🥇Verkko suoja taseme tõstmine pilveanalüsaatori kasutamise kaudu

Kogenematutel inimestel näib, et turvaadministraatori töö on põnev duell anti-häkkeri ja kurja häkkeri vahel, kes pidevalt tungivad ettevõtte võrku. Meie kangelane hoiab reaalajas oskuslike ja kiirete käsitsidega julgeid rünnakuid tagasi ning väljub lõpuks hiilgava võitjana.
Tõeline kuninglik muskeeteer klaviatuuriga, mis asendab mõõka ja muskeeti.

Kuid tegelikkuses näeb kõik välja igapäevaselt, tavalise ja isegi võib öelda, igavana.

Üks peamisi analüüsimeetodeid on endiselt sündmuste logide lugemine. Käsitleme hoolikalt järgmisi aspekte:

kes kust kuhu proovis siseneda, millisele ressurssile ta ligipääsu soovis, kuidas ta tõestas oma õigusi ressursile juurdepääsuks;
millised olid tõrked, vead ja lihtsalt kahtlased kokkulangemised;
kes ja kuidas proovis süsteemi vastupidavust, skaneeris porte, proovis paroole;
jne jne…

Kus siin, kurat, on romantika, karta on, et „ärge jääge rooli ääres magama”.

Kuna meie spetsialistid ei kaotaks lõpuks armastust kunsti vastu, leiutatakse neile tööriistu, mis muudavad elu lihtsamaks. Need on igasugused analüsaatorid (logide parsimise tööriistad), monitooringusüsteemid hädaolukordade teavitamiseks ja palju muud.

Kuid kui võtta hea tööriist ja proovida seda käsitsi iga seadmega siduda, näiteks Interneti-lüüsiga — see ei ole sugugi lihtne, ei ole mugav ja pealegi on vaja omada täiendavaid teadmisi erinevatest valdkondadest. Näiteks, kuhu paigutada selline monitooringutarkvara? Füüsilisele serverile, virtuaalmasinale, spetsiaalsele seadmele? Millises vormis andmeid salvestada? Kui kasutatakse andmebaasi, siis millist? Kuidas teha varukoopiat ja kas seda on vaja teha? Kuidas teostada haldust? Millist liidest kasutada? Kuidas kaitsta süsteemi? Millist krüpteerimismeetodit kasutada — ja palju muud.

Lihtsam on olukord, kui on olemas mingi ühtne mehhanism, mis võtab enda peale kõigi nimetatud küsimuste lahendamise, võimaldades administraatoril töötada rangelt oma spetsialiseerumise raames.

Traditsiooni kohaselt nimetatakse terminit "pilv" kõike, mis ei asu kohaliku hosti sees. Pilveteenus Zyxel CNM SecuReporter mitte ainult ei lahenda mitmeid probleeme, vaid pakub ka mugavaid tööriistu.

Mis on Zyxel CNM SecuReporter?

See on intelligentne analüütikas teenus, millel on andmete kogumise, statistilise analüüsi (korrelatsioon) ja aruandluse funktsioonid Zyxel'i ZyWALL seadmete jaoks. See annab võrguadministraatorile keskse ülevaate erinevatest tegevustest võrgus.
Näiteks võivad kurjategijad proovida rünnata kaitsesüsteemi, kasutades rünnakumehhanisme nagu stealthy, targeted ja persistent. SecuReporter tuvastab kahtlase käitumise, võimaldades administraatoril võtta vajalikke kaitsemeetmeid ZyWALL'i seadete kaudu.

Muidugi, ohutuse tagamine on mõeldamatu ilma pideva andmeanalüüsita ning reaalajas hoiatuste edastamiseta. Võib joonistada nii palju ilusaid graafikuid kui soovite, kuid kui administraator ei tea, mis toimub... Sellist olukorda SecuReporteriga kindlasti ei juhtu!

Mõned küsimused SecuReporteri kasutamisest.

Analüütika

Omandatud analüüs toimub justkui infotehnoloogia julgeoleku tuum. Uurides sündmusi, võib turbeekspert ennetada või õigeaegselt peatada rünnaku ning saada detailsed andmed tõendusmaterjali kogumiseks.

Mida annab "pilvaarhitektuur"?

See teenus on välja töötatud tarkvara kui teenuse (SaaS) mudeli alusel, mis lihtsustab skaleerimist, kasutades kaugserverite, jagatud andmesalvestussüsteemide jõudlust ja nii edasi. Pilvemudeli rakendamine võimaldab kõrvaldada riist- ja tarkvaraprobleemid ning suunata kõik jõud teenuse kaitse arendamisele ja täiustamisele.
Kasutajale võimaldab see oluliselt vähendada seadmete ostmise kulusid andmete salvestamiseks, analüüsimiseks ja juurdepääsu andmiseks ning ei pea tegelema teenindamise küsimustega nagu varukoopiad, uuendused, tõrgete ennetamine ja nii edasi. Piisab, kui omada seadet, mis toetab SecuReporter'i tööd ja vastavat litsentsi.

OLULINE! Tänu pilvearhitektuurile saavad turvahalduse administreerijad aktiivselt jälgida võrgu seisundit igal ajal ja igas kohas. See lahendab probleemi, sealhulgas puhkuste, haiguslehtede ja muu sarnasega. Juhtmeteta varade, näiteks sülearvuti vargus, millega pääseti SecuReporter veebiliidesele, ei too samuti mingit kasu, kui selle omanik ei rikku kindlasti turvareegleid, ei hoidnud kohalikke paroole jms.

Pilvehalduse variant sobib hästi nii ühe linna monofirmadele kui ka harukontoritega struktuuridele. Selline paik sõltumatus on vajalik mitmesugustes valdkondades, näiteks teenusepakkujatele või tarkvaraarendajatele, kelle äri on jaotatud erinevatesse linnadesse.

Oleme palju rääkinud analüüsivõimalustest, aga mida see täpselt tähendab?

Need on erinevad analüüsivahendid, näiteks sündmuste sageduse kokkuvõtted, Top-100 nimekirjad teatud sündmuste reaalselt ja oletatavalt mõjutatud ohvritest, logid, mis näitavad konkreetseid sihtmärke rünnakuteks jne. Kõik, mis aitab administreerijal tuvastada varjatud trende ja arvutada välja kahtlast kasutaja või teenuse käitumist.

Aga mis on aruandlus?

SecuReporter'is on võimalik seadistada aruande vorm ning seejärel saada tulemus PDF-formaadis. Loomulikult on soovi korral võimalik oma logo, aruande pealkiri, viidatud info või soovitused aruandele lisada. On ette nähtud aruannete loomine kas päringu hetkel või ajakava alusel, näiteks kord päevas, nädalas või kuus.

Saab seadistada hoiatuste väljastamise, arvestades võrgu infrastruktuuri liiklust.

Kas on võimalik vähendada insider- või lihtsalt hooletute töötajate ohtu?

Eri tööriist User Partially Quotient võimaldab administreerijal kiiresti tuvastada riske tekitavad kasutajad ilma täiendavate pingutusteta ja arvestades erinevate võrgulogide või sündmuste vahelisi seoseid.

See tähendab süvitsi minevat analüüsi kõigist sündmustest ja liiklusest, mis on seotud kahtlustäratavate kasutajatega.

Millised on veel olulised aspektid, mis iseloomustavad SecuReporterit?

Lihtne seadistamine lõppkasutajatele (turvahalduse administreerijatele).

SecuReporteri aktiveerimine pilves toimub lihtsa seadistamisprotseduuri kaudu. Pärast seda saavad administreerijad koheselt juurdepääsu kõigile andmetele, analüüsi- ja aruandlusriistadele.

Mitme kasutaja jaotamine ühel pilveplatvormil — iga kliendi jaoks on võimalik oma analüütikat seadistada. Samuti saab pilvearhitektuuri abil klientide arvu suurenedes süsteemi jälgimist lihtsalt kohandada ilma efektiivsust kahjustamata.

Andmekaitse seadused

OLULINE! Zyxel peab väga oluliseks rahvusvahelisi ja kohalikke seadusi ning muid isikuandmete kaitse määrusi, sealhulgas GDPR-i ja OECD privaatsuspõhimõtteid. Toetab isikuandmete seadust nr 152-FZ, mis on vastu võetud 27.07.2006.

Nõuete täitmise tagamiseks on SecuReporterisse sisseehitatud kolm isikuandmete kaitse valikut:

mitteanonüümne — isikuandmed identifitseeritakse täielikult Analyzeris, Reportis ja laaditud Archive Logs’is;
osaliselt anonüümne — isikuandmed asendatakse nende kunstlike identifikaatoritega Archive Logs’is;
täiesti anonüümne — isikuandmed täielikult anonüümiseeritakse Analyzeris, Reportis ja laaditud Archive Logs’is.

Kuidas lubada SecuReporteri kasutamine seadmes?

Vaatame näidet seadme ZyWall (antud juhul meil on ZyWall 1100) põhjal. Siseneme seadistuste jaotisesse (paremal ribal, kahel hammasratta ikoonil). Seejärel avame Cloud CNM ja valime alajaotuse SecuReporter.

Teenuse kasutamise lubamiseks tuleb aktiveerida element Activate SecuReporter. Samuti tasub kaasata valik Include Traffic Log liikluslogide kogumiseks ja analüüsimiseks.

Joonis 1. SecuReporteri aktiveerimine.

Teiseks sammuks tuleb lubada statistika kogumine. Seda tehakse jaotises Monitoring (paremal ribal, monitori ikooniga).

Seejärel liigume UTM Statistics jaotisse, alajaotusse App Patrol. Siin tuleb aktiveerida valik Collect Statistics.

Joonis 2. Statistika kogumise aktiveerimine.

Kõik, nüüd saab ühenduda SecuReporteri veebiliidesega ja kasutada pilveteenust.

OLULINE! SecuReporteri jaoks on olemas suurepärane PDF-formaadis dokumentatsioon. Seda saab alla laadida. sellelt aadressilt.

SecuReporteri veebiliidese kirjeldus
Siin ei õnnestu tuua põhjalikku ülevaadet kõigist funktsioonidest, mida SecuReporter turvaadministraatorile pakub — neid on piisavalt palju ühe artikli jaoks.

Seega piirdume lühitutvustusega teenustest, mida administraator näeb ja millega ta pidevalt tegeleb. Niisiis, tutvuge, millest koosneb web-konsool SecuReporter.

Kaart

Selles osas kuvatakse registreeritud seadmed koos linna, seadme nime ja IP-aadressiga. Esitatakse teave seadme aktiveerituse ja hoiatuste oleku kohta. Threat Map kaardil on näha pakettide allikaid, mida kurjategijad kasutavad, ja rünnakute sagedust.

Armatuurlaud

Lühike teave peamistest tegevustest ja kokkutõmbatud analüütiline ülevaade määratud ajavahemiku jooksul. Saate määrata kestuse alates 7 päevast kuni 1 tunnini.

Joonis 3. Näide Dashboardi ala välimusest.

Analyzer

Nimi räägib enda eest. See on sama nimega tööriista konsool, mis diagnoosib kahtlast liiklust valitud ajavahemikus, tuvastab ohtude ilmumise suundi ja kogub teavet kahtlaste pakkide kohta. Analyzer suudab jälgida kõige sagedamini esinevat pahavara ning pakkuda täiendavat teavet turvaprobleemide kohta.

Joonis 4. Näide Analyzeri ala välimusest.

Aruanne

Selles osas on kasutajatele saadaval kohandatud aruanded graafilise liidese kaudu. Vajalikku teavet saab kiiresti koguda ja vormistada mugavaks esitamiseks, või koostatud ajakava alusel.

Hoiatused

Siin seadistatakse hoiatussüsteem. Saate seadistada lävendiväärtused ja erineva tähtsuse tasemed, mis lihtsustab anomaaliate ja võimalike rünnakute tuvastamise protsessi.

Seaded

Noh, sisuliselt on seaded just seaded.

Lisaks tasub märkida, et SecuReporter suudab toetada erinevaid kaitsepoliitikaid isikuandmete töötlemisel.

Kokkuvõte

Kohalikud meetodid turvakaalutlustega seotud statistika analüüsimiseks on tänapäeval üsna efektiivsed.

Kuid ohud ja tõsidus kasvavad iga päevaga. See kaitse tase, mis varem kõikide jaoks piisav oli, muutub aja jooksul üha nõrgemaks.

Lisaks loetletud probleemidele nõuab kohalike vahendite kasutamine teatud pingutusi tööoleku säilitamiseks (seadmete hooldus, varukoopiate tegemine jne). On ka kaugel asuva juurdepääsu probleem - ei õnnestu alati hoida turbeadministraatorit kontoris 24/7. Seetõttu tuleb kuidagi korraldada väljastpoolt turvaline juurdepääs kohalikele süsteemidele ja hooldada seda oma jõududega.

Pilveteenuste kasutamine võimaldab nende probleemide vältimist, keskendudes just vajaliku turvataseme säilitamisele ja sissetungide kaitsmisele ning kasutajate rikkumistele.

SecuReporter on hea näide sellise teenuse eduka rakendamise kohta.