व्यवहार-आधारित संकेत, केवल प्रतिष्ठा नहीं

एक शुद्ध प्रतिष्ठा हिट इस बारे में बहुत कम बताता है कि आईपी, डोमेन या यूआरएल खतरनाक क्यों है। उत्पादन फ़ायरवॉल नीतियों के लिए, एक सामान्य “खराब” शायद ही कभी पर्याप्त होता है। व्यवस्थापकों को यह समझने की आवश्यकता है कि क्या कोई संकेतक स्कैनिंग, शोषण प्रयासों, बॉटनेट संचार, फ़िशिंग, मैलवेयर डिलीवरी, या बार-बार क्रेडेंशियल हमलों के माध्यम से सामने आता है।

इसलिए साइबोरा न केवल यह मूल्यांकन करता है कि किसी स्रोत में कोई संकेतक दिखाई देता है या नहीं। प्रासंगिक प्रश्न यह हैं कि कौन सा व्यवहार देखा गया, यह कितना ताज़ा है, क्या इसकी स्वतंत्र रूप से पुष्टि की गई है, और क्या स्वीकार्य संपार्श्विक क्षति के साथ अवरोधन संभव है।

व्यवहार ब्लैक-बॉक्स स्कोर से अधिक क्यों मायने रखता है?

प्राथमिकता निर्धारण के लिए एक अमूर्त स्कोर उपयोगी हो सकता है, लेकिन इसका बचाव करना कठिन है। यदि कोई ब्लॉक किसी व्यावसायिक कनेक्शन को प्रभावित करता है, तो बिना संदर्भ वाली संख्या की तुलना में पता लगाने योग्य व्यवहार श्रेणी अधिक उपयोगी होती है।

व्यवहार-आधारित संकेत अधिक ठोस प्रश्नों का उत्तर देते हैं:

• क्या बड़े पैमाने पर स्कैनिंग के दौरान स्रोत देखा गया था?
• क्या ज्ञात सेवाओं के विरुद्ध शोषण के प्रयास हुए थे?
• क्या बुनियादी ढांचा बॉटनेट या कमांड-एंड-कंट्रोल संचार से मेल खाता है?
• क्या डोमेन या यूआरएल का उपयोग फ़िशिंग या मैलवेयर डिलीवरी के लिए किया जाता है?
• क्या वही स्रोत बार-बार क्रेडेंशियल हमलों में दिखाई देता है?

यह वर्गीकरण खतरे की खुफिया जानकारी को अधिक क्रियाशील बनाता है। एक व्यवस्थापक बेहतर ढंग से निर्णय ले सकता है कि किसी संकेतक को ब्लॉक किया जाना चाहिए, पहले लॉग इन किया जाना चाहिए, या अधिक बारीकी से समीक्षा की जानी चाहिए।

सहसंबंध के साथ संबंध

जब व्यवहार को बार-बार और स्वतंत्र रूप से देखा जाता है तो वह मजबूत हो जाता है। एक भी स्कैनर हिट एक संकेत है. अनेक स्रोतों, समय बिंदुओं या वातावरणों में एक ही उत्पत्ति अधिक विश्वसनीय है।

यही कारण है कि व्यवहार-आधारित मूल्यांकन सिग्नल सहसंबंध से निकटता से संबंधित है। श्रेणी बताती है कि क्या हुआ; सहसंबंध बताता है कि अवलोकन कितनी अच्छी तरह समर्थित है।

यह गलत-सकारात्मक जोखिम को कम क्यों करता है?

प्रत्येक संदिग्ध व्यवहार स्वचालित रूप से कठोर अवरोधन को उचित नहीं ठहराता। साझा होस्टिंग, सीडीएन, वीपीएन या क्लाउड वातावरण में एक आईपी की कई भूमिकाएँ हो सकती हैं। सिग्नल तकनीकी रूप से सही होने पर भी, संपार्श्विक क्षति बहुत अधिक हो सकती है।

इसलिए साइबोरा व्यवहार श्रेणी, साक्ष्य, ताजगी और संपार्श्विक क्षति को जोड़ता है। एक संकेतक को न केवल संदिग्ध दिखना चाहिए; इसे उत्पादन फ़ायरवॉल नीति में उपयोग के लिए रक्षात्मक होना चाहिए।

जो भीतर रहता है

सार्वजनिक दस्तावेज़ तर्क बताते हैं, नुस्खा नहीं। ठोस श्रेणियां, भार, सीमाएं, स्रोत प्राथमिकताएं और आंतरिक स्कोरिंग नियम सुरक्षित रहते हैं। यह हमलावरों को जानबूझकर फ़ीड प्रवेश से बचने और प्रतिस्पर्धियों को क्यूरेशन तर्क की प्रतिलिपि बनाने से रोकता है।

व्यवस्थापकों के लिए, महत्वपूर्ण सिद्धांत यह है: फ़ीड केवल प्रतिष्ठा हिट की सूची नहीं है। यह देखे गए व्यवहार, स्वतंत्र साक्ष्य, ताजगी मूल्यांकन और परिचालन जोखिम मूल्यांकन का परिणाम है।