Optimalizace detekčních pravidel systému SIEM

Předkládaná diplomová práce se zabývá optimalizací detekčních pravidel systému SIEM pro linuxové prostředí se zaměřením na SIEM platformu Splunk Enterprise. Hlavním cílem práce je analyzovat vybraná detekční pravidla dodávaná výrobcem SIEM a identifikovat jejich technologické nedostatky z hlediska slepých míst v monitoringu. Navazujícím úkolem je navrhnout nové optimalizované varianty, které by nabídly větší detekční pokrytí. Sekundárním cílem je na nově vytvořených korelacích experimentálně ověřit, zda je možné pouhou úpravou detekční logiky dosáhnout snížení počtu falešně pozitivních detekcí, tedy detekcí, které systém vyhodnotil jako škodlivé, ale ve skutečnosti představují legitimní aktivitu. Konkrétně se práce zaměřuje na techniky zneužití úloh Cron v celém jejich životním cyklu a na zneužití dynamických knihoven prostřednictvím parametru LD_PRELOAD. Výsledky testování vůči technikám z rámce MITRE ATT&CK ukázaly, že autorem navržené korelace skutečně dosahují širšího pokrytí simulovaných útoků než výchozí verze od dodavatele. Současně se však experimentálně potvrdilo, že pouze prostřednictvím optimalizace logiky nelze efektivně snížit počet falešných poplachů, neboť zvýšení detekční citlivosti vedlo k nárůstu zachycené legitimní administrátorské aktivity. Legitimní a škodlivé operace jsou v auditních záznamech často téměř nerozeznatelné. Hlavní přínos navržené optimalizace proto spočívá především v rozšíření kontextu na výstupu pravidla a v definovaném metodickém postupu pro hodnocení a úpravy výchozích korelací v linuxovém prostředí.