Splunk w akcji. Radosław Żak-Brodalko Solutions Architect Linux Polska Sp. z o.o.

Transkrypt

1 Splunk w akcji Radosław Żak-Brodalko Solutions Architect Linux Polska Sp. z o.o. 1

2 Splunk agent wiedzy o infrastrukturze czyli SIEM i coś więcej 2 Splunk gromadzi oraz integruje informacje dotyczące funkcjonowania infrastruktury i systemów IT Pozwala na łatwą analizę danych bez ich uprzedniego przetwarzania lub przygotowania Potrafi analizować dane zapisane w dowolnym formacie (nawet binarnym!) Splunk pozwala z łatwością kojarzyć informacje oraz pozwala na intuicyjne drążenie zbieranych danych

3 Architektura Splunk model agentowy Agent w postaci tzw. forwardera zbiera dane na poszczególnych systemach małe wymagania infrastrukturalne przenośność (wieloplatformowość) Serwer (indekser) mogący pełnić szereg funkcji 3 gromadzi i przetwarza dane z agentów podział danych na zdarzenia funkcje systemu bazy danych (własna baza) funkcje retencji i kontroli dostępu realizuje funkcje interfejsu użytkownika

4 Architektura Splunk modułowość Moduły techniczne (tzw. dodatki technologiczne) zestawy gotowych konfiguracji powtarzalność konfiguracji Aplikacje analityczne 4 zestawy gotowych narzędzi analitycznych raporty kokpity analizy możliwość samodzielnego tworzenia aplikacji zarządzanie wiedzą analityczną

5 Architektura Splunk modułowość Moduły techniczne (tzw. dodatki technologiczne) zestawy gotowych konfiguracji powtarzalność konfiguracji Aplikacje analityczne 5 zestawy gotowych narzędzi analitycznych raporty kokpity analizy możliwość samodzielnego tworzenia aplikacji zarządzanie wiedzą analityczną

6 Splunk UF system #1 (Linux) indeks #3 indeks #2 indeks #1 Indexer #1 aplikacja #1 Splunk UF system #2 (Windows Server) Search Head indeks #4 aplikacja #2 Indexer #2 Splunk UF system #3 (AIX) 6 SNMP Trap SYSLOG router (CISCO Catalyst)

7 Możliwości analizy informacji w Splunk Różne zdarzenia są organizowane w jednolity sposób Automatyczna klasyfikacja zdarzeń w indeksie 7 źródło plik, port TCP, skrypt typ źródła specyficznie dla konfiguracji host system, na którym zarejestrowano zdarzenie Automatyczna ekstrakcja danych (schematy ekstrakcji) klucz-wartość... a=1 XML... <a>1</a> JSON... a: 1 Samodzielna ekstrakcja danych

8 Możliwości analizy informacji w Splunk 8 Dedykowany intuicyjny język zapytań Strumieniowe przetwarzanie danych zdarzeń Zaawansowane funkcje analityczne wyszukiwanie anomalii transakcyjność mechanizmy relacyjne asocjacja agregacja

9 Możliwości analizy informacji w Splunk error host=webapp* >> 400 Dedykowany intuicyjny językerror zapytań error OR OR failure failure host=webapp* error 400 error chart count Strumieniowe przetwarzanie danych zdarzeń error eval eval chart count by by srv srv Zaawansowane funkcje analityczne wyszukiwanie anomalii host=web* anomalies search host=web* anomalies search unexpectedness unexpectedness >> transakcyjność host=web* transaction host=web* transaction jsessionid jsessionid mechanizmy relacyjne sourcetype=web join cid sourcetype=web join cid [[ search search source=*/aud.log source=*/aud.log ]] asocjacja sourcetype=auth sourcetype=auth associate associate user_dept user_dept user_role user_role agregacja host=web* transaction host=web* transaction id id stats stats avg(duration) avg(duration) by by host host 9

10 Możliwości analizy informacji w Splunk 10 Analiza zdarzeń w trybie interaktywnym graficzny interfejs użytkownika (technologia Web) drążenie danych (drill-down) różne metody wizualizacji danych praca w czasie rzeczywistym Interakcja złożona budowanie kokpitów (dashboards) parametryzacja interaktywnych raportów analitycznych organizacja informacji w aplikacje analityczne

11 Możliwości analizy informacji w Splunk Bezpieczeństwo informacji model kontroli dostępu h-rbac ukrywanie danych wrażliwych zdarzeń integracja z AD, LDAP, (moduły) kontrola dostępu do danych na poziomie indeksu na poziomie zdrzenia (filtrowanie wg cech) kontrola dostępu do funkcji systemu kontrola wykorzystania zasobów (limity) kontrola dostępu do obiektów wiedzy 11

12 Splunk w operacjach IT Funkcje wspierające działania operacyjne alerty powiadomienia o sytuacjach wyjątkowych pre-alerty powiadomienia zanim wystąpi sytuacja wyjątkowa (funkcje analityczne predykcja) Wykonanie żądanych akcji w reakcji na sytuację wykonanie zaplanowanej operacji wysłanie powiadomienia konsola alertów w Splunk Spójność 12 alerty są definiowane dla zapytania Splunk

13 Rekomendacja D : Reguły rejestrowania zdarzeń przez narzędzia monitorujące bezpieczeństwo powinny zostać sformalizowane. Zdarzenia te powinny podlegać systematycznej analizie. 9.28: Bank powinien posiadać udokumentowane zasady zarządzania wydajnością i pojemnością komponentów infrastruktury teleinformatycznej. 9.29: W celu zwiększenia efektywności procesu zarządzania wydajnością i pojemnością, bank powinien przeanalizować zasadność zastosowania narzędzi pozwalających na automatyzację monitorowania obciążenia zasobów : Systemy informatyczne przetwarzające dane o wysokiej istotności dla banku powinny posiadać mechanizmy pozwalające na automatyczną rejestrację zachodzących w nich zdarzeń w taki sposób, aby zapisy tych rejestrów mogły stanowić wiarygodne dowody niewłaściwego korzystania z tych systemów. 20: Bank powinien posiadać sformalizowane zasady zarządzania incydentami naruszenia bezpieczeństwa środowiska teleinformatycznego, obejmujące ich identyfikację, rejestrowanie, analizę, priorytetyzację, wyszukiwanie powiązań podejmowanie działań naprawczych oraz usuwanie przyczyn.

14 Dziękujemy za uwagę Radosław Żak-Brodalko Solutions Architect Linux Polska Sp. z o.o. 14