Matykite visą organizacijos saugumo situaciją vienoje vietoje

Organizacijos IT infrastruktūra kasdien generuoja didžiulį kiekį saugumo įvykių. Ugniasienės, serveriai, darbo vietos, autentifikavimo sistemos, debesijos paslaugos, aplikacijos ir tinklo įranga registruoja informaciją, kuri gali padėti identifikuoti kibernetinę ataką.

Problema – ši informacija dažnai išskaidyta tarp daugybės skirtingų sistemų.

SIEM (Security Information and Event Management) centralizuoja saugumo įvykius, analizuoja juos ir padeda aptikti grėsmes, kurių nebūtų galima pastebėti vertinant kiekvieną sistemą atskirai.

AVEDUS projektuoja, diegia, integruoja ir prižiūri SIEM bei saugumo analitikos sprendimus, suteikiančius organizacijai centralizuotą kibernetinio saugumo matomumą.

Kas yra SIEM?

SIEM – centralizuota saugumo informacijos ir įvykių valdymo platforma.

Ji renka žurnalus (logs) ir kitus saugumo duomenis iš skirtingų organizacijos infrastruktūros šaltinių, juos normalizuoja, koreliuoja ir analizuoja.

SIEM padeda atsakyti į svarbiausius saugumo klausimus:

Kas įvyko?

Kur tai įvyko?

Kuris vartotojas ar įrenginys buvo susijęs?

Ar atskiri įvykiai gali būti vienos atakos dalis?

Ar reikalingas saugumo komandos reagavimas?

Tokiu būdu tūkstančiai pavienių techninių įrašų paverčiami informacija, kurią galima naudoti realioms kibernetinėms grėsmėms aptikti.

Centralizuotas saugumo įvykių rinkimas

Efektyvi saugumo analizė prasideda nuo tinkamų duomenų.

SIEM gali rinkti informaciją iš įvairių organizacijos infrastruktūros komponentų:

• ugniasienių;

• maršrutizatorių ir komutatorių;

• VPN sprendimų;

• Windows ir Linux serverių;

• darbo vietų;

• Active Directory ir kitų identiteto sistemų;

• EDR/XDR sprendimų;

• elektroninio pašto apsaugos sistemų;

• WAF ir aplikacijų;

• duomenų bazių;

• debesijos infrastruktūros;

• pažeidžiamumų valdymo sistemų;

• OT/ICS saugumo sprendimų;

• kitų kibernetinio saugumo šaltinių.

Centralizuotas duomenų rinkimas leidžia matyti saugumo situaciją visos organizacijos mastu.

Įvykių koreliacija

Vienas atskiras įvykis nebūtinai reiškia kibernetinę ataką.

Tačiau keli tarpusavyje susiję įvykiai gali parodyti visiškai kitą situaciją.

Pavyzdžiui:

Daug nesėkmingų prisijungimų → Sėkmingas prisijungimas → Administratoriaus teisių suteikimas → Ryšys su neįprastu išoriniu adresu.

Kiekvienas iš šių įvykių atskirai gali neatrodyti kritinis.

SIEM koreliacija leidžia juos susieti pagal vartotoją, įrenginį, IP adresą, laiką ir kitus parametrus bei identifikuoti galimą atakos scenarijų.

Grėsmių aptikimas

SIEM platformoje kuriamos aptikimo taisyklės ir analitiniai scenarijai, skirti identifikuoti įtartiną veiklą.

Gali būti aptinkami:

• bandymai perimti vartotojų paskyras;

• privilegijų eskalavimas;

• įtartinas administratorių aktyvumas;

• kenkėjiškos programinės įrangos požymiai;

• neįprasti prisijungimai;

• bandymai judėti tarp sistemų;

• ryšiai su žinomais kenkėjiškais adresais;

• galimas duomenų perdavimas į išorę;

• saugumo politikų pakeitimai;

• kiti organizacijai aktualūs atakos scenarijai.

Svarbiausia SIEM vertė yra ne surinktų žurnalų kiekis, o gebėjimas iš jų aptikti veiklą, kuri gali rodyti realią kibernetinę grėsmę.

Saugumo analitika

Šiuolaikinė saugumo analitika neapsiriboja iš anksto aprašytomis taisyklėmis.

Analizuojant didelius duomenų kiekius galima ieškoti anomalijų ir vartotojui, įrenginiui ar sistemai nebūdingo elgesio.

Pavyzdžiui, įtarimą gali kelti:

• vartotojo prisijungimas neįprastu metu;

• prieiga prie sistemų, kuriomis jis įprastai nesinaudoja;

• neįprastai didelis perduodamų duomenų kiekis;

• netikėtas administravimo įrankių naudojimas;

• nauji ryšiai tarp infrastruktūros komponentų.

Tokia analitika padeda aptikti ir tuos incidentus, kuriems dar nėra sukurtos konkrečios aptikimo taisyklės.

UEBA – vartotojų ir įrenginių elgsenos analizė

UEBA (User and Entity Behavior Analytics) analizuoja vartotojų, įrenginių ir kitų infrastruktūros objektų elgseną.

Sistema gali formuoti įprastos veiklos profilį ir identifikuoti reikšmingus nukrypimus.

Tai ypač naudinga aptinkant:

• kompromituotas vartotojų paskyras;

• netipinį privilegijuotų paskyrų naudojimą;

• galimas vidines grėsmes;

• neįprastą prieigą prie duomenų;

• kitą elgseną, kurią sunku aptikti tradicinėmis taisyklėmis.

Threat Intelligence integracija

Saugumo įvykius galima papildyti informacija apie žinomas kibernetines grėsmes.

Threat Intelligence šaltiniai suteikia informaciją apie kenkėjiškus IP adresus, domenus, failų indikatorius ir kitus kompromitavimo požymius.

Integravus šią informaciją su SIEM galima greičiau identifikuoti organizacijos infrastruktūros ryšius su žinoma kenkėjiška infrastruktūra.

MITRE ATT&CK ir aptikimo scenarijai

Saugumo stebėjimas turi būti orientuotas ne tik į atskirus įspėjimus, bet ir į realius užpuolikų veiksmus.

Todėl aptikimo scenarijai gali būti siejami su MITRE ATT&CK metodika, aprašančia kibernetinių užpuolikų naudojamas taktikas ir technikas.

Tai leidžia sistemingai vertinti, kokias atakos fazes organizacija geba aptikti ir kuriose srityse matomumą reikia sustiprinti.

SIEM ir incidentų tyrimas

Įvykus kibernetiniam incidentui svarbu suprasti ne tik dabartinę situaciją, bet ir tai, kas vyko prieš kelias valandas, dienas ar savaites.

Centralizuotai saugomi žurnalai leidžia atkurti incidento chronologiją.

Galima nustatyti:

• kada prasidėjo įtartina veikla;

• kokia paskyra buvo naudojama;

• kurios sistemos buvo pasiektos;

• kaip užpuolikas judėjo infrastruktūroje;

• kokius veiksmus atliko;

• kokios kitos sistemos galėjo būti paveiktos.

Todėl SIEM yra svarbus ne tik grėsmių aptikimo, bet ir reagavimo į incidentus bei jų tyrimo įrankis.

SIEM ir automatizavimas

Didėjant saugumo įspėjimų skaičiui, dalį pasikartojančių procesų galima automatizuoti.

SIEM gali būti integruojamas su SOAR (Security Orchestration, Automation and Response) ar kitomis saugumo platformomis.

Priklausomai nuo incidento tipo gali būti automatiškai:

• surenkama papildoma informacija;

• tikrinami grėsmės indikatoriai;

• praturtinamas saugumo įspėjimas;

• inicijuojami nustatyti reagavimo procesai;

• perduodama informacija atsakingiems specialistams.

Automatizavimas padeda sumažinti reakcijos laiką ir leidžia saugumo specialistams daugiau dėmesio skirti sudėtingesniems incidentams.

SIEM diegimas

Vien įdiegti SIEM programinę įrangą nepakanka.

Didžiausią vertę sukuria tinkamai suplanuota architektūra, duomenų šaltinių pasirinkimas ir organizacijai aktualūs grėsmių aptikimo scenarijai.

AVEDUS SIEM diegimo procesas gali apimti:

1. Esamos infrastruktūros analizę

Identifikuojame svarbiausias sistemas, saugumo sprendimus ir duomenų šaltinius.

2. SIEM architektūros projektavimą

Numatome duomenų surinkimą, saugojimą, integracijas ir reikalingus platformos komponentus.

3. Duomenų šaltinių integravimą

Prijungiame ugniasienes, serverius, identiteto, endpoint, debesijos ir kitas sistemas.

4. Aptikimo scenarijų kūrimą

Konfigūruojame organizacijos rizikas ir infrastruktūrą atitinkančias koreliacijos bei aptikimo taisykles.

5. Optimizavimą

Mažiname nereikšmingų įspėjimų kiekį ir tobuliname aptikimo logiką pagal realius infrastruktūros duomenis.

SIEM optimizavimas

Dažna jau veikiančių SIEM sistemų problema – surenkama labai daug duomenų, tačiau gaunama per mažai naudingos saugumo informacijos.

Per didelis įspėjimų skaičius gali sukelti alert fatigue – situaciją, kai specialistams tampa sunku atskirti svarbius incidentus nuo nereikšmingų įvykių.

Todėl periodiškai svarbu peržiūrėti:

• renkamus duomenų šaltinius;

• koreliacijos taisykles;

• įspėjimų prioritetus;

• klaidingų teigiamų rezultatų kiekį;

• naujus atakos scenarijus;

• infrastruktūros pokyčius.

Gerai sukonfigūruotas SIEM turi generuoti ne daugiau įspėjimų, o daugiau naudingos informacijos apie realias grėsmes.

SIEM ir SOC/MDR

SIEM ir SOC/MDR nėra tas pats.

SIEM yra technologinė platforma, kuri surenka ir analizuoja saugumo informaciją.

SOC/MDR yra saugumo operacijų paslauga, kurioje specialistai nuolat stebi įspėjimus, analizuoja grėsmes ir reaguoja į incidentus.

SIEM gali veikti kaip technologinis SOC pagrindas, tačiau tam, kad įspėjimai būtų nuolat analizuojami ir į incidentus būtų operatyviai reaguojama, reikalingi žmonės ir aiškūs procesai.

Todėl SIEM sprendimas gali būti integruojamas su AVEDUS SOC/MDR paslaugomis.

IT ir OT saugumo analitika

Organizacijoms, naudojančioms pramonines ar kitas OT sistemas, svarbu turėti bendrą IT ir OT saugumo situacijos matomumą.

OT saugumo platformų generuojami įvykiai gali būti integruojami su SIEM ir koreliuojami su informacija iš IT infrastruktūros.

Tai padeda aptikti atakos scenarijus, kurie prasideda IT aplinkoje ir vėliau gali būti nukreipti į kritines OT sistemas.

SIEM ir NIS2

Centralizuotas saugumo įvykių rinkimas ir analizė padeda organizacijai gerinti kibernetinių incidentų aptikimo bei tyrimo galimybes.

SIEM suteikia galimybę centralizuotai stebėti svarbiausias sistemas, identifikuoti įtartiną veiklą ir išsaugoti incidentų analizei reikalingą informaciją.

Todėl SIEM ir saugumo analitika gali būti svarbi platesnio NIS2 pasirengimo, incidentų valdymo ir kibernetinio atsparumo stiprinimo proceso dalis.

Nuo žurnalų rinkimo iki realaus grėsmių aptikimo

SIEM vertė matuojama ne tuo, kiek milijonų įvykių sistema surenka.

Svarbiausia – ar iš šių duomenų organizacija gali laiku suprasti, kad vyksta kibernetinė ataka.

Todėl efektyvų SIEM procesą formuojame taip:

Duomenų surinkimas → Normalizavimas → Koreliacija → Saugumo analitika → Grėsmės aptikimas → Tyrimas → Reagavimas.

Tai leidžia techninius infrastruktūros duomenis paversti realiai naudojama kibernetinio saugumo informacija.

Kodėl AVEDUS?

SIEM ir infrastruktūros kompetencija

Suprantame ne tik SIEM platformą, bet ir sistemas, iš kurių ji gauna informaciją – tinklus, ugniasienes, serverius, galinius įrenginius, identiteto ir debesijos infrastruktūrą.

Orientacija į grėsmių aptikimą

SIEM projektuojame ne kaip žurnalų saugyklą, o kaip realių kibernetinių grėsmių aptikimo ir analizės platformą.

IT ir OT matomumas

Galime integruoti tiek tradicinės IT infrastruktūros, tiek OT saugumo įvykius.

Nuo projektavimo iki optimizavimo

AVEDUS gali suprojektuoti SIEM architektūrą, įdiegti platformą, integruoti duomenų šaltinius, kurti aptikimo scenarijus ir optimizuoti jau veikiančią sistemą.

Integracija su SOC/MDR

SIEM gali būti papildytas nuolatine saugumo specialistų stebėsena, grėsmių analize ir reagavimu į incidentus.