Усиление ядра (часть 1) — информация о безопасности и управление событиями
SIEM помогает специалистам по безопасности сопоставлять и анализировать в реальном времени предупреждения системы безопасности, генерируемые сетевыми устройствами, аппаратным и программным обеспечением. Обычно этот элемент игнорируют менее зрелые ИТ-отделы, но он является частью модели зрелости, которую приняли или внедряют большинство зрелых организаций, и ее можно найти в оптимизированных хорошо управляемых ИТ-операциях. В этой статье основное внимание будет уделено важности SIEM и тому, почему он необходим для достижения более высокого уровня безопасности при усилении защиты ядра.
Как вы можете управлять тем, за чем не следите?
Введение
Управление информацией о безопасности и событиями (SIEM) объединяет функции управления информацией о безопасности (SIM) и событиями безопасности (SEM) в одной системе управления. Основной движущей силой внедрения SIEM для большинства организаций является обнаружение угроз и реагирование на них в режиме реального времени; однако это только одна маленькая часть головоломки SIEM. SIEM гораздо более выгоден, и его следует рассматривать как важную часть пути организации к безопасной работе ИТ, борясь с проблемами, связанными с потенциальными угрозами безопасности, проблемами соответствия и управления рисками, особенно в сегодняшней более крупной и постоянно растущей организации, которая является более рассредоточенной, многогранной и требовательный к управлению.
SIEM, SIM и SEM
Классификация SIM, SEM и SIEM время от времени трансформируется, когда дело доходит до их окончательных характеристик, нет единой точки зрения. При этом организации часто сталкиваются с проблемой четкого определения своих уникальных требований, прежде чем определять и внедрять эти системы. Настоящая проблема заключается в том, что нужно просмотреть так много данных, что простая задача становится непосильной даже для хорошо обеспеченного ИТ-отдела или отдела внутренней безопасности.
Каковы различия между решениями?
Общие функции SIM-карты:
- управление журналами и отчеты о событиях безопасности путем сбора и анализа данных
- Бухучет, ведение учета, делопроизводство
- отчетность о соответствии для поддержания преимуществ соблюдения нормативных требований
- управление соответствием с помощью политик
- анализ угроз безопасности и управление угрозами
- судебная экспертиза
Общие функции СЭМ:
- мониторинг событий безопасности в режиме реального времени
- мониторинг и идентификация угроз
- поддерживать организацию или ИТ-представителя в выявлении и реагировании на угрозы безопасности с немедленной корреляцией событий (охватывающей несколько устройств и местоположений) и реагированием на инциденты
SIEM:
Более многогранная пользовательская среда ориентируется на решение SIEM, решение, которое сочетает в себе функции как SIM, так и SEM для удовлетворения неточных требований организаций. Решение SIEM избавляет организацию от необходимости уточнять конкретные требования, поскольку они объединены в единое решение.
Важность SIEM
- Согласие
Необходимость соответствия имеет фундаментальное значение в промышленности. Все организации должны убедиться, что они соблюдают одно или несколько правил. Проблемы достижения, а затем поддержания соответствия являются огромными для большинства. С помощью SIEM можно удовлетворить требования соответствия. Применяя SIEM, можно собирать большие объемы данных о событиях и использовать широкий спектр аналитических отчетов.
- Операционная поддержка
Операции часто фрагментированы между различными группами и группами поддержки. Когда возникают проблемы, это затрудняет обмен и сбор данных и совместную работу. SIEM имеет возможность собирать информацию из несвязанных систем; объединяет его для удобного просмотра и совместной работы.
- Обнаружение угроз
Траектории атак постоянно меняются, и организации остаются уязвимыми для многих форм атак. Другие часто используемые сдерживающие факторы/решения, т.е. брандмауэры и антивирусы, работают для обнаружения вредоносной активности в различных точках ИТ-инфраструктуры. SIEM способен обнаруживать угрозы нулевого дня, в отличие от других решений, обнаруживая атаки с использованием неизвестных уязвимостей. В сочетании с широко используемыми решениями SIEM повышает безопасность за счет обнаружения угроз, которые могут обойти традиционные средства защиты.
- Судебно-медицинское расследование
С ростом количества устройств и приложений, сложной средой и обилием данных из нескольких источников без работающего решения SIEM этот процесс становится пугающим. SIEM позволяет проводить оперативные комплексные судебные расследования, которые допустимы в суде. SIEM позволяет хранить и защищать журналы, а также предоставляет инструменты для эффективного просмотра и сопоставления данных в ИТ-инфраструктуре для выявления проблем безопасности, эксплуатации и соответствия требованиям.
- Ведение журналов и отчетность
SIEM обеспечивает экономичный мгновенный доступ к текущим данным журнала, а также извлечение старых или архивных данных, индексирование данных, хранение и создание отчетов. Можно управлять большими объемами данных. Система также имеет возможности оповещения и корреляции, а также поддержку аудита для отчетов о соответствии (включая отчеты о доступе пользователей и ресурсов).
Обеспечение оптимальной работы вашей SIEM-системы
Решения SIEM — это сложные продукты, и в большинстве случаев требуются определенные усилия для обеспечения оптимальной производительности. По своей конструкции они могут собирать журналы и данные о событиях с нескольких устройств, применять процедуры корреляции в реальном времени и прямые оповещения об обнаруженных событиях, и все это одновременно — многое происходит.
SIEM не без проблем. Организации часто недовольны эффективностью систем SIEM в своих конфигурациях по умолчанию, но никогда не тратят время, необходимое для получения преимуществ, которые может предоставить SIEM. Первоначальное развертывание — это простая часть, однако достижение точки, в которой SIEM сможет давать четкие и существенные результаты, требует вашего времени и тяжелой работы. Организации потребуется потратить время на сопоставление взаимосвязей между событиями и рисками и создание необходимых журналов, правил и взаимосвязей.
Области, которые могут повлиять на производительность SIEM:
- Сбор данных, важно найти баланс между сбором, хранением и анализом данных.
- Объемы данных в некоторых организациях чрезвычайно велики, и при ограниченных ресурсах управление данными становится непосильным.
- Постоянное изменение поведения пользователей, т. е. социальные сети, мобильные устройства и мобильные компьютеры.
- Увеличение количества устройств и приложений на рабочем месте
- Управление системой мониторинга
- Повышенная сложность угроз безопасности
- Неспособность интерпретировать данные
Шаги к повышению производительности
- Защитите команду SIEM
Ваш мониторинг сравним с качеством команды, назначенной организацией для системы SIEM. Важно, чтобы команда, отвечающая за управление, мониторинг, настройку и извлечение необходимой информации из журналов, была хорошо осведомлена. - Разработайте эффективную программу мониторинга
- Выявляйте риски и хорошо разбирайтесь в своих уязвимостях и слабых местах в системе безопасности.
- Это помогает сосредоточиться на результатах или информации, которую вы пытаетесь получить.
- Определите, какие системы или компоненты следует отслеживать в порядке приоритета. Составив список, активы можно контролировать в соответствии с областями высокого риска, имеющими приоритет.
- Рассмотрите возможность интеграции SIEM в приложения
- Имейте в виду, что некоторые приложения не генерируют данные журнала, которые могут быть включены в SIEM, это избавит вас от многих хлопот в дальнейшем.
- Определите, о каких событиях организация должна быть предупреждена и какая информация должна быть известна в отношении активов.
- Если вы не можете найти всю необходимую информацию, важно внести изменения в систему, изменив уровни ведения журнала или установив дополнительные системы для предоставления необходимой информации.
- Убедитесь, что вы собираете данные из ряда групп, которым могут быть полезны собранные данные журнала.
- Настройка вашей SIEM
- Выберите первый актив в списке для использования в качестве компонента начальной настройки; первоначальная настройка будет самой громоздкой. Для правильной настройки актива/группы вам потребуется хорошее понимание требований, компонентов и событий этой конкретной группы.
- Разработка политик/правил
- Будьте готовы к ложным срабатываниям
- Используя группу с четкими требованиями соответствия для начальной настройки, процесс будет намного проще.
- Определите события, которые будут указывать на несоблюдение и нарушение политики
- Будьте достаточно непредубежденными, чтобы построить маршрут, по которому новые возможности SIEM могут быть добавлены, если это необходимо, на более позднем этапе.
- Анализ
- Проанализируйте системы, связанные с активом
- Систематически извлекать информацию из журналов, потоков событий и систем для обнаружения любых угроз безопасности в соответствии с событиями, ранее определенными как несоответствующие или нарушение безопасности.
- Справочные данные так же важны, как и данные в реальном времени. Такие данные, как списки активов, результаты сканирования уязвимостей и данные анализа угроз. Эти данные важны, когда речь идет о приоритизации событий, и могут сэкономить время при расследовании.
- Делайте акцент на возможностях корреляции, так как это может помочь связать события, которые обычно не воспринимаются людьми.
- После внедрения SIEM собираемые данные следует периодически оценивать.
Один из вопросов, который часто задают моей службе безопасности, заключается в том, должны ли мы делать это сами и нужно ли это нам? Если вы прочитали вышеизложенное, я думаю, вы согласитесь, что если вы не осуществляете мониторинг, вы не управляете, и что в SIEM есть гораздо больше, чем кажется на первый взгляд. Если вы не готовы взять на себя эту ответственность, но по-прежнему считаете, что вам следует инвестировать в SIEM, возможно, вам стоит поработать с экспертами, которые помогут внедрить или запустить решение от вашего имени. Начать — это самая сложная часть, мой совет: чем раньше вы начнете мониторинг, тем быстрее вы получите представление о том, чего вы не знали, о том, что происходит в ваших системах и сети.
Вывод
Решение о развертывании SIEM зависит от ряда факторов, включая бизнес-требования, доступный персонал службы поддержки, сетевую архитектуру, окно обслуживания и пропускную способность. Чтобы получить максимальную отдачу от технологии SIEM, потребуются значительные первоначальные усилия. Система SIEM так же ценна, как и усилия, затраченные на понимание и использование системы, и без усилий по настройке это просто менеджер журналов. Технология SIEM с ее способностью автоматизировать мониторинг журналов, распознавание образов, оповещение, криминалистику и корреляцию — это путь к хорошо организованной и зрелой ИТ-операции.