راهنمای عملیاتی فنی OSMP (Operational Security Management Platform)

راهنمای جامع عملیاتی برای مدیران IT، تیم‌های نصب و کارشناسان SOC

بیشتر مطالعه کنید: محاسبه دقیق منابع سخت‌افزاری OSMP کسپرسکی؛ راهنمای عملی برای مدیران IT

۱. نمای کلی پلتفرم | Platform Overview

پلتفرم OSMP داده‌های امنیتی را از طریق یک زنجیره پردازشی ساختاریافته دریافت، پردازش و تحلیل می‌کند.

Source
  ↓
Collector
  ↓
Parsing Engine
  ↓
Event Queue
  ↓
Detection Engine
  ↓
Incident Center
  ↓
Playbook Engine
  ↓
Storage / Archive

۲. اجزای معماری | Architecture Components

Source | منبع داده

• Endpoint Agents
• Syslog Servers
• Network Sensors
• Cloud APIs

Collector | کالکتور

• دریافت داده خام
• نرمال‌سازی اولیه
• دسته‌بندی بر اساس منبع و نوع

Parsing Engine | موتور Parsing

تبدیل لاگ خام به Event ساختاریافته با استفاده از Regex و منطق پردازشی. بدون Parsing موفق، هیچ Detection یا Incidentی وجود ندارد.

Event Queue | صف رویداد

Message Buffer (Kafka / RabbitMQ) برای جداسازی مراحل Parsing از Detection و کنترل Burst ترافیک.

Detection Engine | موتور تشخیص

اجرای Correlation Rules و شناسایی رخدادهای امنیتی.

Incident Center | مرکز Incident

مدیریت چرخه عمر Incident، شامل Timeline، Severity و Response.

Playbook Engine | موتور Playbook

اجرای پاسخ‌های خودکار یا نیمه‌خودکار با تأیید SOC.

Storage / Archive | ذخیره‌سازی

معماری چندلایه: Hot / Warm / Cold

حدود ۹۰٪ مشکلات عملکردی OSMP ناشی از Parsing Engine یا Event Queue است.

۳. راهنمای سایزبندی استقرار | Deployment Sizing

Post‑Installation Checklist

• Queue Backlog ≈ 0
• Collector CPU < 70%
• Event Ingestion Delay < 5s

خطای رایج

استفاده از routing پیش‌فرض شبکه ❌

Collector باید مسیر شبکه اختصاصی داشته باشد ✅

۴. عملیات Parsing | Parsing Engine Operations

Parsing لاگ‌های بدون ساختار را به Event استاندارد تبدیل می‌کند.

اعتبارسنجی Parsing

• استفاده از لاگ واقعی
• timestamp, src_ip, dst_ip, event_type موجود باشند
• Deploy فقط پس از 100٪ موفقیت

الگوی مخرب عملکرد

Greedy Regex مانند .* یا .+

نتیجه: CPU مصرف بالا، Parser Stall، Event Loss

راهکار: استفاده از .*? و Anchor (محدودکننده)

۵. تفاوت Event و Incident | Event vs Incident

Event: ورود موفق کاربر
Incident: چند Login ناموفق سپس Login موفق از IP خارجی

شرایط همبستگی Incident

• Same host/user
• Same IOC
• Time window < 5 min

۶. مرکز Incident | Incident Center

• Source
• Timeline
• Detection Rule
• Suggested Response

Missing Process Tree → KES باید نسخه 12.x باشد

Missing MITRE Mapping → Detection Rule باید بروز شود

۷. یکپارچگی با KES | KES Integration

سازگاری کامل فقط با نسخه 12.x وجود دارد.

1. Detect legacy device
2. Verify license
3. Submit upgrade ticket
4. Re-sync policy
5. Confirm version 12.x

۸. RBAC | کنترل دسترسی مبتنی بر نقش

اصل حداقل سطح دسترسی باید رعایت شود.

۹. چرخه عمر داده | Data Lifecycle

تشخیص وضعیت ذخیره‌سازی

۱۰. اتوماسیون پاسخ | Playbook Automation

• Severity = High یا Critical
• IOC Confidence > 85%
• Device = Server

1. Isolate endpoint
2. Notify SOC
3. Capture snapshot
4. Human approval

اتوماسیون کامل بدون تأیید انسان ممنوع است.

۱۱. شاخص‌های عملیاتی | KPIs

• Online Agents > 98%
• Incident Trend Monitoring
• MTTD / MTTR

“No Data” یعنی خطا در Pipeline نه UI.

۱۲. ماتریس عیب‌یابی سریع | Fault → Symptom → Action

۱۳. کارهایی که نباید انجام شوند | What NOT To Do

• ❌ Auto‑remediate سرورهای Critical
• ❌ استفاده از LAN مشترک برای Collector
• ❌ Deploy Regex بدون تست بار
• ❌ دسترسی Admin به SOC Analyst

۱۴. ستون‌های موفقیت عملیاتی | Operational Pillars

• Proper Parsing
• Queue Stability
• Accurate Role & Policy Management

۱۵. پرسش‌های متداول | OSMP

1. OSMP چه حجم رویدادی را پشتیبانی می‌کند؟

OSMP محدودیتی ذاتی ندارد، بستگی به معماری Collector دارد.

2. چرا Event داریم ولی Incident ساخته نمی‌شود؟

• Parsing failure
• Missing fields (hostname/user/IOC)
• Correlation Rule اشتباه
• Time window کوتاه

✅ بیشترین علت: مشکل در Parsing

3. سازگاری با نسخه‌های قدیمی KES

سازگاری کامل فقط با KES 12.x. نسخه‌های قدیمی ممکن است Online دیده شوند ولی Policy را دریافت نکنند.

4. رایج‌ترین گلوگاه عملکرد

تقریباً ۹۰٪ مشکلات Performance از Parsing Engine یا Event Queue ناشی می‌شود.

5. آیا Playbook باید کاملاً خودکار باشد؟

خیر. بهترین روش SOC: Automation برای Containment و Human Approval برای Remediation.

6. KPIهای حیاتی SOC

7. خطر Queue Backlog

Queue Backlog یعنی Event با تأخیر تحلیل می‌شود و Incident ناقص خواهد بود.

8. چرا بعد از مهاجرت، مصرف منابع کمتر می‌شود؟

OSMP با حذف Agentهای تکراری و ادغام Database و Storage، منابع EDR را ~30٪ و XDR را ~60٪ کاهش می‌دهد (در ~15000 Endpoint).

9. آیا OSMP جای SIEM (KUMA) را می‌گیرد؟

خیر، آن را ادغام می‌کند.

Incident & Response → OSMP
Log Retention / Compliance → KUMA

10. چه زمانی OSMP برای سازمان Overkill است؟

• SOC ندارید
• EPS < 500
• فقط Antivirus می‌خواهید

✅ KES + KSC کفایت دارد.