NSA发布事件记录和威胁检测优秀实践

发布时间：2025-11-05 09:00:55 来源：技术快报 作者：系统运维

美国国家安全局 (NSA) 发布了跨云服务、布事企业网络、记检测移动设备和运营技术 (OT) 网络的录和事件日志和威胁检测最佳实践，以确保重要系统的威胁持续交付。

该网络安全信息表 (CSI) 是优秀与澳大利亚信号局的澳大利亚网络安全中心 (ASD ACSC) 等国际合著者合作发布的。

该指南旨在支持企业中的实践 IT 和网络员工防御使用离地生存 (LOTL) 技术的威胁行为者。

它还在考虑资源限制的布事同时，为提高组织在当前网络威胁环境中的记检测恢复能力提供了建议。

高效的事件日志系统应该能够识别网络安全事件，例如基本软件配置的威胁更改，在发生这些事件时提供警报，优秀关注帐户合规性，实践并保证日志和日志记录平台的布事性能和可用性。

在追求日志记录的记检测最佳实践时，请牢记以下四个因素：

创建和执行企业批准的日志记录策略可增强组织识别系统上欺诈活动的能力，并确保所有环境都使用相同的网站模板日志记录技术。日志记录政策应该考虑组织与其服务提供商之间的任何共享职责。 

此外，该政策应指定要记录哪些事件、如何监控事件日志、保留多长时间以及何时重新评估应保留哪些日志。

制定和实施企业认可的日志记录策略对于检测恶意行为和确保整个组织环境的一致性至关重要。有效日志记录策略的关键组成部分包括：

这些实践增强了组织有效检测、调查和应对网络安全事件的能力。

集中式日志收集和关联为企业网络、OT、云计算和使用移动计算设备的企业移动性提供日志源的优先列表。 

优先级排序过程包括评估攻击者瞄准已记录资产的可能性以及资产泄露的潜在后果。 

美国国家安全局建议各组织建立集中式事件日志设施，例如安全数据湖，以实现日志聚合。 

要实施有效的企业日志记录政策：

这种方法加强了威胁检测、事件响应和合规性。

从那里，选定的、处理过的日志应该被转发到分析工具，如安全信息和事件管理(SIEM) 解决方案和扩展检测和响应 (XDR) 解决方案。 

为了检测“离地谋生”（LOTL）技术，组织应实施用户和实体行为分析（UEBA），并利用 SIEM 系统通过将事件日志与已建立的正常活动基线进行比较来识别异常。主要建议和策略包括：

(1) 行为分析：使用 UEBA 自动检测网络、设备或账户上的异常行为，这对于识别与正常操作相融合的 LOTL 技术至关重要。

(2) 案例研究 - Volt Typhoon：该组织使用了 LOTL 技术，例如 PowerShell 脚本、Windows 管理规范控制台 (WMIC) 和其他本机工具在系统内进行渗透和横向移动，使传统的检测变得十分困难。

(3) 异常行为指标：

(4) 增强检测：实施端点检测和响应 (EDR) 解决方案，确保详细日志记录（包括进程创建和命令行审计），并为合法二进制使用建立基线。

(5) 主动威胁搜寻：定期进行威胁搜寻，以识别和调查潜在的 LOTL 活动，并根据不断变化的威胁形势完善检测规则。

这些策略有助于检测和缓解 LOTL 技术，由于这些技术依赖于网络中的合法工具和活动，因此具有挑战性。

相关文章