www.samag.ru
Журнал «БИТ. Бизнес&Информационные технологии»      
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
Журнал "Системный администратор"
Журнал «БИТ»
Подписка
Архив номеров
Где купить
Авторам
Рекламодателям
Контакты
   

  Опросы
  Статьи

Интеграция Open Source-решений  

Open Source в облачной среде

Облачные решения становятся всё более популярными в мире. Компании стремятся использовать их для

 Читать далее...

Автоматизация  

Нейросеть вам в руки! Как использовать ИИ для автоматизации задач

Использование ИИ для автоматизации задач помогает компании получить конкурентное преимущество, поскольку объединение

 Читать далее...

Рынок труда  

Специалист по этическому ИИ, инженер по квантовым вычислениям или аналитик по метавселенной?

Новые тенденции в развитии ИТ могут привести к возникновению новых специальностей в

 Читать далее...

Книжная полка  

Учитесь убеждать и побеждать

Издательство «БХВ», как всегда, порадовало своих читателей хорошими книжными новинками. Кроме популярных

 Читать далее...

Сетевая инфраструктура  

Как удаленная работа меняет подход к сетевой инфраструктуре?

С увеличением числа сотрудников, работающих из дома, организации сталкиваются с необходимостью создания

 Читать далее...

Мониторинг  

Какой мониторинг нужен сегодня?

По мнению экспертов ГК InfoWatch, действия сотрудников – самая распространенная причина инцидентов

 Читать далее...

Книжная полка  

Руководство для тех, кто увлечен ИИ, программированием. И дизайном

Накануне лета издательство «БХВ» выпустило книжные новинки, от которых любителям чтения будет

 Читать далее...

Мобильные приложения  

Искусственный интеллект в мобильных приложениях: возможности и перспективы

Обзор современных применений ИИ в мобильных приложениях, анализ перспектив развития этой технологии,

 Читать далее...

ИТ-образование  

Как сделать ИТ-образование эффективным?

Эксперты ИТ-отрасли отвечают на вопросы «СА». Обсуждаем ключевые аспекты для улучшения образовательных

 Читать далее...

Work-life balance  

Как айтишнику найти баланс между работой и личной жизнью?

Обсуждаем инструменты для эффективного управления временем, снижения уровня стресса и достижения гармонии. На

 Читать далее...

Книжная полка  

Всё самое нужное – под одной обложкой

Отличительная черта книжных новинок, выпущенных недавно издательством «БХВ» – это их универсальность. Не просто

 Читать далее...

ИТ-инфраструктура  

Системы мониторинга ИТ-инфраструктуры-2025

Без мониторинга ИТ-инфраструктуры не обходится ни одна компания, хотя бы потому, что

 Читать далее...

Открытое ПО  

Безопасность Open Source: рискуем или контролируем?

Компания «Кросс технолоджис» изучила, как используется ПО с открытым кодом в компаниях

 Читать далее...

Работа с нейросетью  

Скажи, есть ли у тебя AI, и я скажу, кто ты

Недавно сервис по поиску работы SuperJob выяснил, что каждый второй россиянин уже

 Читать далее...

1001 и 1 книга  
19.03.2018г.
Просмотров: 9395
Комментарии: 0
Машинное обучение с использованием библиотеки Н2О

 Читать далее...

12.03.2018г.
Просмотров: 9638
Комментарии: 0
Особенности киберпреступлений в России: инструменты нападения и защита информации

 Читать далее...

12.03.2018г.
Просмотров: 7043
Комментарии: 0
Глубокое обучение с точки зрения практика

 Читать далее...

12.03.2018г.
Просмотров: 4401
Комментарии: 0
Изучаем pandas

 Читать далее...

12.03.2018г.
Просмотров: 5182
Комментарии: 0
Программирование на языке Rust (Цветное издание)

 Читать далее...

19.12.2017г.
Просмотров: 5185
Комментарии: 0
Глубокое обучение

 Читать далее...

19.12.2017г.
Просмотров: 7852
Комментарии: 0
Анализ социальных медиа на Python

 Читать далее...

19.12.2017г.
Просмотров: 4554
Комментарии: 0
Основы блокчейна

 Читать далее...

19.12.2017г.
Просмотров: 4817
Комментарии: 0
Java 9. Полный обзор нововведений

 Читать далее...

16.02.2017г.
Просмотров: 8798
Комментарии: 0
Опоздавших не бывает, или книга о стеке

 Читать далее...

17.05.2016г.
Просмотров: 12231
Комментарии: 0
Теория вычислений для программистов

 Читать далее...

30.03.2015г.
Просмотров: 13819
Комментарии: 0
От математики к обобщенному программированию

 Читать далее...

18.02.2014г.
Просмотров: 15584
Комментарии: 0
Рецензия на книгу «Читаем Тьюринга»

 Читать далее...

13.02.2014г.
Просмотров: 10451
Комментарии: 0
Читайте, размышляйте, действуйте

 Читать далее...

12.02.2014г.
Просмотров: 8484
Комментарии: 0
Рисуем наши мысли

 Читать далее...

10.02.2014г.
Просмотров: 6713
Комментарии: 4
Страна в цифрах

 Читать далее...

18.12.2013г.
Просмотров: 5860
Комментарии: 0
Большие данные меняют нашу жизнь

 Читать далее...

18.12.2013г.
Просмотров: 4707
Комментарии: 0
Компьютерные технологии – корень зла для точки роста

 Читать далее...

04.12.2013г.
Просмотров: 4432
Комментарии: 0
Паутина в облаках

 Читать далее...

03.12.2013г.
Просмотров: 4645
Комментарии: 1
Рецензия на книгу «MongoDB в действии»

 Читать далее...

Друзья сайта  

 SIEM-система: инструкция по применению

Архив номеров / 2022 / Выпуск №5 (234) / SIEM-система: инструкция по применению

Рубрика: Безопасность /  Продукты и решения

 ВИЗИТКА 



Павел Пугач,
системный аналитик «СёрчИнформ»

 

SIEM-система:
инструкция по применению

В российских компаниях все чаще используют SIEM-системы. Этому способствуют требования регуляторов, а также разрастание цифровой инфраструктуры, контролировать которую становится все сложнее. В идеальном мире с SIEM должен работать выделенный человек. В реальности эта почетная обязанность все чаще достается системным администраторам или специалистам по ИБ. А это все заботы о внедрении, настройке, написанию правил корреляции, аналитике. В этой статье хочу разобрать, с каким функционалом вам, возможно, придется работать в SIEM и ускорить «укрощение» системы.

 

Даже если вы раньше не имели дело с SIEM-системой, очень вероятно, что познакомиться с этим классом решений вам придется. Системы применяются все чаще, к этому подталкивают жесткие требования к защите инфраструктуры со стороны ФСТЭК, ЦБ и прочих регуляторов. Но требования их не оторваны от реальности – риски растут, а уследить за всем «зоопарком» ПО, железа, действительно, задача нетривиальная. SIEM-система позволяет автоматизировать работу.

Массовый отток зарубежных вендоров (IBM, HP, Microsoft, Oracle, Fortinet) добавляет головной боли: поставщики могут отключить функционал удаленно, остановить предоставление услуг даже при действующих лицензиях, может отказать «железо». Растут инсайдерские риски, например, вследствие использования VPN-сервисов. Их загрузка с конца февраля нынешнего года увеличилась на 1268%! Актуален вопрос контроля обновления ПО, при том, что администраторов беспокоит и противоположный риск – эти же обновления могут сделать из оборудования бесполезный кусок «железа».

За что хвататься в такой ситуации?

SIEM-системы приобретают совершенно новую актуальность. Они позволяют работать со всеми логами из одного окна, а также видеть взаимосвязи между событиями, распознавать в их цепочке инцидент, оповещать о нем ИБ-специалиста.

То есть SIEM-система соберет и в одном окне покажет:

  • Аномальные всплески событий на ПО и оборудовании (например, вирусные или DDoS-атаки).
  • На какое ПО или железо пришло принудительное обновление с отключением функционала.
  • У какого софта истекает лицензия.
  • Какие порты открыты на оборудовании

и т.д.


Алгоритм работы SIEM такой:

1. Сбор «фактуры» из источников: программ, устройств, оборудования

Сбором событий безопасности в SIEM занимаются коннекторы по протоколам передачи данных Syslog, Event Log и др. Например, из 1C, Active Directory, устройств Cisco, баз данных решений Kaspersky и т.д.

Коннекторов не бывает достаточно. Какой бы большой охват источников ни предусмотрел разработчик SIEM, «в поле» любую систему приходится «допиливать». Разница в том, насколько сложный механизм для этого предусмотрел вендор и насколько его техподдержка готова сопровождать вас в этом процессе.


2. Настройка правил корреляции для обнаружения проблем

С подключением каждого нового источника в систему начинает попадать огромное количество событий. Чтобы найти среди них опасные, существуют правила корреляции. Для каждого коннектора в системе по нескольку таких правил.

Например, для оборудования Cisco регистрируются в качестве событий безопасности входы под встроенной учетной записью или с повышенными привилегиями, ошибки маршрутизации и т.д. Для Active Directory – десятки ситуаций, от подбора пароля до временного изменения пользовательских прав.

По сути, правила – это заданные в программе описания инцидентов: если событие или группа событий обладает такими-то характеристиками, скорее всего, у вас проблемы.


3. Создание правил кросс-корреляции.

Дальше нужно создать правила кросс-корреляции – то есть политики для обнаружения закономерности между алертами от разных коннекторов.

Например, создание новой учетной записи Windows – вроде бы рядовое событие, но если от имени этой учетки в течение часа после создания запускается бэкап основной рабочей базы данных – это как минимум странно. Чтобы наверняка выяснить, представляет ли инцидент опасность, необходимо изучать контекст – какие еще события происходили в системе в это время и как они связаны с исходным.

Создание правил – это непростая аналитическая задача, для решения которой нужно представлять все признаки инцидента от источника. Если перед вами когда-то встанет вопрос выбора SIEM-системы, уделите внимание вопросу: есть ли предустановленные правила («из коробки»), нужно ли уметь программировать, чтобы прописать правила. И в целом – насколько отзывчива техподдержка у вендора, учат ли работать с SIEM бесплатно, сопровождают ли на этапе настройки.


Всё. Теперь можно работать.

В SIEM-системе вся информация о происходящем в ИТ-инфраструктуре наглядно визуализируется. Грубо говоря, за этим и приобретают SIEM – чтобы, бросив один взгляд на дашборд, администратор мог быстро удостовериться, что все в порядке. По написанным правилам SIEM будет снабжать уведомлениями, если в той или иной части инфраструктуры что-то произойдет.

Инструментов визуализации и представления данных в SIEM-системе может быть множество. Расскажем об этих инструментах на примере тех, что есть в нашей «СёрчИнформ SIEM».

Дашборд с виджетами показывает самую важную информацию: статистику инцидентов, трафик событий по коннекторам или пользователям, флаги правил для наиболее критичных коннекторов и т.п. Всего в системе 12 шаблонов, их можно настроить «под себя»: выбрать отчетный период, частоту обновлений, источник данных, коннекторы/правила и/или пользователей, по которым система отобразит сводку, а также вид графического представления (круговая диаграмма, график, гистограмма и т.п.).

Дашборд с виджетами

Сканер сети отвечает за инвентаризацию инфраструктуры, показывает все подключенные узлы: компьютеры, роутеры, свитчи, принтеры и прочее оборудование. Сканер помогает обнаружить открытые порты и отследить попытки несанкционированного подключения новых устройств.

На рис. «Сканер уязвимостей» показывает перечень уязвимостей, актуальных для данного ПО или устройства, благодаря данным из vulnerability-баз.

Сканер сети

Карта подключений, которая показывает, за какими ПК авторизованы какие пользователи. Плюс к этому она отражает поведение объектов в IT-инфраструктуре: тип и статус подключений (интерактивный, сетевой и др.), и их подробный анализ – всех сразу или точечно по пользователям/ПК.



Инструменты для расследования

Карта инцидентов позволяет составить общую картину, где, когда и сколько инцидентов ИБ произошло за заданный период. Она отображает все ПК и пользователей в системе и «подсвечивает» проблемные точки: например, если отфильтровать компьютеры, по которым за день было больше 10 000 событий.

Вкладка «Инциденты» – еще один вариант такого мониторинга. Во вкладке события рассортированы по правилам за выбранный период (сегодня, вчера, неделю назад и т.д.). Можно «провалиться» в любое подозрительное событие. По клику на плитку с правилом открывается таблица инцидентов с базовым описанием, по клику на инцидент – все его подробности.

Вкладка «Инциденты»

Инцидент-менеджмент – этакий аналог Jira для ИБ-отдела, позволяет объединять разные инциденты в одно расследование, назначать ответственных сотрудников службы ИБ, присваивать статусы хода расследования, добавлять комментарии и подводить итоги. Удобно, что «логику» инцидента можно тут же преобразовать в правило кросс-корреляции, а итоги каждого расследования – выгрузить в отчет или отправить на печать.

Мы предусмотрели три вида уведомлений о новых инцидентах: в консоли, в email, а также срочные алерты в Telegram. ИБ-специалист сразу видит необходимые вводные – что случилось, где и насколько это серьезно.

Такой «набор» инструментов мы в SIEM-системе собирали исходя из соображений достаточности и удобства: чтобы сделать систему максимально функциональной, при этом оставить ее коробочной – чтобы легко разворачивалась в течение часов и дней, а не месяцев как многие конкурентные решения.

Тот же принцип и в остальном: простой редактор правил корреляции, не требуется знать языки программирования. Благодаря этому даже если задача администрировать SIEM свалилась на вас как снег на голову, в «СёрчИнформ SIEM» вам будет легко разобраться. Более подробно о работе в системе будем рассказывать 28 июня на вебинаре «Укрощение SIEM-системы. Инструкция по применению для системных администраторов».

 

Ключевые слова: SIEM-система, безопасность, инцидент, инцидент-менеджмент, сканер уязвимостей, сканер сети, дашборд с виджетами, СёрчИнформ SIEM



Подпишитесь на журнал
Купите в Интернет-магазине

Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-45
E-mail: sa@samag.ru