تجربه امروز در SOC و پایگاه داده
اسکما

در معماری پایش امنیتی پایگاه‌داده، وجود یک سازوکار هماهنگ میان Parser، Rule Engine و Dashboard حیاتی است تا تحلیل‌گر SOC بتواند رفتارهای غیرعادی را در لایه داده به‌صورت دقیق و با زمینه‌ سازی (Context Awareness) مشاهده کند.
نخستین گام، تقویت Parser است؛ این مؤلفه باید فیلد‌ حیاتی schema_name را از لاگ‌های SQL استخراج و ذخیره کند، زیرا بدون آن، تشخیص سطح حساسیت و حوزه‌ی داده عملاً غیرممکن است. داده‌های خام، زمانی ارزش امنیتی می‌یابند که با اسکما مرتبط شوند و مشخص شود عملیات روی کدام بخش از داده‌های سازمان انجام گرفته است.

در گام دوم، Rule Engine باید تناظر یابی حساسیت یا Sensitivity Mapping اسکماها را بشناسد و آن را در تحلیل همبسته به‌کار گیرد. به این معنا که یک دستور SELECT از اسکمای عمومی ممکن است عادی تلقی شود، اما همان دستور از اسکمای مالی یا منابع انسانی باید به‌عنوان رویداد پرریسک نشانه‌گذاری گردد. این همبستگی میان حساسیت داده و رفتار کاربر، مبنای تشخیص تهدیدهای داخلی و دسترسی‌های غیرمجاز است.

در نهایت، Dashboard باید خروجی تحلیل را بر اساس طبقه‌بندی اسکماها نمایش دهد تا فعالیت‌های مرتبط با اسکماهای Critical در نمایی مجزا، فوری و رنگ‌کد‌بندی‌شده در دسترس تیم SOC قرار گیرد.

#آکادمی_روزبه