را از یک مفهوم انتزاعی به یک فرآیند عملیاتی قابل اندازه‌گیری تبدیل می‌کند.

• مستندسازی منابع داده و نگاشت به مؤلفه‌های ATT&CK
• به‌روزرسانی منظم مستندات با تغییرات چارچوب
• برگزاری جلسات هماهنگی دوره‌ای بین تیم‌های جمع‌آوری و تحلیل
• استفاده از مؤلفه‌های داده به‌عنوان معیار ارزیابی پوشش

1. شناسایی تمام منابع داده موجود در سازمان و ثبت آن‌ها در یک فهرست مرکزی.
2. برای هر منبع داده، تعیین مؤلفه‌های داده مرتبط با استفاده از مستندات ATT&CK.
3. ارزیابی سطح پوشش فعلی هر مؤلفه (به‌عنوان مثال، آیا رویدادهای لازم جمع‌آوری می‌شوند؟).
4. تعیین مدت زمان نگهداری داده‌ها برای هر منبع و مقایسه با نیازمندی‌های تحلیل.
5. ایجاد فرآیند بازبینی دوره‌ای برای به‌روزرسانی مستندات و رفع شکاف‌های شناسایی‌شده.