কিভাবে একটি SIEM সিস্টেমের মালিকানার খরচ কমাতে হয় এবং কেন আপনার সেন্ট্রাল লগ ম্যানেজমেন্ট (CLM) প্রয়োজন

কিছুদিন আগে, স্প্লঙ্ক আরেকটি লাইসেন্সিং মডেল যোগ করেছে - অবকাঠামো-ভিত্তিক লাইসেন্সিং (এখন তাদের তিনটি আছে) তারা স্প্লঙ্ক সার্ভারের অধীনে CPU কোরের সংখ্যা গণনা করে। ইলাস্টিক স্ট্যাক লাইসেন্সিংয়ের মতোই, তারা ইলাস্টিক সার্চ নোডের সংখ্যা গণনা করে। SIEM সিস্টেমগুলি ঐতিহ্যগতভাবে ব্যয়বহুল এবং সাধারণত প্রচুর অর্থ প্রদান এবং প্রচুর অর্থ প্রদানের মধ্যে পছন্দ হয়। কিন্তু, যদি আপনি কিছু চাতুর্য ব্যবহার করেন, আপনি একটি অনুরূপ কাঠামো একত্রিত করতে পারেন।

এটা ভয়ঙ্কর দেখায়, কিন্তু কখনও কখনও এই স্থাপত্য উত্পাদন কাজ করে. জটিলতা নিরাপত্তাকে হত্যা করে এবং সাধারণভাবে সবকিছুকে হত্যা করে। প্রকৃতপক্ষে, এই ধরনের ক্ষেত্রে (আমি মালিকানার খরচ কমানোর কথা বলছি) সিস্টেমের একটি সম্পূর্ণ শ্রেণি রয়েছে - সেন্ট্রাল লগ ম্যানেজমেন্ট (সিএলএম)। এটা সম্পর্কে গার্টনার লিখেছেন, তাদের অবমূল্যায়ন বিবেচনা করে. এখানে তাদের সুপারিশ আছে:

• বাজেট এবং স্টাফিং সীমাবদ্ধতা, নিরাপত্তা পর্যবেক্ষণের প্রয়োজনীয়তা এবং নির্দিষ্ট ব্যবহারের ক্ষেত্রে প্রয়োজনীয়তা থাকলে CLM ক্ষমতা এবং সরঞ্জামগুলি ব্যবহার করুন।
• যখন একটি SIEM সমাধান খুব ব্যয়বহুল বা জটিল প্রমাণিত হয় তখন লগ সংগ্রহ এবং বিশ্লেষণ ক্ষমতা বাড়ানোর জন্য CLM প্রয়োগ করুন।
• নিরাপত্তা ঘটনা তদন্ত/বিশ্লেষণ এবং হুমকি শিকারকে সমর্থন করার জন্য দক্ষ স্টোরেজ, দ্রুত অনুসন্ধান এবং নমনীয় ভিজ্যুয়ালাইজেশন সহ CLM সরঞ্জামগুলিতে বিনিয়োগ করুন।
• নিশ্চিত করুন যে একটি CLM সমাধান বাস্তবায়নের আগে প্রযোজ্য কারণ এবং বিবেচনা বিবেচনা করা হয়েছে।

এই নিবন্ধে আমরা লাইসেন্সিং পদ্ধতির পার্থক্য সম্পর্কে কথা বলব, আমরা CLM বুঝব এবং এই শ্রেণীর একটি নির্দিষ্ট সিস্টেম সম্পর্কে কথা বলব - কোয়েস্ট ইনট্রাস্ট. কাটা অধীনে বিস্তারিত.

এই নিবন্ধের শুরুতে, আমি স্প্লঙ্ক লাইসেন্সিংয়ের নতুন পদ্ধতির বিষয়ে কথা বলেছি। লাইসেন্সের ধরনগুলিকে গাড়ি ভাড়ার হারের সাথে তুলনা করা যেতে পারে। আসুন কল্পনা করি যে মডেলটি, সিপিইউগুলির সংখ্যার পরিপ্রেক্ষিতে, সীমাহীন মাইলেজ এবং পেট্রল সহ একটি অর্থনৈতিক গাড়ি। আপনি দূরত্বের সীমাবদ্ধতা ছাড়াই যে কোনও জায়গায় যেতে পারেন, তবে আপনি খুব দ্রুত যেতে পারবেন না এবং সেই অনুযায়ী, দিনে অনেক কিলোমিটার কভার করতে পারেন। ডেটা লাইসেন্সিং একটি দৈনিক মাইলেজ মডেল সহ একটি স্পোর্টস কারের অনুরূপ। আপনি দীর্ঘ দূরত্বে বেপরোয়াভাবে গাড়ি চালাতে পারেন, তবে দৈনিক মাইলেজ সীমা অতিক্রম করার জন্য আপনাকে আরও বেশি অর্থ প্রদান করতে হবে।

লোড-ভিত্তিক লাইসেন্সিং থেকে উপকৃত হওয়ার জন্য, আপনার লোড হওয়া ডেটার GB থেকে CPU কোরের সর্বনিম্ন সম্ভাব্য অনুপাত থাকতে হবে। অনুশীলনে এর অর্থ এরকম কিছু:

• লোড করা ডেটাতে সম্ভাব্য সবচেয়ে ছোট সংখ্যক প্রশ্নের।
• সমাধানের সম্ভাব্য ব্যবহারকারীর সংখ্যা সবচেয়ে কম।
• যতটা সম্ভব সহজ এবং স্বাভাবিক ডেটা (যাতে পরবর্তী ডেটা প্রক্রিয়াকরণ এবং বিশ্লেষণে CPU চক্র নষ্ট করার প্রয়োজন নেই)।

এখানে সবচেয়ে সমস্যাযুক্ত জিনিস হল স্বাভাবিক ডেটা। আপনি যদি একটি SIEM-কে একটি প্রতিষ্ঠানের সমস্ত লগের সমষ্টি হতে চান, তাহলে এটি পার্সিং এবং পোস্ট-প্রসেসিংয়ের জন্য প্রচুর পরিশ্রমের প্রয়োজন। ভুলে যাবেন না যে আপনাকে এমন একটি আর্কিটেকচার সম্পর্কেও ভাবতে হবে যা লোডের মধ্যে পড়ে না, যেমন অতিরিক্ত সার্ভার এবং তাই অতিরিক্ত প্রসেসরের প্রয়োজন হবে।

ডেটা ভলিউম লাইসেন্সিং SIEM-এর maw-এ পাঠানো ডেটার পরিমাণের উপর ভিত্তি করে। ডেটার অতিরিক্ত উত্সগুলি রুবেল (বা অন্যান্য মুদ্রা) দ্বারা শাস্তিযোগ্য এবং এটি আপনাকে ভাবতে বাধ্য করে যে আপনি আসলে কী সংগ্রহ করতে চাননি। এই লাইসেন্সিং মডেলটিকে ছাড়িয়ে যাওয়ার জন্য, আপনি SIEM সিস্টেমে ইনজেকশন দেওয়ার আগে ডেটা কামড় দিতে পারেন। ইনজেকশনের আগে এই ধরনের স্বাভাবিককরণের একটি উদাহরণ হল ইলাস্টিক স্ট্যাক এবং কিছু অন্যান্য বাণিজ্যিক SIEM।

ফলস্বরূপ, আমাদের কাছে আছে যে অবকাঠামো দ্বারা লাইসেন্সিং কার্যকর হয় যখন আপনাকে ন্যূনতম প্রিপ্রসেসিং সহ শুধুমাত্র নির্দিষ্ট ডেটা সংগ্রহ করতে হবে এবং ভলিউম অনুসারে লাইসেন্সিং আপনাকে সব কিছু সংগ্রহ করার অনুমতি দেবে না। একটি মধ্যবর্তী সমাধানের জন্য অনুসন্ধান নিম্নলিখিত মানদণ্ডের দিকে পরিচালিত করে:

• ডেটা একত্রীকরণ এবং স্বাভাবিককরণকে সহজ করুন।
• শোরগোল এবং কম গুরুত্বপূর্ণ ডেটা ফিল্টারিং।
• বিশ্লেষণ ক্ষমতা প্রদান.
• SIEM-এ ফিল্টার করা এবং স্বাভাবিক ডেটা পাঠান

ফলস্বরূপ, টার্গেট SIEM সিস্টেমগুলিকে প্রক্রিয়াকরণে অতিরিক্ত CPU শক্তি নষ্ট করার প্রয়োজন হবে না এবং যা ঘটছে তাতে দৃশ্যমানতা হ্রাস না করে শুধুমাত্র সবচেয়ে গুরুত্বপূর্ণ ইভেন্টগুলি সনাক্ত করে উপকৃত হতে পারে।

আদর্শভাবে, এই ধরনের একটি মিডলওয়্যার সমাধানটি রিয়েল-টাইম সনাক্তকরণ এবং প্রতিক্রিয়ার ক্ষমতাও প্রদান করা উচিত যা সম্ভাব্য বিপজ্জনক কার্যকলাপের প্রভাব কমাতে এবং ইভেন্টের সম্পূর্ণ স্ট্রীমকে SIEM-এর দিকে ডেটার একটি দরকারী এবং সহজ পরিমাণে একত্রিত করতে ব্যবহার করা যেতে পারে। ঠিক আছে, তাহলে SIEM অতিরিক্ত সমষ্টি, পারস্পরিক সম্পর্ক এবং সতর্কতা প্রক্রিয়া তৈরি করতে ব্যবহার করা যেতে পারে।

সেই একই রহস্যময় মধ্যবর্তী সমাধানটি CLM ছাড়া অন্য কেউ নয়, যা আমি নিবন্ধের শুরুতে উল্লেখ করেছি। গার্টনার এটিকে এভাবে দেখেন:

এখন আপনি InTrust কিভাবে গার্টনার সুপারিশ মেনে চলে তা বের করার চেষ্টা করতে পারেন:

• ভলিউম এবং ডেটার প্রকারের জন্য দক্ষ সঞ্চয়স্থান যা সংরক্ষণ করতে হবে।
• উচ্চ অনুসন্ধান গতি.
• ভিজ্যুয়ালাইজেশন ক্ষমতাগুলি মৌলিক CLM-এর জন্য যা প্রয়োজন তা নয়, তবে হুমকি শিকার নিরাপত্তা এবং ডেটা বিশ্লেষণের জন্য একটি BI সিস্টেমের মতো।
• উপযোগী প্রাসঙ্গিক ডেটা (যেমন ভূ-অবস্থান এবং অন্যান্য) দিয়ে কাঁচা ডেটা সমৃদ্ধ করার জন্য ডেটা সমৃদ্ধকরণ।

Quest InTrust 40:1 পর্যন্ত ডেটা কম্প্রেশন এবং হাই-স্পিড ডিডুপ্লিকেশন সহ নিজস্ব স্টোরেজ সিস্টেম ব্যবহার করে, যা CLM এবং SIEM সিস্টেমের জন্য স্টোরেজ ওভারহেড হ্রাস করে।

গুগলের মতো সার্চ সহ আইটি সিকিউরিটি সার্চ কনসোল

একটি বিশেষ ওয়েব-ভিত্তিক IT সিকিউরিটি সার্চ (ITSS) মডিউল InTrust রিপোজিটরিতে ইভেন্ট ডেটার সাথে সংযোগ করতে পারে এবং হুমকির জন্য অনুসন্ধানের জন্য একটি সহজ ইন্টারফেস প্রদান করে। ইন্টারফেসটি এমনভাবে সরল করা হয়েছে যে এটি ইভেন্ট লগ ডেটার জন্য Google-এর মতো কাজ করে। ITSS ক্যোয়ারী ফলাফলের জন্য টাইমলাইন ব্যবহার করে, ইভেন্ট ক্ষেত্রগুলিকে একত্রিত ও গোষ্ঠীবদ্ধ করতে পারে এবং হুমকির শিকারে কার্যকরভাবে সহায়তা করে৷

InTrust নিরাপত্তা শনাক্তকারী, ফাইলের নাম এবং নিরাপত্তা লগইন শনাক্তকারী সহ উইন্ডোজ ইভেন্টকে সমৃদ্ধ করে। InTrust একটি সাধারণ W6 স্কিমা (কে, কী, কোথায়, কখন, কাদের এবং কোথা থেকে) ইভেন্টগুলিকে স্বাভাবিক করে তোলে যাতে বিভিন্ন উত্স থেকে ডেটা (উইন্ডোজ নেটিভ ইভেন্ট, লিনাক্স লগ বা সিসলগ) একক বিন্যাসে এবং এককভাবে দেখা যায়। অনুসন্ধান কনসোল।

InTrust রিয়েল-টাইম সতর্কতা, সনাক্তকরণ এবং প্রতিক্রিয়া ক্ষমতা সমর্থন করে যা সন্দেহজনক কার্যকলাপের কারণে সৃষ্ট ক্ষতি কমাতে একটি EDR-এর মতো সিস্টেম হিসাবে ব্যবহার করা যেতে পারে। অন্তর্নির্মিত নিরাপত্তা বিধিগুলি নিম্নলিখিত হুমকিগুলি সনাক্ত করে তবে সীমাবদ্ধ নয়:

• পাসওয়ার্ড স্প্রে করা।
• কারবারোস্টিং।
• সন্দেহজনক PowerShell কার্যকলাপ, যেমন Mimikatz এর মৃত্যুদন্ড কার্যকর করা।
• সন্দেহজনক প্রক্রিয়া, উদাহরণস্বরূপ, LokerGoga ransomware.
• CA4FS লগ ব্যবহার করে এনক্রিপশন।
• ওয়ার্কস্টেশনে একটি সুবিধাপ্রাপ্ত অ্যাকাউন্ট দিয়ে লগইন করে।
• পাসওয়ার্ড অনুমান আক্রমণ.
• স্থানীয় ব্যবহারকারী গোষ্ঠীর সন্দেহজনক ব্যবহার।

এখন আমি আপনাকে InTrust এর কয়েকটি স্ক্রিনশট দেখাব যাতে আপনি এর ক্ষমতার একটি ছাপ পেতে পারেন।

সম্ভাব্য দুর্বলতা অনুসন্ধানের জন্য পূর্বনির্ধারিত ফিল্টার

কাঁচা ডেটা সংগ্রহের জন্য ফিল্টারের সেটের একটি উদাহরণ

একটি ঘটনার প্রতিক্রিয়া তৈরি করতে নিয়মিত অভিব্যক্তি ব্যবহার করার একটি উদাহরণ

একটি PowerShell দুর্বলতা অনুসন্ধান নিয়ম সহ উদাহরণ

দুর্বলতার বর্ণনা সহ অন্তর্নির্মিত জ্ঞানের ভিত্তি

InTrust একটি শক্তিশালী টুল যা একটি স্বতন্ত্র সমাধান হিসাবে বা SIEM সিস্টেমের অংশ হিসাবে ব্যবহার করা যেতে পারে, যেমনটি আমি উপরে বর্ণনা করেছি। সম্ভবত এই সমাধান প্রধান সুবিধা আপনি ইনস্টলেশনের পরে অবিলম্বে এটি ব্যবহার শুরু করতে পারেন, কারণ হুমকি সনাক্তকরণ এবং তাদের প্রতিক্রিয়া জানাতে (উদাহরণস্বরূপ, ব্যবহারকারীকে ব্লক করা) জন্য InTrust-এর একটি বড় লাইব্রেরি রয়েছে।

নিবন্ধে আমি বক্সড ইন্টিগ্রেশন সম্পর্কে কথা বলিনি। কিন্তু ইনস্টলেশনের পরপরই, আপনি Splunk, IBM QRadar, Microfocus Arcsight, বা অন্য কোনো সিস্টেমে একটি ওয়েবহুকের মাধ্যমে ইভেন্ট পাঠানো কনফিগার করতে পারেন। নীচে InTrust থেকে ইভেন্ট সহ একটি কিবানা ইন্টারফেসের একটি উদাহরণ। ইলাস্টিক স্ট্যাকের সাথে ইতিমধ্যেই ইন্টিগ্রেশন রয়েছে এবং, যদি আপনি ইলাস্টিক-এর বিনামূল্যের সংস্করণ ব্যবহার করেন, তাহলে InTrust হুমকি সনাক্তকরণ, সক্রিয় সতর্কতা সম্পাদন এবং বিজ্ঞপ্তি পাঠানোর জন্য একটি সরঞ্জাম হিসাবে ব্যবহার করা যেতে পারে।

আমি আশা করি নিবন্ধটি এই পণ্য সম্পর্কে একটি ন্যূনতম ধারণা দিয়েছে। আমরা একটি পাইলট প্রকল্প পরীক্ষা বা পরিচালনা করার জন্য আপনাকে InTrust দিতে প্রস্তুত। আবেদন এ ছেড়ে দেওয়া যেতে পারে ফিডব্যাক ফর্ম আমাদের ওয়েবসাইটে।

তথ্য নিরাপত্তা সম্পর্কিত আমাদের অন্যান্য নিবন্ধ পড়ুন:

আমরা একটি র্যানসমওয়্যার আক্রমণ সনাক্ত করি, ডোমেন কন্ট্রোলারে অ্যাক্সেস পাই এবং এই আক্রমণগুলিকে প্রতিহত করার চেষ্টা করি

উইন্ডোজ-ভিত্তিক ওয়ার্কস্টেশনের লগগুলি থেকে কী দরকারী জিনিসগুলি বের করা যেতে পারে? (জনপ্রিয় নিবন্ধ)

প্লায়ার বা ডাক্ট টেপ ছাড়াই ব্যবহারকারীদের জীবনচক্র ট্র্যাক করা

কে এটা করেছিল? আমরা তথ্য নিরাপত্তা অডিট স্বয়ংক্রিয়

উত্স: www.habr.com