મેઘ સુરક્ષા મોનીટરીંગ

ડેટા અને એપ્લિકેશન્સને ક્લાઉડ પર ખસેડવા એ કોર્પોરેટ એસઓસી માટે એક નવો પડકાર રજૂ કરે છે, જે હંમેશા અન્ય લોકોના ઇન્ફ્રાસ્ટ્રક્ચર પર દેખરેખ રાખવા માટે તૈયાર નથી. નેટોસ્કોપ અનુસાર, સરેરાશ એન્ટરપ્રાઇઝ (દેખીતી રીતે યુએસમાં) 1246 વિવિધ ક્લાઉડ સેવાઓનો ઉપયોગ કરે છે, જે એક વર્ષ અગાઉ કરતાં 22% વધુ છે. 1246 ક્લાઉડ સેવાઓ!!! તેમાંથી 175 HR સેવાઓ સાથે સંબંધિત છે, 170 માર્કેટિંગ સાથે સંબંધિત છે, 110 કોમ્યુનિકેશન ક્ષેત્રે છે અને 76 ફાઇનાન્સ અને CRM સાથે સંબંધિત છે. સિસ્કો "માત્ર" 700 બાહ્ય ક્લાઉડ સેવાઓનો ઉપયોગ કરે છે. તેથી હું આ સંખ્યાઓ દ્વારા થોડો મૂંઝવણમાં છું. પરંતુ કોઈ પણ સંજોગોમાં, સમસ્યા તેમની સાથે નથી, પરંતુ એ હકીકત સાથે કે ક્લાઉડનો ઉપયોગ વધતી જતી કંપનીઓ દ્વારા ખૂબ જ સક્રિય રીતે થવાનું શરૂ થયું છે જે તેમના પોતાના નેટવર્કની જેમ ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચરનું નિરીક્ષણ કરવા માટે સમાન ક્ષમતાઓ ધરાવવા માંગે છે. અને આ વલણ વધી રહ્યું છે - અનુસાર અમેરિકન ચેમ્બર ઓફ એકાઉન્ટ્સ અનુસાર 2023 સુધીમાં, યુનાઇટેડ સ્ટેટ્સમાં 1200 ડેટા સેન્ટર્સ બંધ થઈ જશે (6250 પહેલાથી જ બંધ થઈ ગયા છે). પરંતુ ક્લાઉડમાં સંક્રમણ ફક્ત "ચાલો અમારા સર્વરને બાહ્ય પ્રદાતા પર ખસેડીએ" નથી. નવું IT આર્કિટેક્ચર, નવું સોફ્ટવેર, નવી પ્રક્રિયાઓ, નવા પ્રતિબંધો... આ બધું માત્ર IT જ નહીં, પણ માહિતી સુરક્ષામાં પણ નોંધપાત્ર ફેરફારો લાવે છે. અને જો પ્રદાતાઓએ કોઈક રીતે ક્લાઉડની સુરક્ષાને સુનિશ્ચિત કરવાનું શીખી લીધું હોય (સદભાગ્યે ત્યાં ઘણી ભલામણો છે), તો પછી ક્લાઉડ માહિતી સુરક્ષા મોનિટરિંગ સાથે, ખાસ કરીને SaaS પ્લેટફોર્મ પર, ત્યાં નોંધપાત્ર મુશ્કેલીઓ છે, જેના વિશે આપણે વાત કરીશું.

ચાલો કહીએ કે તમારી કંપનીએ તેના ઇન્ફ્રાસ્ટ્રક્ચરનો એક ભાગ ક્લાઉડ પર ખસેડ્યો છે... રોકો. આ રીતે નહીં. જો ઇન્ફ્રાસ્ટ્રક્ચર સ્થાનાંતરિત કરવામાં આવ્યું છે, અને તમે હમણાં જ વિચારી રહ્યા છો કે તમે તેનું નિરીક્ષણ કેવી રીતે કરશો, તો તમે પહેલેથી જ ગુમાવી ચૂક્યા છો. જ્યાં સુધી તે એમેઝોન, ગૂગલ અથવા માઇક્રોસોફ્ટ (અને પછી રિઝર્વેશન સાથે) ન હોય ત્યાં સુધી, તમારી પાસે કદાચ તમારા ડેટા અને એપ્લિકેશન્સને મોનિટર કરવાની વધુ ક્ષમતા નહીં હોય. જો તમને લોગ સાથે કામ કરવાની તક આપવામાં આવે તો તે સારું છે. કેટલીકવાર સુરક્ષા ઇવેન્ટ ડેટા ઉપલબ્ધ હશે, પરંતુ તમને તેની ઍક્સેસ હશે નહીં. ઉદાહરણ તરીકે, Office 365. જો તમારી પાસે સૌથી સસ્તું E1 લાઇસન્સ છે, તો સુરક્ષા ઇવેન્ટ્સ તમારા માટે બિલકુલ ઉપલબ્ધ નથી. જો તમારી પાસે E3 લાઇસન્સ છે, તો તમારો ડેટા ફક્ત 90 દિવસ માટે સંગ્રહિત થાય છે, અને જો તમારી પાસે E5 લાયસન્સ હોય, તો જ લોગનો સમયગાળો એક વર્ષ માટે ઉપલબ્ધ છે (જો કે, તેની પોતાની ઘોંઘાટ પણ છે જે અલગથી કરવાની જરૂરિયાત સાથે સંબંધિત છે. માઈક્રોસોફ્ટ સપોર્ટથી લોગ સાથે કામ કરવા માટે સંખ્યાબંધ કાર્યોની વિનંતી કરો). માર્ગ દ્વારા, કોર્પોરેટ એક્સચેન્જ કરતાં મોનિટરિંગ કાર્યોની દ્રષ્ટિએ E3 લાઇસન્સ ઘણું નબળું છે. સમાન સ્તર હાંસલ કરવા માટે, તમારે E5 લાયસન્સ અથવા વધારાના એડવાન્સ્ડ કમ્પ્લાયન્સ લાયસન્સની જરૂર છે, જેના માટે વધારાના પૈસાની જરૂર પડી શકે છે જે ક્લાઉડ ઈન્ફ્રાસ્ટ્રક્ચર પર જવા માટે તમારા નાણાકીય મોડેલમાં પરિબળ ન હોય. અને ક્લાઉડ ઇન્ફર્મેશન સિક્યુરિટી મોનિટરિંગ સંબંધિત મુદ્દાઓને ઓછો અંદાજ આપવાનું આ માત્ર એક ઉદાહરણ છે. આ લેખમાં, સંપૂર્ણ હોવાનો ડોળ કર્યા વિના, હું કેટલીક ઘોંઘાટ તરફ ધ્યાન દોરવા માંગુ છું જે સુરક્ષાના દૃષ્ટિકોણથી ક્લાઉડ પ્રદાતાની પસંદગી કરતી વખતે ધ્યાનમાં લેવી જોઈએ. અને લેખના અંતે, એક ચેકલિસ્ટ આપવામાં આવશે જે ક્લાઉડ ઇન્ફર્મેશન સિક્યુરિટી પર દેખરેખ રાખવાનો મુદ્દો ઉકેલાઈ ગયો છે તે ધ્યાનમાં લેતા પહેલા તે પૂર્ણ કરવા યોગ્ય છે.

ઘણી સામાન્ય સમસ્યાઓ છે જે ક્લાઉડ વાતાવરણમાં ઘટનાઓ તરફ દોરી જાય છે, જેના માટે માહિતી સુરક્ષા સેવાઓ પાસે પ્રતિસાદ આપવા માટે સમય નથી અથવા તેમને બિલકુલ દેખાતા નથી:

• સુરક્ષા લૉગ્સ અસ્તિત્વમાં નથી. આ એકદમ સામાન્ય પરિસ્થિતિ છે, ખાસ કરીને ક્લાઉડ સોલ્યુશન્સ માર્કેટમાં શિખાઉ ખેલાડીઓમાં. પરંતુ તમારે તેમને તરત જ છોડવું જોઈએ નહીં. નાના ખેલાડીઓ, ખાસ કરીને ઘરેલું, ગ્રાહકોની જરૂરિયાતો પ્રત્યે વધુ સંવેદનશીલ હોય છે અને તેમના ઉત્પાદનો માટે મંજૂર રોડમેપ બદલીને કેટલાક જરૂરી કાર્યોને ઝડપથી અમલમાં મૂકી શકે છે. હા, આ એમેઝોન તરફથી ગાર્ડડ્યુટી અથવા બિટ્રિક્સના "પ્રોએક્ટિવ પ્રોટેક્શન" મોડ્યુલનું એનાલોગ નહીં, પરંતુ ઓછામાં ઓછું કંઈક હશે.
• માહિતી સુરક્ષાને ખબર નથી હોતી કે લોગ ક્યાં સંગ્રહિત છે અથવા ત્યાં તેમની ઍક્સેસ નથી. અહીં ક્લાઉડ સેવા પ્રદાતા સાથે વાટાઘાટોમાં પ્રવેશ કરવો જરૂરી છે - કદાચ તે આવી માહિતી પ્રદાન કરશે જો તે ક્લાયંટને તેના માટે મહત્વપૂર્ણ માને છે. પરંતુ સામાન્ય રીતે, જ્યારે "ખાસ નિર્ણય દ્વારા" લોગની ઍક્સેસ પ્રદાન કરવામાં આવે ત્યારે તે ખૂબ સારું નથી.
• એવું પણ બને છે કે ક્લાઉડ પ્રદાતા પાસે લોગ છે, પરંતુ તેઓ મર્યાદિત મોનિટરિંગ અને ઇવેન્ટ રેકોર્ડિંગ પ્રદાન કરે છે, જે બધી ઘટનાઓને શોધવા માટે પૂરતા નથી. ઉદાહરણ તરીકે, તમે સાઇટ પર ફક્ત ફેરફારોના લોગ અથવા વપરાશકર્તા પ્રમાણીકરણ પ્રયાસોના લોગ્સ પ્રાપ્ત કરી શકો છો, પરંતુ અન્ય ઇવેન્ટ્સ નહીં, ઉદાહરણ તરીકે, નેટવર્ક ટ્રાફિક વિશે, જે તમારા ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચરને હેક કરવાના પ્રયાસોને લાક્ષણિકતા આપતી ઇવેન્ટ્સનું સંપૂર્ણ સ્તર તમારાથી છુપાવશે. .
• ત્યાં લૉગ્સ છે, પરંતુ તેમની ઍક્સેસ સ્વચાલિત કરવી મુશ્કેલ છે, જે તેમને સતત દેખરેખ રાખવા માટે દબાણ કરે છે, પરંતુ શેડ્યૂલ પર. અને જો તમે લોગ્સ આપમેળે ડાઉનલોડ કરી શકતા નથી, તો લોગ ડાઉનલોડ કરવા, ઉદાહરણ તરીકે, એક્સેલ ફોર્મેટમાં (જેમ કે સંખ્યાબંધ સ્થાનિક ક્લાઉડ સોલ્યુશન પ્રદાતાઓ સાથે), તેમની સાથે ટિંકર કરવા માટે કોર્પોરેટ માહિતી સુરક્ષા સેવા તરફથી અનિચ્છા પણ થઈ શકે છે.
• કોઈ લોગ મોનીટરીંગ નથી. મેઘ વાતાવરણમાં માહિતી સુરક્ષાની ઘટનાઓનું આ કદાચ સૌથી અસ્પષ્ટ કારણ છે. એવું લાગે છે કે ત્યાં લૉગ્સ છે, અને તેમની ઍક્સેસને સ્વચાલિત કરવી શક્ય છે, પરંતુ કોઈ આ કરતું નથી. શા માટે?

શેર કરેલ ક્લાઉડ સુરક્ષા ખ્યાલ

ક્લાઉડમાં સંક્રમણ એ હંમેશા ઈન્ફ્રાસ્ટ્રક્ચર પર નિયંત્રણ જાળવવાની ઈચ્છા અને તેને જાળવવામાં નિષ્ણાત ક્લાઉડ પ્રદાતાના વધુ વ્યાવસાયિક હાથમાં સ્થાનાંતરિત કરવાની ઈચ્છા વચ્ચે સંતુલનની શોધ છે. અને ક્લાઉડ સિક્યોરિટીના ક્ષેત્રમાં પણ આ સંતુલન શોધવું પડશે. વધુમાં, વપરાયેલ ક્લાઉડ સર્વિસ ડિલિવરી મોડલ (IaaS, PaaS, SaaS) ના આધારે, આ સંતુલન દરેક સમયે અલગ હશે. કોઈ પણ સંજોગોમાં, આપણે યાદ રાખવું જોઈએ કે આજે બધા ક્લાઉડ પ્રદાતાઓ કહેવાતા વહેંચાયેલ જવાબદારી અને વહેંચાયેલ માહિતી સુરક્ષા મોડેલને અનુસરે છે. ક્લાઉડ કેટલીક વસ્તુઓ માટે જવાબદાર છે, અને અન્ય માટે ક્લાયન્ટ જવાબદાર છે, તેનો ડેટા, તેની એપ્લિકેશન્સ, તેના વર્ચ્યુઅલ મશીનો અને અન્ય સંસાધનો ક્લાઉડમાં મૂકે છે. એવી અપેક્ષા રાખવી અવિચારી ગણાશે કે ક્લાઉડ પર જઈને, અમે તમામ જવાબદારી પ્રદાતા પર શિફ્ટ કરીશું. પરંતુ જ્યારે ક્લાઉડ પર જતી વખતે તમામ સુરક્ષા જાતે બનાવવી તે પણ મૂર્ખ નથી. સંતુલન જરૂરી છે, જે ઘણા પરિબળો પર આધારિત હશે: - જોખમ વ્યવસ્થાપન વ્યૂહરચના, ધમકીનું મોડેલ, ક્લાઉડ પ્રદાતા માટે ઉપલબ્ધ સુરક્ષા પદ્ધતિઓ, કાયદો, વગેરે.

ઉદાહરણ તરીકે, ક્લાઉડમાં હોસ્ટ કરેલા ડેટાનું વર્ગીકરણ હંમેશા ગ્રાહકની જવાબદારી છે. ક્લાઉડ પ્રદાતા અથવા બાહ્ય સેવા પ્રદાતા તેને ફક્ત એવા સાધનોથી જ મદદ કરી શકે છે જે ક્લાઉડમાં ડેટાને ચિહ્નિત કરવામાં, ઉલ્લંઘનોને ઓળખવામાં, કાયદાનું ઉલ્લંઘન કરતા ડેટાને કાઢી નાખવા અથવા એક અથવા બીજી પદ્ધતિનો ઉપયોગ કરીને તેને માસ્ક કરવામાં મદદ કરશે. બીજી બાજુ, ભૌતિક સુરક્ષા હંમેશા ક્લાઉડ પ્રદાતાની જવાબદારી છે, જે તે ક્લાયન્ટ સાથે શેર કરી શકતી નથી. પરંતુ ડેટા અને ભૌતિક ઈન્ફ્રાસ્ટ્રક્ચર વચ્ચેની દરેક વસ્તુ આ લેખમાં ચર્ચાનો વિષય છે. ઉદાહરણ તરીકે, ક્લાઉડની ઉપલબ્ધતા એ પ્રદાતાની જવાબદારી છે, અને ફાયરવોલ નિયમો સેટ કરવા અથવા એન્ક્રિપ્શનને સક્ષમ કરવું એ ક્લાયન્ટની જવાબદારી છે. આ લેખમાં આપણે એ જોવાનો પ્રયત્ન કરીશું કે રશિયામાં વિવિધ લોકપ્રિય ક્લાઉડ પ્રદાતાઓ દ્વારા આજે કઈ માહિતી સુરક્ષા મોનિટરિંગ મિકેનિઝમ્સ પ્રદાન કરવામાં આવે છે, તેમના ઉપયોગની વિશેષતાઓ શું છે, અને બાહ્ય ઓવરલે સોલ્યુશન્સ (ઉદાહરણ તરીકે, સિસ્કો ઇ- મેલ સિક્યુરિટી) જે સાયબર સિક્યુરિટીના સંદર્ભમાં તમારા ક્લાઉડની ક્ષમતાઓને વિસ્તૃત કરે છે. કેટલાક કિસ્સાઓમાં, ખાસ કરીને જો તમે મલ્ટી-ક્લાઉડ વ્યૂહરચનાનું પાલન કરી રહ્યાં હોવ, તો તમારી પાસે એકસાથે અનેક ક્લાઉડ વાતાવરણમાં બાહ્ય માહિતી સુરક્ષા મોનિટરિંગ સોલ્યુશન્સનો ઉપયોગ કરવા સિવાય કોઈ વિકલ્પ રહેશે નહીં (ઉદાહરણ તરીકે, Cisco CloudLock અથવા Cisco Stealthwatch Cloud). ઠીક છે, કેટલાક કિસ્સાઓમાં તમને ખ્યાલ આવશે કે તમે જે ક્લાઉડ પ્રદાતા પસંદ કર્યા છે (અથવા તમારા પર લાદવામાં આવ્યા છે) તે કોઈપણ માહિતી સુરક્ષા મોનિટરિંગ ક્ષમતાઓ પ્રદાન કરતું નથી. આ અપ્રિય છે, પણ થોડું પણ નથી, કારણ કે તે તમને આ ક્લાઉડ સાથે કામ કરવા સાથે સંકળાયેલા જોખમના સ્તરનું પર્યાપ્ત મૂલ્યાંકન કરવાની મંજૂરી આપે છે.

મેઘ સુરક્ષા મોનિટરિંગ જીવનચક્ર

તમે ઉપયોગ કરો છો તે વાદળોની સુરક્ષાનું નિરીક્ષણ કરવા માટે, તમારી પાસે ફક્ત ત્રણ વિકલ્પો છે:

• તમારા ક્લાઉડ પ્રદાતા દ્વારા પ્રદાન કરવામાં આવેલ સાધનો પર આધાર રાખો,
• તૃતીય પક્ષોના ઉકેલોનો ઉપયોગ કરો કે જે તમે ઉપયોગ કરો છો તે IaaS, PaaS અથવા SaaS પ્લેટફોર્મનું નિરીક્ષણ કરશે,
• તમારું પોતાનું ક્લાઉડ મોનિટરિંગ ઇન્ફ્રાસ્ટ્રક્ચર બનાવો (ફક્ત IaaS/PaaS પ્લેટફોર્મ માટે).

ચાલો જોઈએ કે આ દરેક વિકલ્પોમાં કઈ વિશેષતાઓ છે. પરંતુ પ્રથમ, આપણે સામાન્ય ફ્રેમવર્કને સમજવાની જરૂર છે જેનો ઉપયોગ ક્લાઉડ પ્લેટફોર્મ્સનું નિરીક્ષણ કરતી વખતે કરવામાં આવશે. હું ક્લાઉડમાં માહિતી સુરક્ષા મોનિટરિંગ પ્રક્રિયાના 6 મુખ્ય ઘટકોને પ્રકાશિત કરીશ:

• ઈન્ફ્રાસ્ટ્રક્ચરની તૈયારી. સ્ટોરેજમાં માહિતી સુરક્ષા માટે મહત્વપૂર્ણ ઇવેન્ટ્સ એકત્રિત કરવા માટે જરૂરી એપ્લિકેશન્સ અને ઇન્ફ્રાસ્ટ્રક્ચર નક્કી કરવું.
• સંગ્રહ. આ તબક્કે, પ્રક્રિયા, સંગ્રહ અને વિશ્લેષણ માટે અનુગામી ટ્રાન્સમિશન માટે વિવિધ સ્રોતોમાંથી સુરક્ષા ઘટનાઓ એકત્ર કરવામાં આવે છે.
• સારવાર. આ તબક્કે, અનુગામી વિશ્લેષણની સુવિધા માટે ડેટાને રૂપાંતરિત અને સમૃદ્ધ બનાવવામાં આવે છે.
• સંગ્રહ. આ ઘટક એકત્રિત પ્રક્રિયા કરેલ અને કાચા ડેટાના ટૂંકા ગાળાના અને લાંબા ગાળાના સંગ્રહ માટે જવાબદાર છે.
• વિશ્લેષણ. આ તબક્કે, તમારી પાસે ઘટનાઓ શોધવાની અને તેમને આપમેળે અથવા મેન્યુઅલી પ્રતિસાદ આપવાની ક્ષમતા છે.
• જાણ. આ તબક્કો હિસ્સેદારો (મેનેજમેન્ટ, ઓડિટર્સ, ક્લાઉડ પ્રદાતા, ક્લાયન્ટ્સ વગેરે) માટે મુખ્ય સૂચકાંકો ઘડવામાં મદદ કરે છે જે અમને ચોક્કસ નિર્ણયો લેવામાં મદદ કરે છે, ઉદાહરણ તરીકે, પ્રદાતા બદલવું અથવા માહિતી સુરક્ષાને મજબૂત બનાવવી.

આ ઘટકોને સમજવાથી તમે ભવિષ્યમાં તમારા પ્રદાતા પાસેથી શું લઈ શકો છો અને તમારે જાતે અથવા બાહ્ય સલાહકારોની સંડોવણી સાથે શું કરવું પડશે તે તમે ઝડપથી નક્કી કરી શકશો.

બિલ્ટ-ઇન ક્લાઉડ સેવાઓ

મેં ઉપર પહેલેથી જ લખ્યું છે કે આજે ઘણી ક્લાઉડ સેવાઓ કોઈપણ માહિતી સુરક્ષા મોનિટરિંગ ક્ષમતાઓ પ્રદાન કરતી નથી. સામાન્ય રીતે, તેઓ માહિતી સુરક્ષાના વિષય પર વધુ ધ્યાન આપતા નથી. ઉદાહરણ તરીકે, ઇન્ટરનેટ દ્વારા સરકારી એજન્સીઓને અહેવાલો મોકલવા માટેની લોકપ્રિય રશિયન સેવાઓમાંની એક (હું તેના નામનો ખાસ ઉલ્લેખ કરીશ નહીં). આ સેવાની સુરક્ષા વિશેનો સમગ્ર વિભાગ પ્રમાણિત CIPF ના ઉપયોગની આસપાસ ફરે છે. ઇલેક્ટ્રોનિક દસ્તાવેજ વ્યવસ્થાપન માટે અન્ય સ્થાનિક ક્લાઉડ સેવાનો માહિતી સુરક્ષા વિભાગ અલગ નથી. તે જાહેર કી પ્રમાણપત્રો, પ્રમાણિત ક્રિપ્ટોગ્રાફી, વેબ નબળાઈઓને દૂર કરવા, DDoS હુમલાઓ સામે રક્ષણ, ફાયરવોલનો ઉપયોગ, બેકઅપ્સ અને નિયમિત માહિતી સુરક્ષા ઓડિટ વિશે વાત કરે છે. પરંતુ આ સેવા પ્રદાતાના ગ્રાહકોને રુચિ હોઈ શકે તેવી માહિતી સુરક્ષા ઇવેન્ટ્સની ઍક્સેસ મેળવવાની સંભાવના વિશે મોનિટરિંગ વિશે અથવા કોઈ શબ્દ નથી.

સામાન્ય રીતે, જે રીતે ક્લાઉડ પ્રદાતા તેની વેબસાઇટ પર અને તેના દસ્તાવેજીકરણમાં માહિતી સુરક્ષા સમસ્યાઓનું વર્ણન કરે છે, તમે સમજી શકો છો કે તે આ મુદ્દાને કેટલી ગંભીરતાથી લે છે. ઉદાહરણ તરીકે, જો તમે "માય ઑફિસ" ઉત્પાદનો માટેના માર્ગદર્શિકાઓ વાંચો છો, તો સુરક્ષા વિશે બિલકુલ શબ્દ નથી, પરંતુ અલગ ઉત્પાદન "માય ઑફિસ" માટેના દસ્તાવેજીકરણમાં. KS3", અનધિકૃત ઍક્સેસ સામે રક્ષણ આપવા માટે રચાયેલ છે, FSTEC ના 17મા ક્રમના મુદ્દાઓની સામાન્ય સૂચિ છે, જે "My Office.KS3" લાગુ કરે છે, પરંતુ તે કેવી રીતે અમલમાં મૂકે છે અને સૌથી અગત્યનું, તે કેવી રીતે લાગુ કરે છે તેનું વર્ણન નથી. કોર્પોરેટ માહિતી સુરક્ષા સાથે આ મિકેનિઝમ્સને એકીકૃત કરો. કદાચ આવા દસ્તાવેજો અસ્તિત્વમાં છે, પરંતુ મને તે "માય ઑફિસ" વેબસાઇટ પર જાહેર ડોમેનમાં મળ્યું નથી. જો કે કદાચ મારી પાસે આ ગુપ્ત માહિતીની ઍક્સેસ નથી?..

Bitrix માટે, પરિસ્થિતિ ઘણી સારી છે. દસ્તાવેજીકરણ ઇવેન્ટ લોગના ફોર્મેટનું વર્ણન કરે છે અને, રસપ્રદ રીતે, ઘૂસણખોરી લોગ, જેમાં ક્લાઉડ પ્લેટફોર્મ પરના સંભવિત જોખમોને લગતી ઘટનાઓ શામેલ છે. ત્યાંથી તમે IP, વપરાશકર્તા અથવા અતિથિનું નામ, ઇવેન્ટનો સ્રોત, સમય, વપરાશકર્તા એજન્ટ, ઇવેન્ટનો પ્રકાર વગેરે ખેંચી શકો છો. સાચું, તમે ક્લાઉડના જ કંટ્રોલ પેનલમાંથી આ ઇવેન્ટ્સ સાથે કામ કરી શકો છો અથવા એમએસ એક્સેલ ફોર્મેટમાં ડેટા અપલોડ કરી શકો છો. હવે Bitrix લૉગ્સ સાથે કામને સ્વચાલિત કરવું મુશ્કેલ છે અને તમારે કેટલાક કામ જાતે કરવા પડશે (રિપોર્ટ અપલોડ કરવો અને તેને તમારા SIEM માં લોડ કરવો). પરંતુ જો આપણે યાદ રાખો કે પ્રમાણમાં તાજેતરમાં સુધી આવી તક અસ્તિત્વમાં ન હતી, તો આ એક મહાન પ્રગતિ છે. તે જ સમયે, હું એ નોંધવા માંગુ છું કે ઘણા વિદેશી ક્લાઉડ પ્રદાતાઓ "નવા નિશાળીયા માટે" સમાન કાર્યક્ષમતા પ્રદાન કરે છે - કાં તો કંટ્રોલ પેનલ દ્વારા તમારી આંખોથી લોગ જુઓ, અથવા તમારા પર ડેટા અપલોડ કરો (જોકે, મોટાભાગના ડેટા . csv ફોર્મેટ, એક્સેલ નહીં).

નો-લોગ્સ વિકલ્પને ધ્યાનમાં લીધા વિના, ક્લાઉડ પ્રદાતાઓ સામાન્ય રીતે તમને સુરક્ષા ઇવેન્ટ્સનું નિરીક્ષણ કરવા માટે ત્રણ વિકલ્પો પ્રદાન કરે છે - ડેશબોર્ડ્સ, ડેટા અપલોડ અને API ઍક્સેસ. પ્રથમ તમારા માટે ઘણી સમસ્યાઓ હલ કરે તેવું લાગે છે, પરંતુ આ સંપૂર્ણ રીતે સાચું નથી - જો તમારી પાસે ઘણા સામયિકો છે, તો તમારે એકંદર ચિત્ર ગુમાવીને, તેમને પ્રદર્શિત કરતી સ્ક્રીનો વચ્ચે સ્વિચ કરવું પડશે. વધુમાં, ક્લાઉડ પ્રદાતા તમને સુરક્ષા ઘટનાઓને સહસંબંધિત કરવાની અને સામાન્ય રીતે સુરક્ષાના દૃષ્ટિકોણથી તેનું વિશ્લેષણ કરવાની ક્ષમતા પ્રદાન કરે તેવી શક્યતા નથી (સામાન્ય રીતે તમે કાચા ડેટા સાથે વ્યવહાર કરો છો, જેને તમારે તમારી જાતને સમજવાની જરૂર છે). ત્યાં અપવાદો છે અને અમે તેમના વિશે આગળ વાત કરીશું. છેલ્લે, તે પૂછવા યોગ્ય છે કે તમારા ક્લાઉડ પ્રદાતા દ્વારા કઈ ઇવેન્ટ્સ રેકોર્ડ કરવામાં આવે છે, કયા ફોર્મેટમાં અને તે તમારી માહિતી સુરક્ષા મોનિટરિંગ પ્રક્રિયાને કેવી રીતે અનુરૂપ છે? ઉદાહરણ તરીકે, વપરાશકર્તાઓ અને અતિથિઓની ઓળખ અને પ્રમાણીકરણ. સમાન Bitrix તમને આ ઇવેન્ટના આધારે, ઇવેન્ટની તારીખ અને સમય, વપરાશકર્તા અથવા અતિથિનું નામ (જો તમારી પાસે "વેબ એનાલિટિક્સ" મોડ્યુલ હોય), ઍક્સેસ કરેલ ઑબ્જેક્ટ અને વેબસાઇટ માટે લાક્ષણિક અન્ય ઘટકો રેકોર્ડ કરવાની મંજૂરી આપે છે. . પરંતુ કોર્પોરેટ માહિતી સુરક્ષા સેવાઓને વપરાશકર્તાએ વિશ્વસનીય ઉપકરણમાંથી ક્લાઉડને એક્સેસ કર્યું છે કે કેમ તે વિશેની માહિતીની જરૂર પડી શકે છે (ઉદાહરણ તરીકે, કોર્પોરેટ નેટવર્કમાં આ કાર્ય Cisco ISE દ્વારા લાગુ કરવામાં આવે છે). જીઓ-આઈપી ફંક્શન જેવા સરળ કાર્ય વિશે શું, જે ક્લાઉડ સેવા વપરાશકર્તા ખાતું ચોરાઈ ગયું છે કે કેમ તે નિર્ધારિત કરવામાં મદદ કરશે? અને જો ક્લાઉડ પ્રદાતા તમને તે પ્રદાન કરે તો પણ, આ પૂરતું નથી. સમાન સિસ્કો ક્લાઉડલોક માત્ર ભૌગોલિક સ્થાનનું વિશ્લેષણ કરતું નથી, પરંતુ આ માટે મશીન લર્નિંગનો ઉપયોગ કરે છે અને દરેક વપરાશકર્તા માટે ઐતિહાસિક ડેટાનું વિશ્લેષણ કરે છે અને ઓળખ અને પ્રમાણીકરણના પ્રયાસોમાં વિવિધ વિસંગતતાઓનું નિરીક્ષણ કરે છે. માત્ર MS Azure પાસે સમાન કાર્યક્ષમતા છે (જો તમારી પાસે યોગ્ય સબ્સ્ક્રિપ્શન હોય તો).

બીજી મુશ્કેલી છે - કારણ કે ઘણા ક્લાઉડ પ્રદાતાઓ માટે માહિતી સુરક્ષા મોનિટરિંગ એ એક નવો વિષય છે જેનો તેઓ હમણાં જ વ્યવહાર કરવાનું શરૂ કરી રહ્યા છે, તેઓ તેમના ઉકેલોમાં સતત કંઈક બદલી રહ્યા છે. આજે તેમની પાસે API નું એક સંસ્કરણ છે, કાલે બીજું, કાલ પછી ત્રીજું. તમારે પણ આ માટે તૈયાર રહેવાની જરૂર છે. કાર્યક્ષમતા સાથે પણ આ જ સાચું છે, જે બદલાઈ શકે છે, જેને તમારી માહિતી સુરક્ષા મોનિટરિંગ સિસ્ટમમાં ધ્યાનમાં લેવી આવશ્યક છે. ઉદાહરણ તરીકે, એમેઝોન પાસે શરૂઆતમાં અલગ ક્લાઉડ ઇવેન્ટ મોનિટરિંગ સેવાઓ હતી - AWS CloudTrail અને AWS CloudWatch. પછી માહિતી સુરક્ષા ઘટનાઓનું નિરીક્ષણ કરવા માટે એક અલગ સેવા દેખાઈ - AWS ગાર્ડડ્યુટી. થોડા સમય પછી, એમેઝોને એક નવી મેનેજમેન્ટ સિસ્ટમ, એમેઝોન સિક્યુરિટી હબ લોન્ચ કરી, જેમાં ગાર્ડડ્યુટી, એમેઝોન ઈન્સ્પેક્ટર, એમેઝોન મેસી અને અન્ય ઘણા લોકો પાસેથી પ્રાપ્ત ડેટાનું વિશ્લેષણ શામેલ છે. બીજું ઉદાહરણ SIEM - AzLog સાથે Azure લોગ એકીકરણ સાધન છે. તે ઘણા SIEM વિક્રેતાઓ દ્વારા સક્રિયપણે ઉપયોગમાં લેવાતું હતું, જ્યાં સુધી 2018 માં માઇક્રોસોફ્ટે તેના વિકાસ અને સમર્થનને બંધ કરવાની ઘોષણા કરી, જેણે આ ટૂલનો ઉપયોગ કરતા ઘણા ક્લાયંટનો સામનો કરવો પડ્યો હતો (અમે પછીથી તે કેવી રીતે ઉકેલવામાં આવ્યું હતું તે વિશે વાત કરીશું).

તેથી, તમારા ક્લાઉડ પ્રદાતા તમને ઑફર કરે છે તે તમામ મોનિટરિંગ સુવિધાઓનું કાળજીપૂર્વક નિરીક્ષણ કરો. અથવા બાહ્ય ઉકેલ પ્રદાતાઓ પર આધાર રાખો કે જેઓ તમારા SOC અને તમે જે ક્લાઉડને મોનિટર કરવા માગો છો તે વચ્ચે મધ્યસ્થી તરીકે કાર્ય કરશે. હા, તે વધુ ખર્ચાળ હશે (જોકે હંમેશા નહીં), પરંતુ તમે બધી જવાબદારી બીજાના ખભા પર મૂકશો. અથવા તે બધું જ નહીં?.. ચાલો વહેંચાયેલ સુરક્ષાના ખ્યાલને યાદ રાખીએ અને સમજીએ કે આપણે કંઈપણ બદલી શકતા નથી - અમારે સ્વતંત્ર રીતે સમજવું પડશે કે કેવી રીતે વિવિધ ક્લાઉડ પ્રદાતાઓ તમારા ડેટા, એપ્લિકેશન્સ, વર્ચ્યુઅલ મશીનો અને અન્ય સંસાધનોની માહિતી સુરક્ષાનું મોનિટરિંગ પ્રદાન કરે છે. મેઘ માં હોસ્ટ. અને અમે આ ભાગમાં એમેઝોન શું ઓફર કરે છે તેની સાથે શરૂઆત કરીશું.

ઉદાહરણ: AWS પર આધારિત IaaS માં માહિતી સુરક્ષા મોનિટરિંગ

હા, હા, હું સમજું છું કે એમેઝોન શ્રેષ્ઠ ઉદાહરણ નથી કારણ કે આ એક અમેરિકન સેવા છે અને તેને ઉગ્રવાદ સામેની લડાઈ અને રશિયામાં પ્રતિબંધિત માહિતીના પ્રસારના ભાગ રૂપે અવરોધિત કરી શકાય છે. પરંતુ આ પ્રકાશનમાં હું ફક્ત તે બતાવવા માંગુ છું કે વિવિધ ક્લાઉડ પ્લેટફોર્મ તેમની માહિતી સુરક્ષા મોનિટરિંગ ક્ષમતાઓમાં કેવી રીતે અલગ છે અને સુરક્ષાના દૃષ્ટિકોણથી તમારી મુખ્ય પ્રક્રિયાઓને વાદળોમાં સ્થાનાંતરિત કરતી વખતે તમારે શું ધ્યાન આપવું જોઈએ. ઠીક છે, જો ક્લાઉડ સોલ્યુશન્સના કેટલાક રશિયન વિકાસકર્તાઓ પોતાને માટે કંઈક ઉપયોગી શીખે છે, તો તે મહાન હશે.

પહેલી વાત એ છે કે એમેઝોન એ અભેદ્ય ગઢ નથી. તેના ગ્રાહકો સાથે વિવિધ ઘટનાઓ નિયમિતપણે બનતી રહે છે. ઉદાહરણ તરીકે, ડીપ રૂટ એનાલિટિક્સમાંથી 198 મિલિયન મતદારોના નામ, સરનામા, જન્મ તારીખ અને ટેલિફોન નંબરની ચોરી કરવામાં આવી હતી. ઇઝરાયેલી કંપની નાઇસ સિસ્ટમ્સે વેરાઇઝન સબ્સ્ક્રાઇબર્સના 14 મિલિયન રેકોર્ડની ચોરી કરી છે. જો કે, AWS ની બિલ્ટ-ઇન ક્ષમતાઓ તમને ઘટનાઓની વિશાળ શ્રેણી શોધવાની મંજૂરી આપે છે. દાખ્લા તરીકે:

• ઈન્ફ્રાસ્ટ્રક્ચર પર અસર (DDoS)
• નોડ સમાધાન (કમાન્ડ ઈન્જેક્શન)
• એકાઉન્ટ સાથે ચેડા અને અનધિકૃત એક્સેસ
• ખોટી ગોઠવણી અને નબળાઈઓ
• અસુરક્ષિત ઇન્ટરફેસ અને API.

આ વિસંગતતા એ હકીકતને કારણે છે કે, જેમ આપણે ઉપર શોધી કાઢ્યું છે, ગ્રાહક પોતે ગ્રાહક ડેટાની સુરક્ષા માટે જવાબદાર છે. અને જો તેણે રક્ષણાત્મક મિકેનિઝમ્સ ચાલુ કરવાની તસ્દી લીધી ન હતી અને મોનિટરિંગ ટૂલ્સ ચાલુ કર્યા ન હતા, તો તે ફક્ત મીડિયા અથવા તેના ગ્રાહકો પાસેથી ઘટના વિશે શીખશે.

ઘટનાઓને ઓળખવા માટે, તમે એમેઝોન દ્વારા વિકસિત વિવિધ મોનિટરિંગ સેવાઓની વિશાળ શ્રેણીનો ઉપયોગ કરી શકો છો (જોકે આ ઘણીવાર ઓસ્કરી જેવા બાહ્ય સાધનો દ્વારા પૂરક હોય છે). તેથી, AWS માં, તમામ વપરાશકર્તા ક્રિયાઓનું નિરીક્ષણ કરવામાં આવે છે, પછી ભલે તે કેવી રીતે હાથ ધરવામાં આવે છે - મેનેજમેન્ટ કન્સોલ, કમાન્ડ લાઇન, SDK અથવા અન્ય AWS સેવાઓ દ્વારા. દરેક AWS એકાઉન્ટની પ્રવૃત્તિના તમામ રેકોર્ડ્સ (વપરાશકર્તાનામ, ક્રિયા, સેવા, પ્રવૃત્તિ પરિમાણો અને પરિણામ સહિત) અને API વપરાશ AWS CloudTrail દ્વારા ઉપલબ્ધ છે. તમે ક્લાઉડટ્રેલ કન્સોલમાંથી આ ઇવેન્ટ્સ (જેમ કે AWS IAM કન્સોલ લૉગિન) જોઈ શકો છો, એમેઝોન એથેનાનો ઉપયોગ કરીને તેનું વિશ્લેષણ કરી શકો છો અથવા તેને સ્પ્લંક, એલિયનવોલ્ટ વગેરે જેવા બાહ્ય ઉકેલો માટે "આઉટસોર્સ" કરી શકો છો. AWS CloudTrail લૉગ્સ સ્વયં તમારી AWS S3 બકેટમાં મૂકવામાં આવે છે.

અન્ય બે AWS સેવાઓ સંખ્યાબંધ અન્ય મહત્વપૂર્ણ મોનિટરિંગ ક્ષમતાઓ પૂરી પાડે છે. પ્રથમ, Amazon CloudWatch એ AWS સંસાધનો અને એપ્લિકેશન્સ માટે એક મોનિટરિંગ સેવા છે જે, અન્ય વસ્તુઓની સાથે, તમને તમારા ક્લાઉડમાં વિવિધ વિસંગતતાઓને ઓળખવા માટે પરવાનગી આપે છે. તમામ બિલ્ટ-ઇન AWS સેવાઓ, જેમ કે Amazon Elastic Compute Cloud (સર્વર), Amazon Relational Database Service (databases), Amazon Elastic MapReduce (ડેટા એનાલિસિસ), અને અન્ય 30 Amazon સેવાઓ, એમેઝોન ક્લાઉડવોચનો ઉપયોગ તેમના લોગ સંગ્રહવા માટે કરે છે. ડેવલપર્સ કસ્ટમ એપ્લિકેશન્સ અને સેવાઓમાં લોગ મોનિટરિંગ કાર્યક્ષમતા ઉમેરવા માટે એમેઝોન ક્લાઉડવોચના ઓપન API નો ઉપયોગ કરી શકે છે, જે તેમને સુરક્ષા સંદર્ભમાં ઇવેન્ટ વિશ્લેષણના અવકાશને વિસ્તૃત કરવાની મંજૂરી આપે છે.

બીજું, VPC ફ્લો લોગ્સ સેવા તમને તમારા AWS સર્વર્સ (બાહ્ય અથવા આંતરિક) દ્વારા મોકલવામાં આવેલા અથવા પ્રાપ્ત થયેલા નેટવર્ક ટ્રાફિકનું વિશ્લેષણ કરવાની મંજૂરી આપે છે, તેમજ માઇક્રોસર્વિસિસ વચ્ચે. જ્યારે તમારા કોઈપણ AWS VPC સંસાધનો નેટવર્ક સાથે ક્રિયાપ્રતિક્રિયા કરે છે, ત્યારે VPC ફ્લો લોગ્સ નેટવર્ક ટ્રાફિક વિશેની વિગતો રેકોર્ડ કરે છે, જેમાં સ્રોત અને ગંતવ્ય નેટવર્ક ઈન્ટરફેસ, તેમજ IP સરનામાં, પોર્ટ્સ, પ્રોટોકોલ, બાઈટ્સની સંખ્યા અને પેકેટની સંખ્યા જોયું સ્થાનિક નેટવર્ક સુરક્ષાનો અનુભવ ધરાવતા લોકો આને થ્રેડોના સમાન તરીકે ઓળખશે નેટફ્લો, જે સ્વીચો, રાઉટર્સ અને એન્ટરપ્રાઇઝ-ગ્રેડ ફાયરવોલ દ્વારા બનાવી શકાય છે. આ લોગ માહિતી સુરક્ષા મોનિટરિંગ હેતુઓ માટે મહત્વપૂર્ણ છે કારણ કે, વપરાશકર્તાઓ અને એપ્લિકેશન્સની ક્રિયાઓ વિશેની ઘટનાઓથી વિપરીત, તેઓ તમને AWS વર્ચ્યુઅલ ખાનગી ક્લાઉડ વાતાવરણમાં નેટવર્ક ક્રિયાપ્રતિક્રિયાઓને ચૂકી ન જવાની પણ મંજૂરી આપે છે.

સારાંશમાં, આ ત્રણ AWS સેવાઓ-AWS CloudTrail, Amazon CloudWatch અને VPC ફ્લો લૉગ્સ-એકસાથે તમારા એકાઉન્ટ વપરાશ, વપરાશકર્તા વર્તણૂક, ઇન્ફ્રાસ્ટ્રક્ચર મેનેજમેન્ટ, એપ્લિકેશન અને સેવા પ્રવૃત્તિ, અને નેટવર્ક પ્રવૃત્તિમાં એકદમ શક્તિશાળી સમજ પ્રદાન કરે છે. ઉદાહરણ તરીકે, તેઓનો ઉપયોગ નીચેની વિસંગતતાઓને શોધવા માટે થઈ શકે છે:

• "404 ભૂલો" ના વિસ્ફોટો દ્વારા સાઇટને સ્કેન કરવા, પાછળના દરવાજા શોધવા, નબળાઈઓ શોધવાના પ્રયાસો.
• ઇન્જેક્શન હુમલાઓ (ઉદાહરણ તરીકે, SQL ઇન્જેક્શન) "500 ભૂલો" ના વિસ્ફોટ દ્વારા.
• જાણીતા હુમલાના સાધનો sqlmap, nikto, w3af, nmap, વગેરે છે. વપરાશકર્તા એજન્ટ ક્ષેત્રના વિશ્લેષણ દ્વારા.

એમેઝોન વેબ સેવાઓએ સાયબર સુરક્ષા હેતુઓ માટે અન્ય સેવાઓ પણ વિકસાવી છે જે તમને અન્ય ઘણી સમસ્યાઓ ઉકેલવા દે છે. ઉદાહરણ તરીકે, AWS પાસે ઓડિટીંગ નીતિઓ અને ગોઠવણીઓ માટે બિલ્ટ-ઇન સેવા છે - AWS Config. આ સેવા તમારા AWS સંસાધનો અને તેમની ગોઠવણીઓનું સતત ઓડિટ પૂરું પાડે છે. ચાલો એક સરળ ઉદાહરણ લઈએ: ચાલો કહીએ કે તમે ખાતરી કરવા માંગો છો કે તમારા બધા સર્વર પર વપરાશકર્તા પાસવર્ડ્સ અક્ષમ છે અને તે ઍક્સેસ ફક્ત પ્રમાણપત્રોના આધારે જ શક્ય છે. AWS રૂપરેખા તમારા બધા સર્વર માટે આને તપાસવાનું સરળ બનાવે છે. એવી અન્ય નીતિઓ છે જે તમારા ક્લાઉડ સર્વર્સ પર લાગુ થઈ શકે છે: “કોઈ સર્વર પોર્ટ 22 નો ઉપયોગ કરી શકતું નથી”, “ફક્ત સંચાલકો જ ફાયરવોલ નિયમો બદલી શકે છે” અથવા “ફક્ત વપરાશકર્તા ઇવાશ્કો નવા વપરાશકર્તા એકાઉન્ટ્સ બનાવી શકે છે, અને તે ફક્ત મંગળવારે જ કરી શકે છે. " 2016 ના ઉનાળામાં, વિકસિત નીતિઓના ઉલ્લંઘનની શોધને સ્વચાલિત કરવા માટે AWS રૂપરેખા સેવાનો વિસ્તાર કરવામાં આવ્યો હતો. AWS રૂપરેખા નિયમો એ તમે ઉપયોગ કરો છો તે Amazon સેવાઓ માટે આવશ્યકપણે સતત ગોઠવણી વિનંતીઓ છે, જે સંબંધિત નીતિઓનું ઉલ્લંઘન કરવામાં આવે તો ઇવેન્ટ્સ જનરેટ કરે છે. ઉદાહરણ તરીકે, વર્ચ્યુઅલ સર્વર પરની બધી ડિસ્ક એનક્રિપ્ટેડ છે તે ચકાસવા માટે સમયાંતરે AWS રૂપરેખા ક્વેરીઝ ચલાવવાને બદલે, AWS રૂપરેખા નિયમોનો ઉપયોગ સર્વર ડિસ્કને સતત તપાસવા માટે કરી શકાય છે તેની ખાતરી કરવા માટે કે આ સ્થિતિ પૂરી થઈ છે. અને, સૌથી અગત્યનું, આ પ્રકાશનના સંદર્ભમાં, કોઈપણ ઉલ્લંઘનો એવી ઘટનાઓ જનરેટ કરે છે જેનું વિશ્લેષણ તમારી માહિતી સુરક્ષા સેવા દ્વારા કરી શકાય છે.

AWS પાસે પરંપરાગત કોર્પોરેટ માહિતી સુરક્ષા સોલ્યુશન્સની સમકક્ષ પણ છે, જે સુરક્ષા ઇવેન્ટ્સ પણ જનરેટ કરે છે જેનું તમે વિશ્લેષણ કરી શકો અને કરવું જોઈએ:

• ઇન્ટ્રુઝન ડિટેક્શન - AWS GuardDuty
• માહિતી લીક નિયંત્રણ - AWS Macie
• EDR (જોકે તે ક્લાઉડમાં એન્ડપોઇન્ટ વિશે થોડી વિચિત્ર રીતે વાત કરે છે) - AWS Cloudwatch + ઓપન સોર્સ ઓસ્કરી અથવા GRR સોલ્યુશન્સ
• નેટફ્લો વિશ્લેષણ - AWS Cloudwatch + AWS VPC ફ્લો
• DNS વિશ્લેષણ - AWS Cloudwatch + AWS રૂટ53
• AD - AWS ડિરેક્ટરી સેવા
• એકાઉન્ટ મેનેજમેન્ટ - AWS IAM
• SSO - AWS SSO
• સુરક્ષા વિશ્લેષણ - AWS ઇન્સ્પેક્ટર
• રૂપરેખાંકન વ્યવસ્થાપન - AWS રૂપરેખા
• WAF - AWS WAF.

હું માહિતી સુરક્ષાના સંદર્ભમાં ઉપયોગી હોઈ શકે તેવી બધી એમેઝોન સેવાઓનું વિગતવાર વર્ણન કરીશ નહીં. મુખ્ય વસ્તુ એ સમજવાની છે કે તે બધા એવી ઘટનાઓ જનરેટ કરી શકે છે કે જે આપણે માહિતી સુરક્ષાના સંદર્ભમાં વિશ્લેષણ કરી શકીએ અને જોઈએ, આ હેતુ માટે એમેઝોનની પોતાની આંતરિક ક્ષમતાઓ અને બાહ્ય ઉકેલો બંનેનો ઉપયોગ કરીને, ઉદાહરણ તરીકે, SIEM, જે કરી શકે છે. સુરક્ષા ઈવેન્ટ્સને તમારા મોનિટરિંગ સેન્ટર પર લઈ જાઓ અને અન્ય ક્લાઉડ સેવાઓ અથવા આંતરિક ઈન્ફ્રાસ્ટ્રક્ચર, પરિમિતિ અથવા મોબાઈલ ઉપકરણોની ઘટનાઓ સાથે ત્યાં તેનું વિશ્લેષણ કરો.

કોઈ પણ સંજોગોમાં, તે બધા ડેટા સ્રોતોથી શરૂ થાય છે જે તમને માહિતી સુરક્ષા ઇવેન્ટ્સ પ્રદાન કરે છે. આ સ્ત્રોતોનો સમાવેશ થાય છે, પરંતુ તે મર્યાદિત નથી:

• CloudTrail - API ઉપયોગ અને વપરાશકર્તા ક્રિયાઓ
• વિશ્વસનીય સલાહકાર - શ્રેષ્ઠ પ્રયાસો સામે સુરક્ષા તપાસ
• રૂપરેખા - ઇન્વેન્ટરી અને એકાઉન્ટ્સ અને સેવા સેટિંગ્સની ગોઠવણી
• VPC ફ્લો લૉગ્સ - વર્ચ્યુઅલ ઇન્ટરફેસ સાથે જોડાણો
• IAM - ઓળખ અને પ્રમાણીકરણ સેવા
• ELB એક્સેસ લોગ્સ - લોડ બેલેન્સર
• નિરીક્ષક - એપ્લિકેશન નબળાઈઓ
• S3 - ફાઇલ સ્ટોરેજ
• CloudWatch - એપ્લિકેશન પ્રવૃત્તિ
• SNS એક સૂચના સેવા છે.

એમેઝોન, જ્યારે તેમની પેઢી માટે ઇવેન્ટ સ્ત્રોતો અને સાધનોની શ્રેણી ઓફર કરે છે, ત્યારે માહિતી સુરક્ષાના સંદર્ભમાં એકત્રિત ડેટાનું વિશ્લેષણ કરવાની તેની ક્ષમતા ખૂબ જ મર્યાદિત છે. તમારે સ્વતંત્ર રીતે ઉપલબ્ધ લૉગ્સનો અભ્યાસ કરવો પડશે, તેમાં સમાધાનના સંબંધિત સૂચકાંકોની શોધ કરવી પડશે. AWS સિક્યુરિટી હબ, જે એમેઝોને તાજેતરમાં લોન્ચ કર્યું છે, તેનો હેતુ AWS માટે ક્લાઉડ SIEM બનીને આ સમસ્યાને ઉકેલવાનો છે. પરંતુ અત્યાર સુધી તે તેની મુસાફરીની શરૂઆતમાં જ છે અને તે જે સ્ત્રોતો સાથે કામ કરે છે તેની સંખ્યા અને એમેઝોનના આર્કિટેક્ચર અને સબ્સ્ક્રિપ્શન્સ દ્વારા સ્થાપિત અન્ય પ્રતિબંધો દ્વારા બંને મર્યાદિત છે.

ઉદાહરણ: Azure પર આધારિત IaaS માં માહિતી સુરક્ષા મોનિટરિંગ

હું ત્રણ ક્લાઉડ પ્રદાતાઓ (એમેઝોન, માઈક્રોસોફ્ટ અથવા ગૂગલ) માંથી કયું વધુ સારું છે તે વિશે હું લાંબી ચર્ચામાં પડવા માંગતો નથી (ખાસ કરીને કારણ કે તેમાંના દરેક પાસે હજી પણ તેની પોતાની વિશિષ્ટ વિશિષ્ટતાઓ છે અને તે તેની પોતાની સમસ્યાઓ હલ કરવા માટે યોગ્ય છે); ચાલો આ ખેલાડીઓ પ્રદાન કરતી માહિતી સુરક્ષા મોનિટરિંગ ક્ષમતાઓ પર ધ્યાન કેન્દ્રિત કરીએ. તે સ્વીકારવું આવશ્યક છે કે એમેઝોન AWS આ સેગમેન્ટમાં પ્રથમ પૈકીનું એક હતું અને તેથી તેના માહિતી સુરક્ષા કાર્યોની દ્રષ્ટિએ સૌથી વધુ આગળ વધ્યું છે (જોકે ઘણા સ્વીકારે છે કે તેનો ઉપયોગ કરવો મુશ્કેલ છે). પરંતુ આનો અર્થ એ નથી કે અમે Microsoft અને Google દ્વારા અમને પ્રદાન કરવામાં આવતી તકોને અવગણીશું.

માઈક્રોસોફ્ટ ઉત્પાદનો હંમેશા તેમની "નિખાલસતા" દ્વારા અલગ પડે છે અને Azure માં પરિસ્થિતિ સમાન છે. ઉદાહરણ તરીકે, જો AWS અને GCP હંમેશા "જેને મંજૂરી નથી તે પ્રતિબંધિત છે" ના ખ્યાલથી આગળ વધે છે, તો Azure પાસે ચોક્કસ વિપરીત અભિગમ છે. ઉદાહરણ તરીકે, ક્લાઉડમાં વર્ચ્યુઅલ નેટવર્ક અને તેમાં વર્ચ્યુઅલ મશીન બનાવતી વખતે, બધા બંદરો અને પ્રોટોકોલ ડિફૉલ્ટ રૂપે ખુલ્લા અને માન્ય હોય છે. તેથી, તમારે Microsoft તરફથી ક્લાઉડમાં એક્સેસ કંટ્રોલ સિસ્ટમના પ્રારંભિક સેટઅપ પર થોડો વધુ પ્રયત્ન કરવો પડશે. અને આ Azure ક્લાઉડમાં મોનિટરિંગ પ્રવૃત્તિના સંદર્ભમાં તમારા પર વધુ કડક આવશ્યકતાઓ લાદે છે.

AWS એ હકીકત સાથે સંકળાયેલી એક વિશિષ્ટતા ધરાવે છે કે જ્યારે તમે તમારા વર્ચ્યુઅલ સંસાધનોનું નિરીક્ષણ કરો છો, જો તે વિવિધ પ્રદેશોમાં સ્થિત છે, તો પછી તમને બધી ઘટનાઓ અને તેમના એકીકૃત વિશ્લેષણને સંયોજિત કરવામાં મુશ્કેલીઓ આવે છે, જેને દૂર કરવા માટે તમારે વિવિધ યુક્તિઓનો આશરો લેવાની જરૂર છે, જેમ કે AWS Lambda માટે તમારો પોતાનો કોડ બનાવો જે પ્રદેશો વચ્ચે ઇવેન્ટ્સનું પરિવહન કરશે. Azure ને આ સમસ્યા નથી - તેની એક્ટિવિટી લોગ મિકેનિઝમ આખી સંસ્થાની તમામ પ્રવૃત્તિઓને પ્રતિબંધો વિના ટ્રેક કરે છે. આ જ AWS સિક્યુરિટી હબને લાગુ પડે છે, જે તાજેતરમાં એમેઝોન દ્વારા એક જ સુરક્ષા કેન્દ્રમાં ઘણા સુરક્ષા કાર્યોને એકીકૃત કરવા માટે વિકસાવવામાં આવ્યું હતું, પરંતુ માત્ર તેના પ્રદેશમાં, જે, જોકે, રશિયા માટે સંબંધિત નથી. Azureનું પોતાનું સુરક્ષા કેન્દ્ર છે, જે પ્રાદેશિક પ્રતિબંધોથી બંધાયેલ નથી, જે ક્લાઉડ પ્લેટફોર્મની તમામ સુરક્ષા સુવિધાઓની ઍક્સેસ પ્રદાન કરે છે. તદુપરાંત, વિવિધ સ્થાનિક ટીમો માટે તે તેના દ્વારા સંચાલિત સુરક્ષા ઇવેન્ટ્સ સહિત તેની પોતાની રક્ષણાત્મક ક્ષમતાઓ પ્રદાન કરી શકે છે. AWS સિક્યુરિટી હબ હજુ પણ Azure સિક્યુરિટી સેન્ટર જેવું બનવાના માર્ગ પર છે. પરંતુ તે મલમમાં ફ્લાય ઉમેરવા યોગ્ય છે - તમે એઝ્યુરમાંથી અગાઉ AWS માં વર્ણવેલ ઘણું બધું સ્ક્વિઝ કરી શકો છો, પરંતુ આ ફક્ત Azure AD, Azure Monitor અને Azure Security Center માટે જ કરવામાં આવે છે. અન્ય તમામ Azure સુરક્ષા મિકેનિઝમ્સ, જેમાં સુરક્ષા ઘટના વિશ્લેષણનો સમાવેશ થાય છે, હજુ સુધી સૌથી અનુકૂળ રીતે સંચાલિત નથી. આ સમસ્યા એપીઆઈ દ્વારા આંશિક રીતે ઉકેલવામાં આવે છે, જે બધી Microsoft Azure સેવાઓને સમાવે છે, પરંતુ આ માટે તમારા ક્લાઉડને તમારા SOC સાથે એકીકૃત કરવા અને લાયકાત ધરાવતા નિષ્ણાતોની હાજરી માટે તમારા તરફથી વધારાના પ્રયત્નોની જરૂર પડશે (હકીકતમાં, જેમ કે અન્ય કોઈપણ SIEM સાથે કામ કરે છે. ક્લાઉડ APIs). કેટલાક SIEM, જેની ચર્ચા પછી કરવામાં આવશે, પહેલેથી જ Azure ને સમર્થન આપે છે અને તેનું નિરીક્ષણ કરવાના કાર્યને સ્વચાલિત કરી શકે છે, પરંતુ તેની પોતાની મુશ્કેલીઓ પણ છે - તે બધા જ Azure પાસે હોય તેવા તમામ લોગ એકત્રિત કરી શકતા નથી.

Azure માં ઇવેન્ટ સંગ્રહ અને દેખરેખ એ Azure મોનિટર સેવાનો ઉપયોગ કરીને પ્રદાન કરવામાં આવે છે, જે Microsoft ક્લાઉડ અને તેના સંસાધનો - Git રિપોઝીટરીઝ, કન્ટેનર, વર્ચ્યુઅલ મશીનો, એપ્લિકેશન્સ વગેરેમાં ડેટા એકત્રિત કરવા, સંગ્રહિત કરવા અને તેનું વિશ્લેષણ કરવા માટેનું મુખ્ય સાધન છે. Azure મોનિટર દ્વારા એકત્રિત કરવામાં આવેલ તમામ ડેટાને બે કેટેગરીમાં વિભાજિત કરવામાં આવે છે - મેટ્રિક્સ, જે વાસ્તવિક સમયમાં એકત્રિત કરવામાં આવે છે અને Azure ક્લાઉડના મુખ્ય પ્રદર્શન સૂચકાંકોનું વર્ણન કરે છે, અને લૉગ્સ, જેમાં Azure સંસાધનો અને સેવાઓની પ્રવૃત્તિના ચોક્કસ પાસાઓને દર્શાવતા રેકોર્ડ્સમાં ગોઠવાયેલા ડેટાનો સમાવેશ થાય છે. વધુમાં, ડેટા કલેક્ટર API નો ઉપયોગ કરીને, Azure મોનિટર સેવા તેના પોતાના મોનિટરિંગ દૃશ્યો બનાવવા માટે કોઈપણ REST સ્ત્રોતમાંથી ડેટા એકત્રિત કરી શકે છે.

અહીં કેટલાક સુરક્ષા ઇવેન્ટ સ્ત્રોતો છે જે Azure તમને ઑફર કરે છે અને તમે Azure Portal, CLI, PowerShell અથવા REST API (અને કેટલાક માત્ર Azure Monitor/Insight API દ્વારા) દ્વારા ઍક્સેસ કરી શકો છો:

• પ્રવૃત્તિ લૉગ્સ - આ લૉગ ક્લાઉડ સંસાધનો પર કોઈપણ લેખન ઑપરેશન (પુટ, પોસ્ટ, ડિલીટ) સંબંધિત “કોણ,” “શું,” અને “ક્યારે” ક્લાસિક પ્રશ્નોના જવાબ આપે છે. રીડ એક્સેસ (GET) ને લગતી ઘટનાઓ આ લોગમાં સામેલ નથી, જેમ કે અન્ય સંખ્યાબંધ.
• ડાયગ્નોસ્ટિક લૉગ્સ - તમારા સબ્સ્ક્રિપ્શનમાં સમાવિષ્ટ ચોક્કસ સંસાધન સાથેની કામગીરી પરનો ડેટા ધરાવે છે.
• Azure AD રિપોર્ટિંગ - જૂથ અને વપરાશકર્તા સંચાલન સંબંધિત વપરાશકર્તા પ્રવૃત્તિ અને સિસ્ટમ પ્રવૃત્તિ બંને સમાવે છે.
• વિન્ડોઝ ઇવેન્ટ લોગ અને લિનક્સ સિસ્લોગ - ક્લાઉડમાં હોસ્ટ કરેલ વર્ચ્યુઅલ મશીનોની ઇવેન્ટ્સ ધરાવે છે.
• મેટ્રિક્સ - તમારી ક્લાઉડ સેવાઓ અને સંસાધનોની કામગીરી અને આરોગ્ય સ્થિતિ વિશે ટેલિમેટ્રી ધરાવે છે. દર મિનિટે માપવામાં આવે છે અને સંગ્રહિત થાય છે. 30 દિવસની અંદર.
• નેટવર્ક સિક્યુરિટી ગ્રૂપ ફ્લો લોગ્સ - નેટવર્ક વોચર સેવાનો ઉપયોગ કરીને એકત્રિત કરવામાં આવેલ નેટવર્ક સુરક્ષા ઇવેન્ટ્સ અને નેટવર્ક સ્તરે સંસાધન મોનિટરિંગનો ડેટા ધરાવે છે.
• સ્ટોરેજ લૉગ્સ - સ્ટોરેજ સુવિધાઓની ઍક્સેસ સંબંધિત ઇવેન્ટ્સ ધરાવે છે.

મોનિટરિંગ માટે, તમે બાહ્ય SIEMs અથવા બિલ્ટ-ઇન Azure મોનિટર અને તેના એક્સ્ટેન્શન્સનો ઉપયોગ કરી શકો છો. અમે માહિતી સુરક્ષા ઈવેન્ટ મેનેજમેન્ટ સિસ્ટમ્સ વિશે પછીથી વાત કરીશું, પરંતુ હમણાં માટે ચાલો જોઈએ કે Azure પોતે સુરક્ષાના સંદર્ભમાં ડેટા વિશ્લેષણ માટે અમને શું ઑફર કરે છે. Azure મોનિટરમાં સુરક્ષા-સંબંધિત દરેક વસ્તુ માટેની મુખ્ય સ્ક્રીન લોગ એનાલિટિક્સ સુરક્ષા અને ઓડિટ ડેશબોર્ડ છે (મફત સંસ્કરણ માત્ર એક અઠવાડિયા માટે મર્યાદિત માત્રામાં ઇવેન્ટ સ્ટોરેજને સપોર્ટ કરે છે). આ ડેશબોર્ડને 5 મુખ્ય ક્ષેત્રોમાં વિભાજિત કરવામાં આવ્યું છે જે તમે ઉપયોગ કરી રહ્યાં છો તે ક્લાઉડ પર્યાવરણમાં શું થઈ રહ્યું છે તેના સારાંશ આંકડાની કલ્પના કરે છે:

• સુરક્ષા ડોમેન્સ - માહિતી સુરક્ષા સંબંધિત મુખ્ય માત્રાત્મક સૂચકાંકો - ઘટનાઓની સંખ્યા, ચેડા કરાયેલા નોડ્સની સંખ્યા, અનપેચ્ડ નોડ્સ, નેટવર્ક સુરક્ષા ઘટનાઓ વગેરે.
• નોંધપાત્ર મુદ્દાઓ - સક્રિય માહિતી સુરક્ષા મુદ્દાઓની સંખ્યા અને મહત્વ દર્શાવે છે
• તપાસ - તમારી સામે વપરાતા હુમલાઓની પેટર્ન દર્શાવે છે
• થ્રેટ ઇન્ટેલિજન્સ - બાહ્ય ગાંઠો પર ભૌગોલિક માહિતી પ્રદર્શિત કરે છે જે તમારા પર હુમલો કરી રહ્યાં છે
• સામાન્ય સુરક્ષા ક્વેરીઝ - સામાન્ય ક્વેરીઝ જે તમને તમારી માહિતી સુરક્ષાને વધુ સારી રીતે મોનિટર કરવામાં મદદ કરશે.

એઝ્યુર મોનિટર એક્સ્ટેન્શન્સમાં એઝ્યુર કી વૉલ્ટ (ક્લાઉડમાં ક્રિપ્ટોગ્રાફિક કીનું રક્ષણ), માલવેર એસેસમેન્ટ (વર્ચ્યુઅલ મશીનો પર દૂષિત કોડ સામે રક્ષણનું વિશ્લેષણ), એઝ્યુર એપ્લિકેશન ગેટવે એનાલિટિક્સ (અન્ય વસ્તુઓની વચ્ચે, ક્લાઉડ ફાયરવોલ લોગ્સનું વિશ્લેષણ) વગેરેનો સમાવેશ થાય છે. . આ ટૂલ્સ, ઇવેન્ટની પ્રક્રિયા કરવા માટેના અમુક નિયમોથી સમૃદ્ધ, તમને સુરક્ષા સહિત ક્લાઉડ સેવાઓની પ્રવૃત્તિના વિવિધ પાસાઓની કલ્પના કરવાની અને ઑપરેશનમાંથી અમુક વિચલનોને ઓળખવા દે છે. પરંતુ, જેમ વારંવાર થાય છે તેમ, કોઈપણ વધારાની કાર્યક્ષમતાને અનુરૂપ પેઇડ સબ્સ્ક્રિપ્શનની જરૂર પડે છે, જેના માટે તમારી પાસેથી અનુરૂપ નાણાકીય રોકાણોની જરૂર પડશે, જેની તમારે અગાઉથી યોજના કરવાની જરૂર છે.

Azure પાસે સંખ્યાબંધ બિલ્ટ-ઇન થ્રેટ મોનિટરિંગ ક્ષમતાઓ છે જે Azure AD, Azure Monitor અને Azure Security Centerમાં સંકલિત છે. તેમાંથી, ઉદાહરણ તરીકે, જાણીતા દૂષિત આઇપી સાથે વર્ચ્યુઅલ મશીનોની ક્રિયાપ્રતિક્રિયાની શોધ (માઈક્રોસોફ્ટ તરફથી થ્રેટ ઇન્ટેલિજન્સ સેવાઓ સાથે એકીકરણની હાજરીને કારણે), ક્લાઉડમાં હોસ્ટ કરેલા વર્ચ્યુઅલ મશીનોમાંથી એલાર્મ પ્રાપ્ત કરીને ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચરમાં માલવેરની શોધ, પાસવર્ડ. વર્ચ્યુઅલ મશીનો પર અનુમાન લગાવતા હુમલાઓ, વપરાશકર્તા ઓળખ સિસ્ટમના રૂપરેખાંકનમાં નબળાઈઓ, અનામી અથવા ચેપગ્રસ્ત નોડ્સથી સિસ્ટમમાં લૉગ ઇન, એકાઉન્ટ લીક, અસામાન્ય સ્થાનોથી સિસ્ટમમાં લૉગ ઇન વગેરે. Azure આજે કેટલાક ક્લાઉડ પ્રદાતાઓમાંનું એક છે જે તમને એકત્રિત માહિતી સુરક્ષા ઇવેન્ટ્સને સમૃદ્ધ બનાવવા માટે બિલ્ટ-ઇન થ્રેટ ઇન્ટેલિજન્સ ક્ષમતાઓ પ્રદાન કરે છે.

ઉપર સૂચવ્યા મુજબ, સુરક્ષા કાર્યક્ષમતા અને, પરિણામે, તેના દ્વારા જનરેટ થયેલ સુરક્ષા ઘટનાઓ બધા વપરાશકર્તાઓ માટે સમાનરૂપે ઉપલબ્ધ નથી, પરંતુ ચોક્કસ સબ્સ્ક્રિપ્શનની જરૂર છે જેમાં તમને જરૂરી કાર્યક્ષમતા શામેલ છે, જે માહિતી સુરક્ષા મોનિટરિંગ માટે યોગ્ય ઇવેન્ટ્સ જનરેટ કરે છે. ઉદાહરણ તરીકે, ખાતાઓમાં વિસંગતતાઓને મોનિટર કરવા માટે અગાઉના ફકરામાં વર્ણવેલ કેટલાક કાર્યો માત્ર Azure AD સેવા માટે P2 પ્રીમિયમ લાયસન્સમાં ઉપલબ્ધ છે. તેના વિના, તમારે, AWS ના કિસ્સામાં, એકત્રિત સુરક્ષા ઘટનાઓનું "મેન્યુઅલી" વિશ્લેષણ કરવું પડશે. અને, એઝ્યુર AD લાયસન્સના પ્રકાર પર આધાર રાખીને, તમામ ઇવેન્ટ્સ વિશ્લેષણ માટે ઉપલબ્ધ રહેશે નહીં.

Azure પોર્ટલ પર, તમે તમારી રુચિના લોગ માટે બંને શોધ ક્વેરીનું સંચાલન કરી શકો છો અને મુખ્ય માહિતી સુરક્ષા સૂચકાંકોને વિઝ્યુઅલાઈઝ કરવા માટે ડેશબોર્ડ સેટ કરી શકો છો. વધુમાં, ત્યાં તમે Azure Monitor એક્સ્ટેન્શન્સ પસંદ કરી શકો છો, જે તમને Azure Monitor લૉગ્સની કાર્યક્ષમતાને વિસ્તૃત કરવા અને સુરક્ષાના દૃષ્ટિકોણથી ઘટનાઓનું ઊંડું વિશ્લેષણ મેળવવા માટે પરવાનગી આપે છે.

જો તમને માત્ર લોગ સાથે કામ કરવાની ક્ષમતા જ નહીં, પણ તમારા Azure ક્લાઉડ પ્લેટફોર્મ માટે એક વ્યાપક સુરક્ષા કેન્દ્રની જરૂર હોય, જેમાં માહિતી સુરક્ષા નીતિ વ્યવસ્થાપનનો સમાવેશ થાય છે, તો તમે Azure સુરક્ષા કેન્દ્ર સાથે કામ કરવાની જરૂરિયાત વિશે વાત કરી શકો છો, જેમાંથી મોટાભાગના ઉપયોગી કાર્યો. કેટલાક પૈસા માટે ઉપલબ્ધ છે, ઉદાહરણ તરીકે, ધમકીની શોધ, Azure બહાર દેખરેખ, અનુપાલન મૂલ્યાંકન, વગેરે. (મફત સંસ્કરણમાં, તમારી પાસે ફક્ત સુરક્ષા મૂલ્યાંકન અને ઓળખાયેલ સમસ્યાઓને દૂર કરવા માટેની ભલામણોની ઍક્સેસ છે). તે તમામ સુરક્ષા મુદ્દાઓને એક જગ્યાએ એકીકૃત કરે છે. હકીકતમાં, અમે Azure મોનિટર તમને પ્રદાન કરે છે તેના કરતા ઉચ્ચ સ્તરની માહિતી સુરક્ષા વિશે વાત કરી શકીએ છીએ, કારણ કે આ કિસ્સામાં તમારી સમગ્ર ક્લાઉડ ફેક્ટરીમાં એકત્રિત કરવામાં આવેલ ડેટા ઘણા સ્રોતોનો ઉપયોગ કરીને સમૃદ્ધ બને છે, જેમ કે Azure, Office 365, Microsoft CRM ઓનલાઇન, Microsoft Dynamics AX , outlook .com, MSN.com, Microsoft Digital Crimes Unit (DCU) અને Microsoft Security Response Center (MSRC), જેના પર વિવિધ અત્યાધુનિક મશીન લર્નિંગ અને બિહેવિયરલ એનાલિટિક્સ અલ્ગોરિધમ્સ સુપરઇમ્પોઝ કરવામાં આવ્યા છે, જે આખરે ધમકીઓને શોધવા અને તેનો પ્રતિસાદ આપવાની કાર્યક્ષમતામાં સુધારો કરશે. .

એઝ્યુરનું પોતાનું SIEM પણ છે - તે 2019 ની શરૂઆતમાં દેખાયું હતું. આ Azure Sentinel છે, જે Azure Monitor ના ડેટા પર આધાર રાખે છે અને તેની સાથે એકીકૃત પણ થઈ શકે છે. બાહ્ય સુરક્ષા ઉકેલો (ઉદાહરણ તરીકે, NGFW અથવા WAF), જેની સૂચિ સતત વધી રહી છે. વધુમાં, માઈક્રોસોફ્ટ ગ્રાફ સિક્યુરિટી API ના એકીકરણ દ્વારા, તમારી પાસે તમારા પોતાના થ્રેટ ઈન્ટેલિજન્સ ફીડ્સને સેન્ટીનેલ સાથે કનેક્ટ કરવાની ક્ષમતા છે, જે તમારા Azure ક્લાઉડમાં ઘટનાઓનું વિશ્લેષણ કરવાની ક્ષમતાઓને સમૃદ્ધ બનાવે છે. એવી દલીલ કરી શકાય છે કે Azure Sentinel એ પ્રથમ "મૂળ" SIEM છે જે ક્લાઉડ પ્રદાતાઓ તરફથી દેખાયું હતું (તે જ સ્પ્લંક અથવા ELK, જે ક્લાઉડમાં હોસ્ટ કરી શકાય છે, ઉદાહરણ તરીકે, AWS, હજુ પણ પરંપરાગત ક્લાઉડ સેવા પ્રદાતાઓ દ્વારા વિકસિત નથી). Azure સેન્ટીનેલ અને સિક્યુરિટી સેન્ટરને Azure ક્લાઉડ માટે SOC કહી શકાય અને જો તમારી પાસે હવે કોઈ ઈન્ફ્રાસ્ટ્રક્ચર ન હોય અને તમે તમારા બધા કમ્પ્યુટિંગ સંસાધનો ક્લાઉડમાં ટ્રાન્સફર કર્યા હોય અને તે Microsoft ક્લાઉડ Azure હશે તો તે તેમના સુધી મર્યાદિત હોઈ શકે છે (ચોક્કસ આરક્ષણો સાથે).

પરંતુ એઝ્યુરની બિલ્ટ-ઇન ક્ષમતાઓ (જો તમારી પાસે સેન્ટીનેલનું સબ્સ્ક્રિપ્શન હોય તો પણ) માહિતી સુરક્ષા પર દેખરેખ રાખવા અને આ પ્રક્રિયાને સુરક્ષા ઘટનાઓના અન્ય સ્ત્રોતો (ક્લાઉડ અને આંતરિક બંને) સાથે સંકલિત કરવાના હેતુઓ માટે ઘણી વાર પૂરતી હોતી નથી. એકત્રિત ડેટાને બાહ્ય સિસ્ટમમાં નિકાસ કરવાની જરૂર છે, જેમાં SIEM શામેલ હોઈ શકે છે. આ API નો ઉપયોગ કરીને અને વિશિષ્ટ એક્સ્ટેન્શન્સનો ઉપયોગ કરીને કરવામાં આવે છે, જે હાલમાં સત્તાવાર રીતે ફક્ત નીચેના SIEM માટે ઉપલબ્ધ છે - સ્પ્લંક (સ્પ્લંક માટે એઝ્યુર મોનિટર એડ-ઓન), IBM QRadar (Microsoft Azure DSM), SumoLogic, ArcSight અને ELK. તાજેતરમાં સુધી, આવા વધુ SIEMs હતા, પરંતુ 1 જૂન, 2019 થી, Microsoft એ Azure Log Integration Tool (AzLog) ને સમર્થન આપવાનું બંધ કરી દીધું હતું, જે Azure ના અસ્તિત્વની શરૂઆતમાં અને લોગ (Azure) સાથે કામ કરવાના સામાન્ય માનકીકરણની ગેરહાજરીમાં. મોનિટર હજી અસ્તિત્વમાં ન હતું) તેને માઇક્રોસોફ્ટ ક્લાઉડ સાથે બાહ્ય SIEM ને સરળ રીતે એકીકૃત કર્યું. હવે પરિસ્થિતિ બદલાઈ ગઈ છે અને Microsoft અન્ય SIEM માટે મુખ્ય એકીકરણ સાધન તરીકે Azure Event Hub પ્લેટફોર્મની ભલામણ કરે છે. ઘણાએ પહેલાથી જ આવા એકીકરણને અમલમાં મૂક્યું છે, પરંતુ સાવચેત રહો - તેઓ બધા Azure લોગને કેપ્ચર કરી શકશે નહીં, પરંતુ માત્ર કેટલાક (તમારા SIEM માટે દસ્તાવેજોમાં જુઓ).

Azure માં સંક્ષિપ્ત પ્રવાસ સમાપ્ત કરીને, હું આ ક્લાઉડ સેવા વિશે સામાન્ય ભલામણ આપવા માંગુ છું - તમે Azure માં માહિતી સુરક્ષા મોનિટરિંગ કાર્યો વિશે કંઈપણ કહો તે પહેલાં, તમારે તેમને ખૂબ જ કાળજીપૂર્વક ગોઠવવું જોઈએ અને પરીક્ષણ કરવું જોઈએ કે તેઓ દસ્તાવેજોમાં લખ્યા પ્રમાણે કાર્ય કરે છે અને જેમ કે કન્સલ્ટન્ટ્સે તમને Microsoft કહ્યું (અને તેઓ Azure ફંક્શન્સની કાર્યક્ષમતા પર જુદા જુદા મંતવ્યો ધરાવી શકે છે). જો તમારી પાસે નાણાકીય સંસાધનો છે, તો તમે માહિતી સુરક્ષા મોનિટરિંગના સંદર્ભમાં Azure પાસેથી ઘણી બધી ઉપયોગી માહિતી મેળવી શકો છો. જો તમારા સંસાધનો મર્યાદિત છે, તો પછી, AWS ના કિસ્સામાં, તમારે ફક્ત તમારી પોતાની શક્તિ અને Azure મોનિટર તમને પ્રદાન કરે છે તે કાચા ડેટા પર આધાર રાખવો પડશે. અને યાદ રાખો કે ઘણા મોનિટરિંગ કાર્યો માટે પૈસા ખર્ચ થાય છે અને કિંમત નીતિ સાથે અગાઉથી પોતાને પરિચિત કરવું વધુ સારું છે. ઉદાહરણ તરીકે, મફતમાં તમે ગ્રાહક દીઠ મહત્તમ 31 GB સુધી 5 દિવસનો ડેટા સ્ટોર કરી શકો છો - આ મૂલ્યોને ઓળંગવા માટે તમારે વધારાના પૈસા (ગ્રાહક પાસેથી દરેક વધારાના GB સ્ટોર કરવા માટે અંદાજે $2+ અને $0,1)ની જરૂર પડશે. દરેક વધારાના મહિને 1 GB સ્ટોર કરી રહ્યા છીએ). એપ્લિકેશન ટેલિમેટ્રી અને મેટ્રિક્સ સાથે કામ કરવા માટે વધારાના ભંડોળની પણ જરૂર પડી શકે છે, તેમજ ચેતવણીઓ અને સૂચનાઓ સાથે કામ કરવું (એક ચોક્કસ મર્યાદા મફતમાં ઉપલબ્ધ છે, જે તમારી જરૂરિયાતો માટે પૂરતી ન હોઈ શકે).

ઉદાહરણ: Google Cloud Platform પર આધારિત IaaS માં માહિતી સુરક્ષા મોનિટરિંગ

Google Cloud Platform AWS અને Azure ની સરખામણીમાં યુવાન જેવું લાગે છે, પરંતુ આ અંશતઃ સારું છે. AWS થી વિપરીત, જેણે તેની ક્ષમતાઓમાં વધારો કર્યો, જેમાં સુરક્ષા સહિત, ધીમે ધીમે, કેન્દ્રીકરણ સાથે સમસ્યાઓ આવી રહી છે; GCP, Azureની જેમ, કેન્દ્રિય રીતે વધુ સારી રીતે સંચાલિત થાય છે, જે સમગ્ર એન્ટરપ્રાઇઝમાં ભૂલો અને અમલીકરણનો સમય ઘટાડે છે. સુરક્ષાના દૃષ્ટિકોણથી, GCP, વિચિત્ર રીતે, AWS અને Azure વચ્ચે છે. તેની પાસે સમગ્ર સંસ્થા માટે એક જ ઇવેન્ટ રજીસ્ટ્રેશન પણ છે, પરંતુ તે અધૂરું છે. કેટલાક કાર્યો હજુ પણ બીટા મોડમાં છે, પરંતુ ધીમે ધીમે આ ઉણપ દૂર થવી જોઈએ અને માહિતી સુરક્ષા મોનિટરિંગના સંદર્ભમાં GCP વધુ પરિપક્વ પ્લેટફોર્મ બનશે.

GCP માં ઇવેન્ટ્સ લોગ કરવા માટેનું મુખ્ય સાધન સ્ટેકડ્રાઇવર લોગિંગ છે (એઝ્યુર મોનિટર જેવું જ), જે તમને તમારા સમગ્ર ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર (તેમજ AWS માંથી) ઇવેન્ટ્સ એકત્રિત કરવાની મંજૂરી આપે છે. GCP માં સુરક્ષા પરિપ્રેક્ષ્યમાં, દરેક સંસ્થા, પ્રોજેક્ટ અથવા ફોલ્ડરમાં ચાર લોગ છે:

• એડમિનિસ્ટ્રેટિવ એક્ટિવિટી - એડમિનિસ્ટ્રેટિવ એક્સેસ સંબંધિત તમામ ઇવેન્ટ્સ ધરાવે છે, ઉદાહરણ તરીકે, વર્ચ્યુઅલ મશીન બનાવવું, એક્સેસ રાઇટ્સ બદલવી વગેરે. આ લોગ તમારી ઇચ્છાને ધ્યાનમાં લીધા વિના હંમેશા લખવામાં આવે છે અને તેનો ડેટા 400 દિવસ સુધી સંગ્રહિત કરે છે.
• ડેટા એક્સેસ - ક્લાઉડ વપરાશકર્તાઓ (બનાવટ, ફેરફાર, વાંચન, વગેરે) દ્વારા ડેટા સાથે કામ કરવા સંબંધિત તમામ ઇવેન્ટ્સ ધરાવે છે. મૂળભૂત રીતે, આ લોગ લખવામાં આવતો નથી, કારણ કે તેનું વોલ્યુમ ખૂબ જ ઝડપથી ફૂલી જાય છે. આ કારણોસર, તેની શેલ્ફ લાઇફ માત્ર 30 દિવસ છે. વધુમાં, આ મેગેઝિનમાં બધું જ લખાયેલું નથી. ઉદાહરણ તરીકે, તમામ વપરાશકર્તાઓ માટે સાર્વજનિક રૂપે ઍક્સેસિબલ હોય અથવા GCP માં લૉગ ઇન કર્યા વિના ઍક્સેસિબલ હોય તેવા સંસાધનોને લગતી ઇવેન્ટ્સ તેમાં લખવામાં આવતી નથી.
• સિસ્ટમ ઇવેન્ટ - વપરાશકર્તાઓ સાથે સંબંધિત ન હોય તેવી સિસ્ટમ ઇવેન્ટ્સ અથવા ક્લાઉડ સંસાધનોની ગોઠવણીમાં ફેરફાર કરનાર વ્યવસ્થાપકની ક્રિયાઓ ધરાવે છે. તે હંમેશા 400 દિવસ માટે લખવામાં અને સંગ્રહિત કરવામાં આવે છે.
• એક્સેસ ટ્રાન્સપરન્સી એ લોગનું એક અનોખું ઉદાહરણ છે જે Google કર્મચારીઓની (પરંતુ હજુ સુધી તમામ GCP સેવાઓ માટે નથી)ની તમામ ક્રિયાઓને કેપ્ચર કરે છે જેઓ તેમની નોકરીની ફરજોના ભાગ રૂપે તમારા ઇન્ફ્રાસ્ટ્રક્ચરને ઍક્સેસ કરે છે. આ લોગ 400 દિવસ માટે સંગ્રહિત થાય છે અને દરેક GCP ક્લાયંટ માટે ઉપલબ્ધ નથી, પરંતુ માત્ર જો સંખ્યાબંધ શરતો પૂરી થાય (ગોલ્ડ અથવા પ્લેટિનમ લેવલ સપોર્ટ, અથવા કોર્પોરેટ સપોર્ટના ભાગ રૂપે ચોક્કસ પ્રકારની 4 ભૂમિકાઓની હાજરી). સમાન કાર્ય પણ ઉપલબ્ધ છે, ઉદાહરણ તરીકે, Office 365 - Lockbox માં.

લોગ ઉદાહરણ: એક્સેસ ટ્રાન્સપરન્સી

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/[BUCKET_NAME]/objects/foo123"
    }
  ]
 }
 logName:  "projects/[PROJECT_NAME]/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

લોગ વ્યૂઅર ઇન્ટરફેસ દ્વારા, API દ્વારા, Google Cloud SDK દ્વારા અથવા તમારા પ્રોજેક્ટના પ્રવૃત્તિ પૃષ્ઠ દ્વારા કે જેના માટે તમે ઘટનાઓમાં રસ છે. તે જ રીતે, તેઓ વધારાના વિશ્લેષણ માટે બાહ્ય ઉકેલોમાં નિકાસ કરી શકાય છે. બાદમાં BigQuery અથવા ક્લાઉડ પબ/સબ સ્ટોરેજ પર લૉગ નિકાસ કરીને કરવામાં આવે છે.

સ્ટેકડ્રાઈવર લોગિંગ ઉપરાંત, GCP પ્લેટફોર્મ સ્ટેકડ્રાઈવર મોનિટરિંગ કાર્યક્ષમતા પણ પ્રદાન કરે છે, જે તમને ક્લાઉડ સેવાઓ અને એપ્લિકેશન્સના મુખ્ય મેટ્રિક્સ (પ્રદર્શન, MTBF, એકંદર આરોગ્ય, વગેરે) પર દેખરેખ રાખવા દે છે. પ્રોસેસ્ડ અને વિઝ્યુઅલાઈઝ્ડ ડેટા સુરક્ષાના સંદર્ભમાં સહિત તમારા ક્લાઉડ ઈન્ફ્રાસ્ટ્રક્ચરમાં સમસ્યાઓ શોધવાનું સરળ બનાવી શકે છે. પરંતુ એ નોંધવું જોઈએ કે માહિતી સુરક્ષાના સંદર્ભમાં આ કાર્યક્ષમતા ખૂબ સમૃદ્ધ હશે નહીં, કારણ કે આજે GCP પાસે સમાન AWS ગાર્ડડ્યુટીનું એનાલોગ નથી અને તે બધી નોંધાયેલ ઇવેન્ટ્સમાં ખરાબને ઓળખી શકતું નથી (ગૂગલે ઇવેન્ટ થ્રેટ ડિટેક્શન વિકસાવ્યું છે, પરંતુ તે હજુ પણ બીટામાં વિકાસ હેઠળ છે અને તેની ઉપયોગિતા વિશે વાત કરવી ખૂબ જ વહેલું છે). સ્ટેકડ્રાઇવર મોનિટરિંગનો ઉપયોગ વિસંગતતાઓ શોધવા માટેની સિસ્ટમ તરીકે થઈ શકે છે, જે પછી તેમની ઘટનાના કારણો શોધવા માટે તપાસ કરવામાં આવશે. પરંતુ બજારમાં GCP માહિતી સુરક્ષાના ક્ષેત્રમાં લાયકાત ધરાવતા કર્મચારીઓની અછતને જોતા, આ કાર્ય હાલમાં મુશ્કેલ લાગે છે.

તમારા GCP ક્લાઉડમાં ઉપયોગમાં લઈ શકાય તેવા કેટલાક માહિતી સુરક્ષા મોડ્યુલોની સૂચિ આપવી પણ યોગ્ય છે, અને જે AWS ઑફર કરે છે તેના જેવું જ છે:

• ક્લાઉડ સિક્યુરિટી કમાન્ડ સેન્ટર એ AWS સિક્યુરિટી હબ અને એઝ્યુર સિક્યુરિટી સેન્ટરનું એનાલોગ છે.
• ક્લાઉડ ડીએલપી - 90 થી વધુ પૂર્વવ્યાખ્યાયિત વર્ગીકરણ નીતિઓનો ઉપયોગ કરીને ક્લાઉડમાં હોસ્ટ કરાયેલ ડેટાની સ્વચાલિત શોધ અને સંપાદન (દા.ત. માસ્કીંગ).
• ક્લાઉડ સ્કેનર એ એપ એન્જિન, કોમ્પ્યુટ એન્જીન અને ગૂગલ કુબરનેટ્સમાં જાણીતી નબળાઈઓ (XSS, ફ્લેશ ઈન્જેક્શન, અનપેચ્ડ લાઈબ્રેરીઓ વગેરે) માટેનું સ્કેનર છે.
• ક્લાઉડ IAM - તમામ GCP સંસાધનોની ઍક્સેસને નિયંત્રિત કરો.
• Cloud Identity - એક જ કન્સોલમાંથી GCP વપરાશકર્તા, ઉપકરણ અને એપ્લિકેશન એકાઉન્ટ્સનું સંચાલન કરો.
• ક્લાઉડ એચએસએમ - ક્રિપ્ટોગ્રાફિક કીનું રક્ષણ.
• ક્લાઉડ કી મેનેજમેન્ટ સર્વિસ - GCP માં ક્રિપ્ટોગ્રાફિક કીનું સંચાલન.
• VPC સેવા નિયંત્રણ - તમારા GCP સંસાધનોને લીક થવાથી બચાવવા માટે તેની આસપાસ સુરક્ષિત પરિમિતિ બનાવો.
• ટાઇટન સુરક્ષા કી - ફિશિંગ સામે રક્ષણ.

આમાંના ઘણા મોડ્યુલ સુરક્ષા ઇવેન્ટ્સ જનરેટ કરે છે જે વિશ્લેષણ માટે BigQuery સ્ટોરેજ પર મોકલી શકાય છે અથવા SIEM સહિત અન્ય સિસ્ટમમાં નિકાસ કરી શકાય છે. ઉપર જણાવ્યા મુજબ, GCP એક સક્રિય રીતે વિકાસશીલ પ્લેટફોર્મ છે અને Google હવે તેના પ્લેટફોર્મ માટે સંખ્યાબંધ નવા માહિતી સુરક્ષા મોડ્યુલ વિકસાવી રહ્યું છે. તેમાંથી ઇવેન્ટ થ્રેટ ડિટેક્શન (હવે બીટામાં ઉપલબ્ધ છે), જે અનધિકૃત પ્રવૃત્તિના નિશાનની શોધમાં સ્ટેકડ્રાઇવર લોગને સ્કેન કરે છે (AWS માં ગાર્ડડ્યુટીના સમાન), અથવા પોલિસી ઇન્ટેલિજન્સ (આલ્ફામાં ઉપલબ્ધ), જે તમને બુદ્ધિશાળી નીતિઓ વિકસાવવા માટે પરવાનગી આપશે. GCP સંસાધનોની ઍક્સેસ.

મેં લોકપ્રિય ક્લાઉડ પ્લેટફોર્મ્સમાં બિલ્ટ-ઇન મોનિટરિંગ ક્ષમતાઓની ટૂંકી ઝાંખી કરી છે. પરંતુ શું તમારી પાસે એવા નિષ્ણાતો છે કે જેઓ "કાચા" IaaS પ્રદાતા લોગ સાથે કામ કરી શકે છે (દરેક જણ AWS અથવા Azure અથવા Googleની અદ્યતન ક્ષમતાઓ ખરીદવા માટે તૈયાર નથી)? વધુમાં, ઘણા લોકો "વિશ્વાસ, પરંતુ ચકાસો" કહેવતથી પરિચિત છે, જે સુરક્ષાના ક્ષેત્રમાં પહેલા કરતાં વધુ સાચું છે. તમે ક્લાઉડ પ્રદાતાની બિલ્ટ-ઇન ક્ષમતાઓ પર કેટલો વિશ્વાસ કરો છો જે તમને માહિતી સુરક્ષા ઇવેન્ટ્સ મોકલે છે? તેઓ માહિતી સુરક્ષા પર કેટલું ધ્યાન કેન્દ્રિત કરે છે?

કેટલીકવાર ઓવરલે ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર મોનિટરિંગ સોલ્યુશન્સ જોવા યોગ્ય છે જે બિલ્ટ-ઇન ક્લાઉડ સુરક્ષાને પૂરક બનાવી શકે છે, અને કેટલીકવાર આવા ઉકેલો ક્લાઉડમાં હોસ્ટ કરેલા તમારા ડેટા અને એપ્લિકેશન્સની સુરક્ષામાં સમજ મેળવવાનો એકમાત્ર વિકલ્પ છે. વધુમાં, તેઓ ફક્ત વધુ અનુકૂળ છે, કારણ કે તેઓ વિવિધ ક્લાઉડ પ્રદાતાઓ તરફથી વિવિધ ક્લાઉડ સેવાઓ દ્વારા જનરેટ કરાયેલ જરૂરી લોગ્સનું વિશ્લેષણ કરવાના તમામ કાર્યો લે છે. આવા ઓવરલે સોલ્યુશનનું ઉદાહરણ સિસ્કો સ્ટેલ્થવોચ ક્લાઉડ છે, જે એક જ કાર્ય પર કેન્દ્રિત છે - ક્લાઉડ વાતાવરણમાં માહિતી સુરક્ષા વિસંગતતાઓનું નિરીક્ષણ કરવું, જેમાં માત્ર Amazon AWS, Microsoft Azure અને Google Cloud Platform જ નહીં, પણ ખાનગી ક્લાઉડ પણ સામેલ છે.

ઉદાહરણ: સ્ટેલ્થવોચ ક્લાઉડનો ઉપયોગ કરીને માહિતી સુરક્ષા મોનીટરીંગ

AWS એક લવચીક કમ્પ્યુટિંગ પ્લેટફોર્મ પૂરું પાડે છે, પરંતુ આ લવચીકતા કંપનીઓ માટે સુરક્ષા સમસ્યાઓ તરફ દોરી જતી ભૂલો કરવાનું સરળ બનાવે છે. અને વહેંચાયેલ માહિતી સુરક્ષા મોડલ ફક્ત આમાં ફાળો આપે છે. અજ્ઞાત નબળાઈઓ સાથે ક્લાઉડમાં ચાલી રહેલ સૉફ્ટવેર (જાણીતા લોકોનો સામનો કરી શકાય છે, ઉદાહરણ તરીકે, AWS ઇન્સ્પેક્ટર અથવા GCP ક્લાઉડ સ્કેનર દ્વારા), નબળા પાસવર્ડ્સ, ખોટી ગોઠવણીઓ, આંતરિક, વગેરે. અને આ બધું મેઘ સંસાધનોની વર્તણૂકમાં પ્રતિબિંબિત થાય છે, જે સિસ્કો સ્ટેલ્થવોચ ક્લાઉડ દ્વારા મોનિટર કરી શકાય છે, જે માહિતી સુરક્ષા મોનિટરિંગ અને એટેક ડિટેક્શન સિસ્ટમ છે. જાહેર અને ખાનગી વાદળો.

સિસ્કો સ્ટેલ્થવોચ ક્લાઉડની મુખ્ય વિશેષતાઓમાંની એક છે મોડેલ એન્ટિટીની ક્ષમતા. તેની સાથે, તમે તમારા દરેક ક્લાઉડ સંસાધનોનું સૉફ્ટવેર મૉડલ (એટલે ​​કે નજીકનું રીઅલ-ટાઇમ સિમ્યુલેશન) બનાવી શકો છો (તે AWS, Azure, GCP અથવા બીજું કંઈક છે કે કેમ તે કોઈ વાંધો નથી). આમાં સર્વર્સ અને વપરાશકર્તાઓ તેમજ તમારા ક્લાઉડ પર્યાવરણ માટે વિશિષ્ટ સંસાધન પ્રકારો, જેમ કે સુરક્ષા જૂથો અને સ્વતઃ-સ્કેલ જૂથો શામેલ હોઈ શકે છે. આ મોડેલો ઇનપુટ તરીકે ક્લાઉડ સેવાઓ દ્વારા પ્રદાન કરવામાં આવેલ માળખાગત ડેટા સ્ટ્રીમ્સનો ઉપયોગ કરે છે. ઉદાહરણ તરીકે, AWS માટે આ VPC ફ્લો લૉગ્સ, AWS CloudTrail, AWS CloudWatch, AWS Config, AWS ઇન્સ્પેક્ટર, AWS Lambda અને AWS IAM હશે. એન્ટિટી મૉડલિંગ આપમેળે તમારા કોઈપણ સંસાધનોની ભૂમિકા અને વર્તનને શોધી કાઢે છે (તમે તમામ ક્લાઉડ પ્રવૃત્તિની પ્રોફાઇલિંગ વિશે વાત કરી શકો છો). આ ભૂમિકાઓમાં Android અથવા Apple મોબાઇલ ઉપકરણ, Citrix PVS સર્વર, RDP સર્વર, મેલ ગેટવે, VoIP ક્લાયંટ, ટર્મિનલ સર્વર, ડોમેન નિયંત્રક વગેરેનો સમાવેશ થાય છે. તે પછી જોખમી અથવા સલામતી માટે જોખમી વર્તન ક્યારે થાય છે તે નિર્ધારિત કરવા માટે સતત તેમની વર્તણૂકનું નિરીક્ષણ કરે છે. તમે પાસવર્ડ અનુમાન, DDoS હુમલા, ડેટા લીક, ગેરકાયદેસર રીમોટ એક્સેસ, દૂષિત કોડ પ્રવૃત્તિ, નબળાઈ સ્કેનિંગ અને અન્ય ધમકીઓને ઓળખી શકો છો. ઉદાહરણ તરીકે, SSH મારફત તમારી સંસ્થા (દક્ષિણ કોરિયા) માટે કુબરનેટસ ક્લસ્ટરમાં અસાધારણ દેશમાંથી રિમોટ એક્સેસ કરવાનો પ્રયાસ આના જેવો દેખાય છે:

અને પોસ્ટગ્રેસ ડેટાબેઝમાંથી માહિતીના કથિત લીક જે દેશમાં અમે અગાઉ કોઈ ક્રિયાપ્રતિક્રિયાનો સામનો કર્યો નથી તે આના જેવું દેખાય છે:

છેવટે, બાહ્ય રિમોટ ડિવાઇસથી ચીન અને ઇન્ડોનેશિયાના ઘણા બધા નિષ્ફળ SSH પ્રયાસો આના જેવા દેખાય છે:

અથવા, ધારો કે VPC માં સર્વર ઉદાહરણ, નીતિ દ્વારા, ક્યારેય દૂરસ્થ લૉગિન ગંતવ્ય ન હોવું જોઈએ. ચાલો આગળ માની લઈએ કે ફાયરવોલ નિયમોની નીતિમાં ભૂલભરેલા ફેરફારને કારણે આ કમ્પ્યુટરને રિમોટ લોગોનનો અનુભવ થયો છે. એન્ટિટી મોડેલિંગ સુવિધા નજીકના રીઅલ-ટાઇમમાં આ પ્રવૃત્તિ ("અસામાન્ય રીમોટ એક્સેસ") શોધી કાઢશે અને તેની જાણ કરશે અને ચોક્કસ AWS CloudTrail, Azure Monitor, અથવા GCP Stackdriver Logging API કૉલ (વપરાશકર્તાનામ, તારીખ અને સમય સહિત, અન્ય વિગતો સહિત) તરફ નિર્દેશ કરશે. ). અને પછી આ માહિતી વિશ્લેષણ માટે SIEM ને મોકલી શકાય છે.

સિસ્કો સ્ટેલ્થવોચ ક્લાઉડ દ્વારા સપોર્ટેડ કોઈપણ ક્લાઉડ એન્વાયર્નમેન્ટ માટે સમાન ક્ષમતાઓ લાગુ કરવામાં આવે છે:

એન્ટિટી મોડેલિંગ એ સુરક્ષા ઓટોમેશનનું એક અનોખું સ્વરૂપ છે જે તમારા લોકો, પ્રક્રિયાઓ અથવા ટેક્નોલોજી સાથે અગાઉની અજાણી સમસ્યાને ઉજાગર કરી શકે છે. ઉદાહરણ તરીકે, તે તમને અન્ય વસ્તુઓની સાથે, સુરક્ષા સમસ્યાઓ જેમ કે:

• અમે જે સોફ્ટવેરનો ઉપયોગ કરીએ છીએ તેમાં કોઈએ બેકડોર શોધ્યું છે?
• શું અમારા ક્લાઉડમાં કોઈ તૃતીય પક્ષ સોફ્ટવેર અથવા ઉપકરણ છે?
• શું અધિકૃત વપરાશકર્તા વિશેષાધિકારોનો દુરુપયોગ કરી રહ્યો છે?
• શું ત્યાં કોઈ રૂપરેખાંકન ભૂલ હતી જેણે રિમોટ એક્સેસ અથવા સંસાધનોના અન્ય અનિચ્છનીય ઉપયોગને મંજૂરી આપી હતી?
• શું અમારા સર્વરમાંથી ડેટા લીક થયો છે?
• શું કોઈ અસાધારણ ભૌગોલિક સ્થાનથી અમારી સાથે કનેક્ટ થવાનો પ્રયાસ કરી રહ્યું હતું?
• શું આપણું ક્લાઉડ દૂષિત કોડથી સંક્રમિત છે?

શોધાયેલ માહિતી સુરક્ષા ઘટના Slack, Cisco Spark, PagerDuty ઇવેન્ટ મેનેજમેન્ટ સિસ્ટમને અનુરૂપ ટિકિટના રૂપમાં મોકલી શકાય છે અને Splunk અથવા ELK સહિત વિવિધ SIEM ને પણ મોકલી શકાય છે. સારાંશ માટે, અમે કહી શકીએ કે જો તમારી કંપની મલ્ટિ-ક્લાઉડ વ્યૂહરચનાનો ઉપયોગ કરે છે અને કોઈપણ એક ક્લાઉડ પ્રદાતા સુધી મર્યાદિત નથી, તો ઉપર વર્ણવેલ માહિતી સુરક્ષા મોનિટરિંગ ક્ષમતાઓ, તો સિસ્કો સ્ટેલ્થવોચ ક્લાઉડનો ઉપયોગ મોનિટરિંગનો એકીકૃત સેટ મેળવવા માટે સારો વિકલ્પ છે. અગ્રણી ક્લાઉડ પ્લેયર્સ માટે ક્ષમતાઓ - એમેઝોન, માઇક્રોસોફ્ટ અને ગૂગલ. સૌથી રસપ્રદ બાબત એ છે કે જો તમે AWS, Azure અથવા GCP માં માહિતી સુરક્ષા મોનિટરિંગ માટેના અદ્યતન લાઇસન્સ સાથે સ્ટીલ્થવોચ ક્લાઉડની કિંમતોની તુલના કરો છો, તો તે બહાર આવી શકે છે કે સિસ્કો સોલ્યુશન એમેઝોન, માઇક્રોસોફ્ટની બિલ્ટ-ઇન ક્ષમતાઓ કરતાં પણ સસ્તું હશે. અને Google ઉકેલો. તે વિરોધાભાસી છે, પરંતુ તે સાચું છે. અને તમે જેટલા વધુ વાદળો અને તેમની ક્ષમતાઓનો ઉપયોગ કરશો, એકીકૃત ઉકેલનો વધુ સ્પષ્ટ ફાયદો થશે.

વધુમાં, સ્ટેલ્થવોચ ક્લાઉડ તમારી સંસ્થામાં તૈનાત ખાનગી વાદળોનું નિરીક્ષણ કરી શકે છે, ઉદાહરણ તરીકે, કુબરનેટ્સ કન્ટેનર પર આધારિત અથવા નેટવર્ક સાધનોમાં મિરરિંગ દ્વારા પ્રાપ્ત નેટફ્લો પ્રવાહ અથવા નેટવર્ક ટ્રાફિકનું નિરીક્ષણ કરીને (સ્થાનિક રીતે ઉત્પાદિત પણ), AD ડેટા અથવા DNS સર્વર્સ વગેરે. આ તમામ ડેટા સિસ્કો ટેલોસ દ્વારા એકત્રિત કરવામાં આવેલી થ્રેટ ઇન્ટેલિજન્સ માહિતી સાથે સમૃદ્ધ કરવામાં આવશે, જે સાયબર સુરક્ષા ધમકી સંશોધકોના વિશ્વના સૌથી મોટા બિન-સરકારી જૂથ છે.

આ તમને તમારી કંપની ઉપયોગ કરી શકે તેવા સાર્વજનિક અને હાઇબ્રિડ ક્લાઉડ બંને માટે એકીકૃત મોનિટરિંગ સિસ્ટમ લાગુ કરવાની મંજૂરી આપે છે. એકત્રિત કરેલી માહિતીનું પછી સ્ટીલ્થવોચ ક્લાઉડની બિલ્ટ-ઇન ક્ષમતાઓનો ઉપયોગ કરીને વિશ્લેષણ કરી શકાય છે અથવા તમારા SIEM (Splunk, ELK, SumoLogic અને અન્ય કેટલીક ડિફોલ્ટ રૂપે સપોર્ટેડ છે) પર મોકલી શકાય છે.

આ સાથે, અમે લેખનો પહેલો ભાગ પૂર્ણ કરીશું, જેમાં મેં IaaS/PaaS પ્લેટફોર્મ્સની માહિતી સુરક્ષાનું નિરીક્ષણ કરવા માટે બિલ્ટ-ઇન અને બાહ્ય સાધનોની સમીક્ષા કરી છે, જે અમને ક્લાઉડ વાતાવરણમાં બનતી ઘટનાઓને ઝડપથી શોધી અને તેનો જવાબ આપવા દે છે. અમારા એન્ટરપ્રાઇઝ પસંદ કર્યું છે. બીજા ભાગમાં, અમે વિષય ચાલુ રાખીશું અને સેલ્સફોર્સ અને ડ્રૉપબૉક્સના ઉદાહરણનો ઉપયોગ કરીને SaaS પ્લેટફોર્મ્સનું નિરીક્ષણ કરવા માટેના વિકલ્પો જોઈશું, અને અમે વિવિધ ક્લાઉડ પ્રદાતાઓ માટે એકીકૃત માહિતી સુરક્ષા મોનિટરિંગ સિસ્ટમ બનાવીને સારાંશ આપવા અને બધું એકસાથે મૂકવાનો પણ પ્રયાસ કરીશું.

સોર્સ: www.habr.com