Observation pipeline

Um 24/7-Sicherheitsüberwachung bereitzustellen, erfasst die Arctic Wolf® Observation Pipeline Protokolle von allen Systemen, die Protokolldaten an Arctic Wolf senden. Anschließend generiert die Observation Pipeline zwei Datentypen:

  • Analysierte Beobachtungen – Werden generiert, wenn Raw-Protokolldaten analysiert, normalisiert, angereichert und ausgewertet werden.
  • Ereignisse – Werden generiert, wenn analysierte Protokolle mit Erkennungslogik verarbeitet werden.

Alle analysierten Protokolle werden als sicherheitsrelevant behandelt. Allerdings deuten nicht alle analysierten Protokolle auf eine mögliche Bedrohung hin. Protokolldaten, die nicht als sicherheitsrelevant gelten, werden aus der Observation Pipeline gefiltert. Beispiele sind DHCP-Protokolle, Verbindungsinformationen von drahtlosen Zugangspunkten und Firewall-Protokolle, die nicht analysiert und angereichert werden.

Anmerkung:

Arctic Wolf erfasst Protokolldateien als Teil unserer Managed Detection and Response (MDR) und Aurora Vulnerability Management (Aurora VM) Produkte und Services. Wir fügen Headerinformationen zu jeder Protokollzeile hinzu, wenn wir Raw-Protokolle in unsere sicheren S3-Buckets schreiben. Diese Headerinformationen enthalten wichtige Metadaten über die Protokollquelle. Zum Beispiel injizieren wir Datum und Uhrzeit der Protokollerstellung, um Ereignis-Zeitleistenver­folgung und Protokollkorrelation zu ermöglichen. Diese Prozesse sind notwendige Funktionen von Cybersecurity-Threat-Hunting-Services. Wir haben keine definierten Prozesse, die Raw-Protokolle nach dem Schreiben in einen S3-Bucket ändern. Obwohl es möglich ist, dass Protokolle im ruhenden Zustand geändert werden, beschränken wir den Zugriff auf diese S3-Buckets auf Rollen, die Zugriff benötigen, um ihre Arbeit abzuschließen. Wir prüfen regelmäßig den Protokollzugriff, um die Sicherheit unserer S3-Buckets zu überwachen.