Security Master Class

Transkrypt

1 Security Master Class Platforma kompleksowej analizy zdarzeń Linux Polska SIEM Radosław Żak-Brodalko Senior Solutions Architect Linux Polska sp. z o.o.

2 Podstawowe problemy Jak pokryć lukę między technicznym zapisem zdarzeń, a realną wiedzą o zachowaniu i intencjach użytkownika Jak powiązać ze sobą dane pochodzące z różnych systemów i obszarów bezpieczeństwa systemowego i procesowego Jak zapobiegać, a nie leczyć skutki nadużyć przewidywanie, ale nie wróżenie Jak efektywnie zarządzać gromadzonymi danymi 2

3 3

4 Nasza misja Dostarczenie rozwiązania uniwersalnego nie jest wymagana specjalizowana integracja nie ma konieczności użycia złożonych baz danych system skalowalny od laptopa do serwerowni Wsparcie klienta wiedzą i doświadczeniem w zakresie bezpieczeństwa systemowego i jego analizy w kontekście stosowanej polityki bezpieczeństwa Instrumentacja rozwiązania 4

5 5

6 Koncepcja Unifikacja zapisu zdarzeń i konsolidacja informacji Automatyzacja ekstrakcji danych Zautomatyzowane wykrywanie anomalii Analiza zdarzeń w czasie rzeczywistym Skalowalność horyzontalna rozwiązania Zintegrowane narzędzia analizy zorientowanej na konkretne modele bezpieczeństwa HIPPA, Sarbanes-Oxley, PCI, Rezolucja 45 KPC ONZ, UoODO, specyficzne Automatyzacja procesów badania zgodności i raportowania 6

7 Unifikacja zapisu zdarzeń Informacje z dzienników systemowych baz danych dzienników audytu konfiguracji systemów (pliki, rejestr Windows, AD) zapisane w uniwersalnej, łatwej w interpretacji formie Generyczna forma (tekst) pozwala na łatwą automatyzację analiz oraz przeszukiwanie danych Dane nie ulegają nieodwracalnej, stratnej transformacji są zapisane w formie wyjściowej 7

8 Automatyzacja ekstrakcji danych Nie musimy znać i rozumieć zapisów zdarzeń, żeby użyć ich jako bazy do analiz rozumienie danych może przyjść z doświadczeniem Ekstrakcja danych w trakcie analizy nie wymaga ich ponownego wczytywania w przypadku zmiany potrzeb nie ma schematu ekstrakcji i rygoru formatu minimalne nakłady na dostosowanie do zmieniających się systemów Najpierw zdarzenia swobodnie rejestrujemy, następnie dokonujemy ich klasyfikacji i dekompozycji na oczekiwane informacje 8

9 Wykrywanie anomalii Rutynowo umysł ludzki porusza się tylko w obszarze zarejestrowanych wzorców poznawczych nie szukamy w danych czegoś, o czym jeszcze nie mamy pojęcia Algorytm dopasowania jest w stanie wskazać nieznane nam odchylenia od normy pomimo oczywistych ograniczeń, jest to doskonałe uzupełnienie umysłu analitycznego Anomalie są badane zarówno dla pojedynczych zdarzeń, jak i całych sekwencji np. wykrycie niestandardowych zachowań użytkownika 9

10 Analiza w czasie rzeczywistym Skuteczność reagowania na zdarzenia jest ściśle związana z szybkością ich rozpoznania Architektura pozwalającą na zastosowanie złożonej analityki danych w czasie rzeczywistym Wykorzystanie tzw. prelertów, czyli alarmów uprzedzających średnie pełzające linie trendu prognozowanie 10

11 Skalowalność Rozwój infrastruktury, a ilość rejestrowanych zdarzeń (przykład) Ilość systemów Ilość interfejsów Ilość danych audytu EPS EPS EPS EPS 900 EPS 720 EPS 560 EPS 420 EPS 300 EPS 200 EPS rok 1 rok 2 rok 3 rok 4 rok 5 rok 6 rok 7 rok 8 rok 9 rok 10 11

12 Zintegrowane modele analityczne Gotowe wzorce analiz i graficznej reprezentacji danych wspomagające analizę zgodności z wymaganiami polityki bezpieczeństwa Gotowe rozszerzenia wzbogacające analizę danych o nowe informacje geolokalizacja metadane z zewnętrznych zbiorów danych Wiedza konsultantów Linux Polska w przypadku realizacji własnych strategii zgodności (compliance) 12

13 Automatyzacja audytu Możliwość wykorzystania gotowych zestawów raportów i analiz realizujących poszczególne etapy audytu zgodności Wykorzystanie danych z dodatkowych źródeł portali społecznościowych treści poczty elektronicznej pracowników realizacji procesów biznesowych realizacji procesów zarządczych i decyzyjnych Automatyczne audyty, przeprowadzane regularnie, wg zadanego harmonogramu Możliwość łatwego dostosowania raportów do specyficznych wymagań i zmian w polityce bezpieczeństwa 13

14 Linux Polska SIEM Głównym komponentem rozwiązania są dedykowane aplikacje analityczne zrealizowane przez zespół Linux Polska Certyfikowani architekci i inżynierowie Splunk, certyfikowani specjaliści ds. bezpieczeństwa systemów teleinformatycznych Platforma systemowa Splunk Enterprise Splunk jest aktualnie klasyfikowany przez firmę Gartner jako lider w rankingu rozwiązań SIEM 14

15 Dziękujemy za uwagę Radosław Żak-Brodalko Senior Solutions Architect Linux Polska sp. z o.o.