एसआईईएम प्रणाली के स्वामित्व की लागत कैसे कम करें और आपको सेंट्रल लॉग मैनेजमेंट (सीएलएम) की आवश्यकता क्यों है

कुछ समय पहले, स्प्लंक ने एक और लाइसेंसिंग मॉडल जोड़ा - बुनियादी ढांचे-आधारित लाइसेंसिंग (अब उनमें से तीन हैं). वे स्प्लंक सर्वर के अंतर्गत सीपीयू कोर की संख्या की गणना करते हैं। इलास्टिक स्टैक लाइसेंसिंग के समान, वे इलास्टिक्स खोज नोड्स की संख्या की गणना करते हैं। सिएम सिस्टम पारंपरिक रूप से महंगे हैं और आमतौर पर बहुत अधिक भुगतान करने और बहुत अधिक भुगतान करने के बीच एक विकल्प होता है। लेकिन, यदि आप थोड़ी सरलता का उपयोग करते हैं, तो आप एक समान संरचना को इकट्ठा कर सकते हैं।

यह डरावना लगता है, लेकिन कभी-कभी यह वास्तुकला उत्पादन में काम करती है। जटिलता सुरक्षा को ख़त्म कर देती है, और, सामान्य तौर पर, हर चीज़ को ख़त्म कर देती है। वास्तव में, ऐसे मामलों के लिए (मैं स्वामित्व की लागत को कम करने के बारे में बात कर रहा हूं) सिस्टम की एक पूरी श्रेणी है - सेंट्रल लॉग मैनेजमेंट (सीएलएम)। इसके बारे में गार्टनर लिखते हैं, उन्हें कम मूल्यांकित मानते हुए। यहां उनकी सिफारिशें हैं:

• बजट और स्टाफिंग की कमी, सुरक्षा निगरानी आवश्यकताओं और विशिष्ट उपयोग के मामले की आवश्यकताएं होने पर सीएलएम क्षमताओं और उपकरणों का उपयोग करें।
• जब कोई एसआईईएम समाधान बहुत महंगा या जटिल साबित हो तो लॉग संग्रह और विश्लेषण क्षमताओं को बढ़ाने के लिए सीएलएम लागू करें।
• सुरक्षा घटना की जांच/विश्लेषण में सुधार और खतरे की तलाश में सहायता के लिए कुशल भंडारण, तेज़ खोज और लचीले विज़ुअलाइज़ेशन वाले सीएलएम टूल में निवेश करें।
• सुनिश्चित करें कि सीएलएम समाधान लागू करने से पहले लागू कारकों और विचारों को ध्यान में रखा जाए।

इस लेख में हम लाइसेंसिंग के दृष्टिकोण में अंतर के बारे में बात करेंगे, हम सीएलएम को समझेंगे और इस वर्ग की एक विशिष्ट प्रणाली के बारे में बात करेंगे - क्वेस्ट इनट्रस्ट. कट के अंतर्गत विवरण.

इस लेख की शुरुआत में, मैंने स्प्लंक लाइसेंसिंग के नए दृष्टिकोण के बारे में बात की। लाइसेंस के प्रकारों की तुलना कार किराये की दरों से की जा सकती है। आइए कल्पना करें कि मॉडल, सीपीयू की संख्या के मामले में, असीमित माइलेज और गैसोलीन वाली एक किफायती कार है। आप दूरी के प्रतिबंध के बिना कहीं भी जा सकते हैं, लेकिन आप बहुत तेजी से नहीं जा सकते हैं और तदनुसार, एक दिन में कई किलोमीटर की दूरी तय कर सकते हैं। डेटा लाइसेंसिंग दैनिक माइलेज मॉडल वाली स्पोर्ट्स कार के समान है। आप लंबी दूरी तक लापरवाही से गाड़ी चला सकते हैं, लेकिन दैनिक माइलेज सीमा से अधिक होने पर आपको अधिक भुगतान करना होगा।

लोड-आधारित लाइसेंसिंग से लाभ उठाने के लिए, आपके पास लोड किए गए जीबी डेटा के लिए सीपीयू कोर का न्यूनतम संभव अनुपात होना चाहिए। व्यवहार में इसका अर्थ कुछ इस प्रकार है:

• लोड किए गए डेटा के लिए प्रश्नों की न्यूनतम संभव संख्या।
• समाधान के संभावित उपयोगकर्ताओं की न्यूनतम संख्या.
• जितना संभव हो उतना सरल और सामान्यीकृत डेटा (ताकि बाद के डेटा प्रोसेसिंग और विश्लेषण पर सीपीयू चक्र बर्बाद करने की कोई आवश्यकता न हो)।

यहां सबसे समस्याग्रस्त चीज़ सामान्यीकृत डेटा है। यदि आप चाहते हैं कि एक एसआईईएम किसी संगठन में सभी लॉग का एग्रीगेटर बने, तो इसके लिए पार्सिंग और पोस्ट-प्रोसेसिंग में भारी मात्रा में प्रयास की आवश्यकता होती है। यह मत भूलिए कि आपको एक ऐसे आर्किटेक्चर के बारे में भी सोचने की ज़रूरत है जो भार के तहत नष्ट न हो, यानी। अतिरिक्त सर्वर और इसलिए अतिरिक्त प्रोसेसर की आवश्यकता होगी।

डेटा वॉल्यूम लाइसेंसिंग उस डेटा की मात्रा पर आधारित है जो सिएम के मावे में भेजा जाता है। डेटा के अतिरिक्त स्रोत रूबल (या अन्य मुद्रा) द्वारा दंडनीय हैं और यह आपको यह सोचने पर मजबूर करता है कि आप वास्तव में क्या एकत्र नहीं करना चाहते थे। इस लाइसेंसिंग मॉडल से बचने के लिए, आप डेटा को सिएम सिस्टम में डालने से पहले काट सकते हैं। इंजेक्शन से पहले इस तरह के सामान्यीकरण का एक उदाहरण इलास्टिक स्टैक और कुछ अन्य वाणिज्यिक एसआईईएम हैं।

परिणामस्वरूप, हमारे पास यह है कि बुनियादी ढांचे द्वारा लाइसेंसिंग तब प्रभावी होती है जब आपको न्यूनतम प्रीप्रोसेसिंग के साथ केवल कुछ डेटा एकत्र करने की आवश्यकता होती है, और वॉल्यूम द्वारा लाइसेंसिंग आपको सब कुछ एकत्र करने की अनुमति नहीं देगा। एक मध्यवर्ती समाधान की खोज निम्नलिखित मानदंडों की ओर ले जाती है:

• डेटा एकत्रीकरण और सामान्यीकरण को सरल बनाएं।
• शोर वाले और कम से कम महत्वपूर्ण डेटा को फ़िल्टर करना।
• विश्लेषण क्षमताएं प्रदान करना.
• सिएम को फ़िल्टर्ड और सामान्यीकृत डेटा भेजें

परिणामस्वरूप, लक्षित एसआईईएम सिस्टम को प्रसंस्करण पर अतिरिक्त सीपीयू शक्ति बर्बाद करने की आवश्यकता नहीं होगी और जो हो रहा है उसकी दृश्यता को कम किए बिना केवल सबसे महत्वपूर्ण घटनाओं की पहचान करने से लाभ हो सकता है।

आदर्श रूप से, ऐसे मिडलवेयर समाधान को वास्तविक समय का पता लगाने और प्रतिक्रिया क्षमताएं भी प्रदान करनी चाहिए जिनका उपयोग संभावित खतरनाक गतिविधियों के प्रभाव को कम करने और घटनाओं की पूरी धारा को एसआईईएम के लिए उपयोगी और सरल मात्रा में डेटा में एकत्रित करने के लिए किया जा सकता है। खैर, फिर अतिरिक्त एकत्रीकरण, सहसंबंध और चेतावनी प्रक्रियाएं बनाने के लिए एसआईईएम का उपयोग किया जा सकता है।

वही रहस्यमय मध्यवर्ती समाधान कोई और नहीं बल्कि सीएलएम है, जिसका मैंने लेख की शुरुआत में उल्लेख किया था। गार्टनर इसे इस प्रकार देखता है:

अब आप यह पता लगाने की कोशिश कर सकते हैं कि इनट्रस्ट गार्टनर की सिफारिशों का अनुपालन कैसे करता है:

• संग्रहीत किए जाने वाले डेटा की मात्रा और प्रकार के लिए कुशल भंडारण।
• उच्च खोज गति.
• विज़ुअलाइज़ेशन क्षमताओं के लिए बुनियादी सीएलएम की आवश्यकता नहीं है, लेकिन खतरे का शिकार सुरक्षा और डेटा विश्लेषण के लिए बीआई प्रणाली की तरह है।
• उपयोगी प्रासंगिक डेटा (जैसे जियोलोकेशन और अन्य) के साथ कच्चे डेटा को समृद्ध करने के लिए डेटा संवर्धन।

क्वेस्ट इनट्रस्ट 40:1 डेटा संपीड़न और हाई-स्पीड डीडुप्लीकेशन के साथ अपने स्वयं के स्टोरेज सिस्टम का उपयोग करता है, जो सीएलएम और एसआईईएम सिस्टम के लिए स्टोरेज ओवरहेड को कम करता है।

गूगल जैसी खोज के साथ आईटी सुरक्षा खोज कंसोल

एक विशेष वेब-आधारित आईटी सुरक्षा खोज (आईटीएसएस) मॉड्यूल इनट्रस्ट रिपॉजिटरी में इवेंट डेटा से जुड़ सकता है और खतरों की खोज के लिए एक सरल इंटरफ़ेस प्रदान करता है। इंटरफ़ेस को इस हद तक सरल बनाया गया है कि यह इवेंट लॉग डेटा के लिए Google की तरह कार्य करता है। आईटीएसएस क्वेरी परिणामों के लिए समयसीमा का उपयोग करता है, इवेंट फ़ील्ड को मर्ज और समूहित कर सकता है, और खतरे के शिकार में प्रभावी ढंग से सहायता करता है।

इनट्रस्ट विंडोज इवेंट को सुरक्षा पहचानकर्ताओं, फ़ाइल नामों और सुरक्षा लॉगिन पहचानकर्ताओं के साथ समृद्ध करता है। इनट्रस्ट घटनाओं को एक साधारण W6 स्कीमा (कौन, क्या, कहां, कब, किससे और कहां से) में सामान्यीकृत करता है ताकि विभिन्न स्रोतों (विंडोज मूल घटनाएं, लिनक्स लॉग या सिसलॉग) से डेटा को एक ही प्रारूप में और एक ही पर देखा जा सके। खोज कंसोल.

इनट्रस्ट वास्तविक समय की चेतावनी, पहचान और प्रतिक्रिया क्षमताओं का समर्थन करता है जिसका उपयोग संदिग्ध गतिविधि से होने वाले नुकसान को कम करने के लिए ईडीआर जैसी प्रणाली के रूप में किया जा सकता है। अंतर्निहित सुरक्षा नियम निम्नलिखित खतरों का पता लगाते हैं, लेकिन केवल उनका पता लगाने तक ही सीमित नहीं हैं:

• पासवर्ड-छिड़काव।
• केर्बेरोस्टिंग।
• संदिग्ध पॉवरशेल गतिविधि, जैसे मिमिकेट्ज़ का निष्पादन।
• संदिग्ध प्रक्रियाएं, उदाहरण के लिए, लोकेरगोगा रैनसमवेयर।
• CA4FS लॉग का उपयोग करके एन्क्रिप्शन।
• कार्यस्थानों पर एक विशेषाधिकार प्राप्त खाते से लॉगिन करें।
• पासवर्ड अनुमान लगाने वाले हमले.
• स्थानीय उपयोगकर्ता समूहों का संदिग्ध उपयोग.

अब मैं आपको इनट्रस्ट के कुछ स्क्रीनशॉट दिखाऊंगा ताकि आप इसकी क्षमताओं का अंदाजा लगा सकें।

संभावित कमजोरियों को खोजने के लिए पूर्वनिर्धारित फ़िल्टर

कच्चा डेटा एकत्र करने के लिए फ़िल्टर के सेट का एक उदाहरण

किसी घटना पर प्रतिक्रिया बनाने के लिए नियमित अभिव्यक्तियों का उपयोग करने का एक उदाहरण

PowerShell भेद्यता खोज नियम के साथ उदाहरण

कमजोरियों के विवरण के साथ अंतर्निहित ज्ञान का आधार

इनट्रस्ट एक शक्तिशाली उपकरण है जिसका उपयोग स्टैंडअलोन समाधान के रूप में या एसआईईएम सिस्टम के हिस्से के रूप में किया जा सकता है, जैसा कि मैंने ऊपर बताया है। संभवतः इस समाधान का मुख्य लाभ यह है कि आप स्थापना के तुरंत बाद इसका उपयोग शुरू कर सकते हैं, क्योंकि इनट्रस्ट के पास खतरों का पता लगाने और उनका जवाब देने के लिए नियमों की एक बड़ी लाइब्रेरी है (उदाहरण के लिए, किसी उपयोगकर्ता को ब्लॉक करना)।

लेख में मैंने बॉक्सिंग एकीकरण के बारे में बात नहीं की। लेकिन इंस्टालेशन के तुरंत बाद, आप स्प्लंक, आईबीएम क्यूराडार, माइक्रोफोकस आर्कसाइट, या वेबहुक के माध्यम से किसी अन्य सिस्टम पर ईवेंट भेजने को कॉन्फ़िगर कर सकते हैं। नीचे इनट्रस्ट के इवेंट के साथ किबाना इंटरफ़ेस का एक उदाहरण दिया गया है। इलास्टिक स्टैक के साथ पहले से ही एकीकरण है और, यदि आप इलास्टिक के मुफ्त संस्करण का उपयोग करते हैं, तो इनट्रस्ट का उपयोग खतरों की पहचान करने, सक्रिय अलर्ट करने और सूचनाएं भेजने के लिए एक उपकरण के रूप में किया जा सकता है।

मुझे आशा है कि लेख ने इस उत्पाद के बारे में न्यूनतम जानकारी दी होगी। हम परीक्षण या पायलट प्रोजेक्ट संचालित करने के लिए आपको इनट्रस्ट देने के लिए तैयार हैं। आवेदन को यहां छोड़ा जा सकता है प्रतिपुष्टी फ़ार्म हमारी वेबसाइट पर

सूचना सुरक्षा पर हमारे अन्य लेख पढ़ें:

हम रैंसमवेयर हमले का पता लगाते हैं, डोमेन नियंत्रक तक पहुंच प्राप्त करते हैं और इन हमलों का विरोध करने का प्रयास करते हैं

विंडोज़-आधारित वर्कस्टेशन के लॉग से कौन सी उपयोगी चीज़ें निकाली जा सकती हैं? (लोकप्रिय लेख)

प्लायर्स या डक्ट टेप के बिना उपयोगकर्ताओं के जीवनचक्र को ट्रैक करना

ये किसने किया? हम सूचना सुरक्षा ऑडिट को स्वचालित करते हैं

स्रोत: www.habr.com