Vue d’ensemble

Cloud SIEM collecte et analyse des données provenant d’un large éventail de sources telles que les services cloud, les pare-feu, les réseaux, les applications et les systèmes informatiques. Comme ces services émettent des données dans différents formats, ils nécessitent souvent des efforts considérables pour normaliser et préparer les logs avant de pouvoir réaliser une analyse significative des menaces.

L’Open Cybersecurity Schema Framework (OCSF) est une norme open source, indépendante du fournisseur, pour organiser et classer les données d’événements de sécurité. Il est conçu pour simplifier et unifier la manière dont les logs de sécurité sont structurés entre les plateformes et les produits, permettant une détection des menaces cohérente et une enquête plus rapide.

Chez Datadog, la prise en charge d’OCSF est intégrée directement dans Datadog Cloud SIEM afin que vous obteniez des données de log normalisées et standardisées sans configuration manuelle. Les logs de sécurité entrants sont automatiquement enrichis avec des attributs conformes à OCSF au moment de l’ingestion grâce à des pipelines prêts à l’emploi (OOTB). Toutes les valeurs OCSF sont contenues dans l’attribut OCSF et s’ajoutent aux autres processus qui transforment et enrichissent les logs. Consultez les pipelines OCSF prêts à l’emploi pour voir la liste des intégrations Log Management qui prennent en charge OCSF.

L’intégration OCSF dans Cloud SIEM de Datadog permet :

• Règles de détection simplifiées : une structure d’attributs unifiée signifie que la logique de détection peut être écrite une fois et appliquée à plusieurs sources.
• Enquêtes rationalisées : les analystes n’ont plus besoin de mémoriser les formats spécifiques à chaque source, car un schéma unique permet d’effectuer un triage à l’aide d’une requête unique.
• Corrélation inter-sources : la logique de détection peut corréler des événements entre des services disparates (par exemple, le phishing et l’élévation de privilèges).
• Maintenance évolutive de l’intégration : OCSF permet d’avoir des attentes de schéma cohérentes, même lorsque de nouvelles sources de données sont ajoutées.

Modèle OCSF

Pour normaliser vos données de sécurité, OCSF remappe vos données en fonction des composants suivants :

1. Types de données, attributs, objets et tableaux
2. Classes et catégories d’événements
3. Profils
4. Extensions

Types de données, attributs, objets et tableaux

Les types de données, les attributs, les objets et les tableaux sont les principaux composants du modèle OCSF.

Catégories et classes d’événements

Les événements de sécurité au sein du modèle OCSF sont organisés en catégories, qui sont des regroupements de haut niveau classant les événements en fonction de leur type de données. Consultez les catégories OCSF pour plus d’informations et pour obtenir une liste des catégories disponibles. Les catégories sont ensuite divisées en classes d’événements. Par exemple, il existe six classes pour la catégorie Gestion des identités et des accès. Consultez les classes d’événements OCSF pour plus d’informations.

Profils

Les profils sont une classe d’attributs que vous pouvez éventuellement superposer aux classes d’événements et aux objets qui y font référence. Il ajoute des informations supplémentaires à une classe d’événements existante et est indépendant des catégories d’événements. Consultez les profils OCSF pour obtenir une liste de profils et la documentation sur les profils OCSF pour plus d’informations.

Extensions

Vous pouvez éventuellement ajouter des extensions, telles que de nouveaux attributs, objets, catégories, profils et classes d’événements, aux schémas OCSF. Consultez Extensions OCSF pour plus d’informations.

Pipelines OCSF supportés et prêts à l’emploi

Les intégrations Log Management suivantes prennent en charge les pipelines OCSF prêts à l’emploi:

• 1Password
• Apache
• Auth0
• AWS CloudTrail
• Azure Security
• Cisco Duo
• Cisco Meraki
• Cisco Umbrella DNS
• Claude Compliance
• Cloudflare
• CrowdStrike
• DNSFilter
• Fastly
• GCP Audit Logs
• GitHub
• Google Workspace
• Iru (Kandji)
• JumpCloud
• Keeper Security
• Kubernetes Audit Logs
• LastPass
• Linux Audit Logs
• Microsoft 365
• Microsoft Graph
• Microsoft Sysmon
• NGINX
• Okta
• Palo Alto Networks Firewall
• PingOne Advanced Identity Cloud
• Salesforce
• SentinelOne
• Slack
• Snowflake
• Twilio
• Windows Event Logs
• Wiz
• Zeek
• Zscaler Internet Access
• Zscaler Private Access

Afficher les pipelines Security - OCSF

Cloud SIEM OCSF remappe les données de log dans les pipelines d’intégration de Log Management. Consultez les pipelines OCSF prêts à l’emploi pour plus de détails.

Pour afficher la bibliothèque de pipelines d’intégration pour une source :

1. Accédez à Logs Pipelines.
2. Cliquez sur Browse Pipeline Library.
3. Recherchez et cliquez sur l’intégration qui vous intéresse (par exemple, Okta).
4. Pour afficher les pipelines OCSF pour Okta, faites défiler jusqu’à la fin de la liste des processeurs pour l’intégration Okta.

Pour afficher le pipeline OCSF en lecture seule pour une intégration source :

1. Accédez à Logs Pipelines.
2. Sélectionnez votre pipeline.
3. Faites défiler jusqu’aux pipelines OCSF à la fin des processeurs du pipeline.
4. Cliquez sur le pipeline OCSF pour afficher les processeurs de remappage associés.
5. Cliquez sur l’icône en forme d’œil sur le pipeline OCSF pour afficher des informations telles que les suivantes :
   • Version du schéma OCSF
   • Classe
   • Profil

Remarque : Le clonage du pipeline principal convertit les pipelines OCSF en pipelines de logs plutôt qu’en pipelines de Security.

Afficher les données OCSF dans les logs

Pour afficher les données OCSF dans les logs :

1. Accédez à Logs Explorer.
2. Saisissez une recherche pour vos logs.
3. Cliquez sur un log.
4. Dans le panneau latéral, faites défiler jusqu’aux attributs JSON ocsf pour voir les données OCSF.

Lectures complémentaires

Documentation, liens et articles supplémentaires utiles:

Pipelines de traitement de logsDOCUMENTATION Normalisez tous les logs pour Cloud SIEM avec le processeur OCSF de DatadogBLOG Datadog Cloud SIEM : stimuler l'innovation dans les opérations de sécurité.BLOG Normalisez vos données avec le modèle de données commun OCSF dans Datadog Cloud SIEMBLOG Surveillez l'activité de Claude Enterprise avec Datadog Cloud SIEMBLOG