क्लाउड सुरक्षा निगरानी

डेटा और एप्लिकेशन को क्लाउड पर ले जाना कॉर्पोरेट एसओसी के लिए एक नई चुनौती पेश करता है, जो अन्य लोगों के बुनियादी ढांचे की निगरानी के लिए हमेशा तैयार नहीं होते हैं। नेटोस्कोप के अनुसार, औसत उद्यम (जाहिरा तौर पर अमेरिका में) 1246 विभिन्न क्लाउड सेवाओं का उपयोग करता है, जो एक साल पहले की तुलना में 22% अधिक है। 1246 क्लाउड सेवाएँ!!! उनमें से 175 मानव संसाधन सेवाओं से संबंधित हैं, 170 विपणन से संबंधित हैं, 110 संचार के क्षेत्र में हैं और 76 वित्त और सीआरएम से संबंधित हैं। सिस्को "केवल" 700 बाहरी क्लाउड सेवाओं का उपयोग करता है। इसलिए मैं इन नंबरों से थोड़ा भ्रमित हूं। लेकिन किसी भी मामले में, समस्या उनके साथ नहीं है, बल्कि इस तथ्य के साथ है कि क्लाउड का उपयोग उन कंपनियों की बढ़ती संख्या द्वारा काफी सक्रिय रूप से किया जाने लगा है जो क्लाउड इंफ्रास्ट्रक्चर की निगरानी के लिए अपने नेटवर्क की तरह ही समान क्षमताएं रखना चाहती हैं। और यह प्रवृत्ति बढ़ रही है - के अनुसार अमेरिकन चैंबर ऑफ अकाउंट्स के अनुसार 2023 तक संयुक्त राज्य अमेरिका में 1200 डेटा सेंटर बंद होने वाले हैं (6250 पहले ही बंद हो चुके हैं)। लेकिन क्लाउड में परिवर्तन केवल "आइए अपने सर्वर को किसी बाहरी प्रदाता के पास ले जाएं" नहीं है। नया आईटी आर्किटेक्चर, नया सॉफ्टवेयर, नई प्रक्रियाएं, नए प्रतिबंध... यह सब न केवल आईटी, बल्कि सूचना सुरक्षा के काम में भी महत्वपूर्ण बदलाव लाता है। और यदि प्रदाताओं ने किसी तरह क्लाउड की सुरक्षा सुनिश्चित करने का सामना करना सीख लिया है (सौभाग्य से बहुत सारी सिफारिशें हैं), तो क्लाउड सूचना सुरक्षा निगरानी के साथ, विशेष रूप से SaaS प्लेटफार्मों पर, महत्वपूर्ण कठिनाइयाँ हैं, जिनके बारे में हम बात करेंगे।

मान लीजिए कि आपकी कंपनी ने अपने बुनियादी ढांचे का एक हिस्सा क्लाउड पर स्थानांतरित कर दिया है... रुकें। इस तरह से नहीं. यदि बुनियादी ढांचा स्थानांतरित कर दिया गया है, और आप अब केवल यह सोच रहे हैं कि आप इसकी निगरानी कैसे करेंगे, तो आप पहले ही खो चुके हैं। जब तक यह अमेज़ॅन, Google, या Microsoft (और फिर आरक्षण के साथ) न हो, आपके पास संभवतः अपने डेटा और एप्लिकेशन की निगरानी करने की अधिक क्षमता नहीं होगी। यदि आपको लॉग के साथ काम करने का अवसर दिया जाए तो यह अच्छा है। कभी-कभी सुरक्षा ईवेंट डेटा उपलब्ध होगा, लेकिन आपके पास उस तक पहुंच नहीं होगी। उदाहरण के लिए, Office 365. यदि आपके पास सबसे सस्ता E1 लाइसेंस है, तो सुरक्षा ईवेंट आपके लिए बिल्कुल भी उपलब्ध नहीं हैं। यदि आपके पास E3 लाइसेंस है, तो आपका डेटा केवल 90 दिनों के लिए संग्रहीत किया जाता है, और केवल यदि आपके पास E5 लाइसेंस है, तो लॉग की अवधि एक वर्ष के लिए उपलब्ध है (हालाँकि, अलग से आवश्यकता से संबंधित इसकी अपनी बारीकियाँ भी हैं माइक्रोसॉफ्ट समर्थन से लॉग के साथ काम करने के लिए कई कार्यों का अनुरोध करें)। वैसे, E3 लाइसेंस कॉर्पोरेट एक्सचेंज की तुलना में निगरानी कार्यों के मामले में बहुत कमजोर है। समान स्तर प्राप्त करने के लिए, आपको E5 लाइसेंस या अतिरिक्त उन्नत अनुपालन लाइसेंस की आवश्यकता होती है, जिसके लिए अतिरिक्त धन की आवश्यकता हो सकती है जिसे क्लाउड इंफ्रास्ट्रक्चर में जाने के लिए आपके वित्तीय मॉडल में शामिल नहीं किया गया था। और यह क्लाउड सूचना सुरक्षा निगरानी से संबंधित मुद्दों को कम करके आंकने का सिर्फ एक उदाहरण है। इस लेख में, पूर्ण होने का दिखावा किए बिना, मैं कुछ बारीकियों पर ध्यान आकर्षित करना चाहता हूं जिन्हें सुरक्षा के दृष्टिकोण से क्लाउड प्रदाता चुनते समय ध्यान में रखा जाना चाहिए। और लेख के अंत में, एक चेकलिस्ट दी जाएगी जो यह मानने से पहले पूरी करने लायक है कि क्लाउड सूचना सुरक्षा की निगरानी का मुद्दा हल हो गया है।

ऐसी कई विशिष्ट समस्याएं हैं जो क्लाउड वातावरण में घटनाओं को जन्म देती हैं, जिन पर सूचना सुरक्षा सेवाओं के पास प्रतिक्रिया देने का समय नहीं होता है या उन्हें बिल्कुल भी नहीं देखा जाता है:

• सुरक्षा लॉग मौजूद नहीं हैं. यह एक काफी सामान्य स्थिति है, खासकर क्लाउड समाधान बाजार में नौसिखिए खिलाड़ियों के बीच। लेकिन आपको उन्हें तुरंत नहीं छोड़ना चाहिए। छोटे खिलाड़ी, विशेष रूप से घरेलू, ग्राहकों की आवश्यकताओं के प्रति अधिक संवेदनशील होते हैं और अपने उत्पादों के लिए अनुमोदित रोडमैप को बदलकर कुछ आवश्यक कार्यों को जल्दी से लागू कर सकते हैं। हां, यह अमेज़ॅन से गार्डड्यूटी या बिट्रिक्स से "प्रोएक्टिव प्रोटेक्शन" मॉड्यूल का एनालॉग नहीं होगा, लेकिन कम से कम कुछ।
• सूचना सुरक्षा को यह नहीं पता होता है कि लॉग कहां संग्रहीत हैं या उन तक कोई पहुंच नहीं है। यहां क्लाउड सेवा प्रदाता के साथ बातचीत करना आवश्यक है - शायद वह ऐसी जानकारी प्रदान करेगा यदि वह ग्राहक को अपने लिए महत्वपूर्ण मानता है। लेकिन सामान्य तौर पर, यह बहुत अच्छा नहीं है जब लॉग तक पहुंच "विशेष निर्णय द्वारा" प्रदान की जाती है।
• ऐसा भी होता है कि क्लाउड प्रदाता के पास लॉग होते हैं, लेकिन वे सीमित निगरानी और ईवेंट रिकॉर्डिंग प्रदान करते हैं, जो सभी घटनाओं का पता लगाने के लिए पर्याप्त नहीं हैं। उदाहरण के लिए, आपको केवल किसी वेबसाइट पर परिवर्तनों के लॉग या उपयोगकर्ता प्रमाणीकरण प्रयासों के लॉग प्राप्त हो सकते हैं, लेकिन नेटवर्क ट्रैफ़िक जैसी अन्य घटनाएं नहीं, जो आपसे घटनाओं की एक पूरी परत छिपा देगी जो आपके क्लाउड इंफ्रास्ट्रक्चर को हैक करने के प्रयासों को दर्शाती हैं।
• लॉग हैं, लेकिन उन तक पहुंच को स्वचालित करना मुश्किल है, जो उन्हें लगातार नहीं, बल्कि एक शेड्यूल पर निगरानी करने के लिए मजबूर करता है। और यदि आप स्वचालित रूप से लॉग डाउनलोड नहीं कर सकते हैं, तो लॉग डाउनलोड करना, उदाहरण के लिए, एक्सेल प्रारूप में (जैसा कि कई घरेलू क्लाउड समाधान प्रदाताओं के साथ होता है), कॉर्पोरेट सूचना सुरक्षा सेवा की ओर से उनके साथ छेड़छाड़ करने में अनिच्छा भी हो सकती है।
• कोई लॉग मॉनिटरिंग नहीं. क्लाउड वातावरण में सूचना सुरक्षा घटनाओं के घटित होने का यह शायद सबसे अस्पष्ट कारण है। ऐसा लगता है कि लॉग हैं, और उन तक पहुंच को स्वचालित करना संभव है, लेकिन कोई भी ऐसा नहीं करता है। क्यों?

साझा क्लाउड सुरक्षा अवधारणा

क्लाउड में परिवर्तन हमेशा बुनियादी ढांचे पर नियंत्रण बनाए रखने की इच्छा और इसे क्लाउड प्रदाता के अधिक पेशेवर हाथों में स्थानांतरित करने के बीच संतुलन की खोज है जो इसे बनाए रखने में माहिर हैं। और क्लाउड सुरक्षा के क्षेत्र में भी यह संतुलन तलाशा जाना चाहिए। इसके अलावा, उपयोग किए गए क्लाउड सेवा वितरण मॉडल (IaaS, PaaS, SaaS) के आधार पर, यह संतुलन हर समय अलग होगा। किसी भी स्थिति में, हमें यह याद रखना चाहिए कि आज सभी क्लाउड प्रदाता तथाकथित साझा जिम्मेदारी और साझा सूचना सुरक्षा मॉडल का पालन करते हैं। कुछ चीजों के लिए क्लाउड जिम्मेदार है, और अन्य चीजों के लिए ग्राहक जिम्मेदार है, अपने डेटा, अपने एप्लिकेशन, अपनी वर्चुअल मशीन और अन्य संसाधनों को क्लाउड में रखता है। यह उम्मीद करना लापरवाही होगी कि क्लाउड पर जाकर हम सारी जिम्मेदारी प्रदाता पर डाल देंगे। लेकिन क्लाउड पर जाते समय सारी सुरक्षा स्वयं बनाना भी नासमझी है। एक संतुलन की आवश्यकता है, जो कई कारकों पर निर्भर करेगा: - जोखिम प्रबंधन रणनीति, खतरा मॉडल, क्लाउड प्रदाता के लिए उपलब्ध सुरक्षा तंत्र, कानून, आदि।

उदाहरण के लिए, क्लाउड में होस्ट किए गए डेटा का वर्गीकरण हमेशा ग्राहक की जिम्मेदारी है। एक क्लाउड प्रदाता या एक बाहरी सेवा प्रदाता केवल उन उपकरणों से उसकी मदद कर सकता है जो क्लाउड में डेटा को चिह्नित करने, उल्लंघनों की पहचान करने, कानून का उल्लंघन करने वाले डेटा को हटाने या किसी न किसी विधि का उपयोग करके इसे छिपाने में मदद करेंगे। दूसरी ओर, भौतिक सुरक्षा हमेशा क्लाउड प्रदाता की ज़िम्मेदारी होती है, जिसे वह ग्राहकों के साथ साझा नहीं कर सकता है। लेकिन डेटा और भौतिक बुनियादी ढांचे के बीच जो कुछ भी है वह इस लेख में चर्चा का विषय है। उदाहरण के लिए, क्लाउड की उपलब्धता प्रदाता की ज़िम्मेदारी है, और फ़ायरवॉल नियम स्थापित करना या एन्क्रिप्शन सक्षम करना क्लाइंट की ज़िम्मेदारी है। इस लेख में हम यह देखने का प्रयास करेंगे कि रूस में विभिन्न लोकप्रिय क्लाउड प्रदाताओं द्वारा आज कौन सी सूचना सुरक्षा निगरानी तंत्र प्रदान किए जाते हैं, उनके उपयोग की विशेषताएं क्या हैं, और बाहरी ओवरले समाधानों की ओर देखना कब उचित है (उदाहरण के लिए, सिस्को ई-) मेल सुरक्षा) जो साइबर सुरक्षा के संदर्भ में आपके क्लाउड की क्षमताओं का विस्तार करती है। कुछ मामलों में, विशेष रूप से यदि आप मल्टी-क्लाउड रणनीति का पालन कर रहे हैं, तो आपके पास एक साथ कई क्लाउड वातावरणों में बाहरी सूचना सुरक्षा निगरानी समाधानों का उपयोग करने के अलावा कोई विकल्प नहीं होगा (उदाहरण के लिए, सिस्को क्लाउडलॉक या सिस्को स्टील्थवॉच क्लाउड)। ठीक है, कुछ मामलों में आपको एहसास होगा कि जिस क्लाउड प्रदाता को आपने चुना है (या आप पर थोपा गया है) वह कोई भी सूचना सुरक्षा निगरानी क्षमता प्रदान नहीं करता है। यह अप्रिय है, लेकिन थोड़ा भी नहीं, क्योंकि यह आपको इस क्लाउड के साथ काम करने से जुड़े जोखिम के स्तर का पर्याप्त आकलन करने की अनुमति देता है।

क्लाउड सुरक्षा निगरानी जीवनचक्र

आपके द्वारा उपयोग किए जाने वाले बादलों की सुरक्षा की निगरानी के लिए, आपके पास केवल तीन विकल्प हैं:

• अपने क्लाउड प्रदाता द्वारा उपलब्ध कराए गए टूल पर भरोसा करें,
• तृतीय पक्षों के समाधानों का उपयोग करें जो आपके द्वारा उपयोग किए जाने वाले IaaS, PaaS या SaaS प्लेटफ़ॉर्म की निगरानी करेंगे,
• अपना खुद का क्लाउड मॉनिटरिंग इंफ्रास्ट्रक्चर बनाएं (केवल IaaS/PaaS प्लेटफॉर्म के लिए)।

आइए देखें कि इनमें से प्रत्येक विकल्प में क्या विशेषताएं हैं। लेकिन पहले, हमें उस सामान्य ढांचे को समझने की ज़रूरत है जिसका उपयोग क्लाउड प्लेटफ़ॉर्म की निगरानी करते समय किया जाएगा। मैं क्लाउड में सूचना सुरक्षा निगरानी प्रक्रिया के 6 मुख्य घटकों पर प्रकाश डालूँगा:

• बुनियादी ढांचे की तैयारी. सूचना सुरक्षा के लिए महत्वपूर्ण घटनाओं को भंडारण में एकत्रित करने के लिए आवश्यक अनुप्रयोगों और बुनियादी ढांचे का निर्धारण करना।
• संग्रह। इस स्तर पर, सुरक्षा घटनाओं को प्रसंस्करण, भंडारण और विश्लेषण के लिए बाद के प्रसारण के लिए विभिन्न स्रोतों से एकत्र किया जाता है।
• इलाज। इस स्तर पर, बाद के विश्लेषण को सुविधाजनक बनाने के लिए डेटा को रूपांतरित और समृद्ध किया जाता है।
• भंडारण। यह घटक एकत्रित संसाधित और कच्चे डेटा के अल्पकालिक और दीर्घकालिक भंडारण के लिए जिम्मेदार है।
• विश्लेषण। इस स्तर पर, आपके पास घटनाओं का पता लगाने और उन पर स्वचालित या मैन्युअल रूप से प्रतिक्रिया देने की क्षमता है।
• रिपोर्टिंग. यह चरण हितधारकों (प्रबंधन, लेखा परीक्षक, क्लाउड प्रदाता, ग्राहक, आदि) के लिए प्रमुख संकेतक तैयार करने में मदद करता है जो हमें कुछ निर्णय लेने में मदद करते हैं, उदाहरण के लिए, प्रदाता को बदलना या सूचना सुरक्षा को मजबूत करना।

इन घटकों को समझने से आप भविष्य में तुरंत निर्णय ले सकेंगे कि आप अपने प्रदाता से क्या ले सकते हैं, और आपको स्वयं या बाहरी सलाहकारों की भागीदारी के साथ क्या करना होगा।

अंतर्निहित क्लाउड सेवाएँ

मैंने पहले ही ऊपर लिखा है कि आज कई क्लाउड सेवाएँ कोई सूचना सुरक्षा निगरानी क्षमताएँ प्रदान नहीं करती हैं। सामान्यतः वे सूचना सुरक्षा के विषय पर अधिक ध्यान नहीं देते। उदाहरण के लिए, इंटरनेट के माध्यम से सरकारी एजेंसियों को रिपोर्ट भेजने के लिए लोकप्रिय रूसी सेवाओं में से एक (मैं विशेष रूप से इसके नाम का उल्लेख नहीं करूंगा)। इस सेवा की सुरक्षा के बारे में संपूर्ण अनुभाग प्रमाणित सीआईपीएफ के उपयोग के इर्द-गिर्द घूमता है। इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के लिए एक अन्य घरेलू क्लाउड सेवा का सूचना सुरक्षा अनुभाग अलग नहीं है। यह सार्वजनिक कुंजी प्रमाणपत्र, प्रमाणित क्रिप्टोग्राफी, वेब कमजोरियों को खत्म करने, DDoS हमलों के खिलाफ सुरक्षा, फ़ायरवॉल, बैकअप और यहां तक ​​कि नियमित सूचना सुरक्षा ऑडिट का उपयोग करने के बारे में बात करता है। लेकिन निगरानी के बारे में, न ही सूचना सुरक्षा घटनाओं तक पहुंच प्राप्त करने की संभावना के बारे में एक शब्द भी नहीं है जो इस सेवा प्रदाता के ग्राहकों के लिए रुचिकर हो सकता है।

सामान्य तौर पर, जिस तरह से क्लाउड प्रदाता अपनी वेबसाइट और अपने दस्तावेज़ीकरण में सूचना सुरक्षा मुद्दों का वर्णन करता है, उससे आप समझ सकते हैं कि वह इस मुद्दे को कितनी गंभीरता से लेता है। उदाहरण के लिए, यदि आप "माई ऑफिस" उत्पादों के लिए मैनुअल पढ़ते हैं, तो सुरक्षा के बारे में एक भी शब्द नहीं है, लेकिन अलग उत्पाद "माई ऑफिस" के दस्तावेज़ में। KS3", जिसे अनधिकृत पहुंच से बचाने के लिए डिज़ाइन किया गया है, FSTEC के 17वें क्रम के बिंदुओं की एक सामान्य सूची है, जिसे "My Office.KS3" लागू करता है, लेकिन यह वर्णित नहीं है कि यह इसे कैसे लागू करता है और, सबसे महत्वपूर्ण बात, कैसे करना है इन तंत्रों को कॉर्पोरेट सूचना सुरक्षा के साथ एकीकृत करें। शायद ऐसा दस्तावेज़ मौजूद है, लेकिन मुझे यह सार्वजनिक डोमेन, "माई ऑफिस" वेबसाइट पर नहीं मिला। हालाँकि शायद मुझे इस गुप्त जानकारी तक पहुँच नहीं है?..

बिट्रिक्स के लिए स्थिति काफी बेहतर है। दस्तावेज़ीकरण इवेंट लॉग के प्रारूपों का वर्णन करता है और, दिलचस्प बात यह है कि घुसपैठ लॉग, जिसमें क्लाउड प्लेटफ़ॉर्म पर संभावित खतरों से संबंधित घटनाएं शामिल हैं। वहां से आप आईपी, उपयोगकर्ता या अतिथि का नाम, ईवेंट स्रोत, समय, उपयोगकर्ता एजेंट, ईवेंट प्रकार इत्यादि निकाल सकते हैं। सच है, आप इन घटनाओं के साथ या तो क्लाउड के नियंत्रण कक्ष से काम कर सकते हैं, या एमएस एक्सेल प्रारूप में डेटा अपलोड कर सकते हैं। बिट्रिक्स लॉग के साथ काम को स्वचालित करना अब मुश्किल है और आपको कुछ काम मैन्युअल रूप से करना होगा (रिपोर्ट अपलोड करना और इसे अपने एसआईईएम में लोड करना)। लेकिन अगर हम याद रखें कि अपेक्षाकृत हाल तक ऐसा कोई अवसर मौजूद नहीं था, तो यह एक बड़ी प्रगति है। साथ ही, मैं यह नोट करना चाहूंगा कि कई विदेशी क्लाउड प्रदाता "शुरुआती लोगों के लिए" समान कार्यक्षमता प्रदान करते हैं - या तो नियंत्रण कक्ष के माध्यम से अपनी आंखों से लॉग देखें, या स्वयं डेटा अपलोड करें (हालांकि, अधिकांश डेटा अपलोड करते हैं)। सीएसवी प्रारूप, एक्सेल नहीं)।

नो-लॉग विकल्प पर विचार किए बिना, क्लाउड प्रदाता आमतौर पर आपको सुरक्षा घटनाओं की निगरानी के लिए तीन विकल्प प्रदान करते हैं - डैशबोर्ड, डेटा अपलोड और एपीआई एक्सेस। पहला आपके लिए कई समस्याओं का समाधान करता प्रतीत होता है, लेकिन यह पूरी तरह से सच नहीं है - यदि आपके पास कई पत्रिकाएँ हैं, तो आपको उन्हें प्रदर्शित करने वाली स्क्रीन के बीच स्विच करना होगा, जिससे समग्र तस्वीर खो जाएगी। इसके अलावा, क्लाउड प्रदाता आपको सुरक्षा घटनाओं को सहसंबंधित करने और आम तौर पर सुरक्षा के दृष्टिकोण से उनका विश्लेषण करने की क्षमता प्रदान करने की संभावना नहीं रखता है (आमतौर पर आप कच्चे डेटा के साथ काम कर रहे हैं, जिसे आपको स्वयं समझने की आवश्यकता है)। कुछ अपवाद हैं और हम उनके बारे में आगे बात करेंगे। अंत में, यह पूछना उचित है कि आपके क्लाउड प्रदाता द्वारा कौन सी घटनाएं किस प्रारूप में दर्ज की जाती हैं, और वे आपकी सूचना सुरक्षा निगरानी प्रक्रिया से कैसे मेल खाती हैं? उदाहरण के लिए, उपयोगकर्ताओं और मेहमानों की पहचान और प्रमाणीकरण। वही बिट्रिक्स आपको इन घटनाओं के आधार पर, घटना की तारीख और समय, उपयोगकर्ता या अतिथि का नाम (यदि आपके पास "वेब एनालिटिक्स" मॉड्यूल है), एक्सेस की गई वस्तु और वेबसाइट के लिए विशिष्ट अन्य तत्वों को रिकॉर्ड करने की अनुमति देता है। . लेकिन कॉर्पोरेट सूचना सुरक्षा सेवाओं को इस बारे में जानकारी की आवश्यकता हो सकती है कि क्या उपयोगकर्ता ने किसी विश्वसनीय डिवाइस से क्लाउड तक पहुंच बनाई है (उदाहरण के लिए, कॉर्पोरेट नेटवर्क में यह कार्य सिस्को आईएसई द्वारा कार्यान्वित किया जाता है)। जियो-आईपी फ़ंक्शन जैसे सरल कार्य के बारे में क्या, जो यह निर्धारित करने में मदद करेगा कि क्लाउड सेवा उपयोगकर्ता खाता चोरी हो गया है या नहीं? और भले ही क्लाउड प्रदाता आपको यह प्रदान करता हो, यह पर्याप्त नहीं है। वही सिस्को क्लाउडलॉक सिर्फ जियोलोकेशन का विश्लेषण नहीं करता है, बल्कि इसके लिए मशीन लर्निंग का उपयोग करता है और प्रत्येक उपयोगकर्ता के लिए ऐतिहासिक डेटा का विश्लेषण करता है और पहचान और प्रमाणीकरण प्रयासों में विभिन्न विसंगतियों पर नज़र रखता है। केवल MS Azure में समान कार्यक्षमता है (यदि आपके पास उपयुक्त सदस्यता है)।

एक और कठिनाई है - चूंकि कई क्लाउड प्रदाताओं के लिए सूचना सुरक्षा निगरानी एक नया विषय है जिससे वे अभी निपटना शुरू कर रहे हैं, वे अपने समाधानों में लगातार कुछ न कुछ बदल रहे हैं। आज उनके पास एपीआई का एक संस्करण है, कल दूसरा, परसों तीसरा। इसके लिए आपको भी तैयार रहना होगा. यही बात कार्यक्षमता के साथ भी सच है, जो बदल सकती है, जिसे आपकी सूचना सुरक्षा निगरानी प्रणाली में ध्यान में रखा जाना चाहिए। उदाहरण के लिए, अमेज़ॅन के पास शुरू में अलग क्लाउड इवेंट मॉनिटरिंग सेवाएँ थीं- AWS CloudTrail और AWS CloudWatch। फिर सूचना सुरक्षा घटनाओं की निगरानी के लिए एक अलग सेवा सामने आई - AWS गार्डड्यूटी। कुछ समय बाद, अमेज़ॅन ने एक नई प्रबंधन प्रणाली, अमेज़ॅन सिक्योरिटी हब लॉन्च की, जिसमें गार्डड्यूटी, अमेज़ॅन इंस्पेक्टर, अमेज़ॅन मैकी और कई अन्य लोगों से प्राप्त डेटा का विश्लेषण शामिल है। एक अन्य उदाहरण SIEM - AzLog के साथ Azure लॉग एकीकरण उपकरण है। इसका उपयोग कई एसआईईएम विक्रेताओं द्वारा सक्रिय रूप से किया गया था, जब तक कि 2018 में माइक्रोसॉफ्ट ने इसके विकास और समर्थन को बंद करने की घोषणा नहीं की, जिससे इस टूल का उपयोग करने वाले कई ग्राहकों को समस्या का सामना करना पड़ा (हम इस बारे में बाद में बात करेंगे कि इसे कैसे हल किया गया)।

इसलिए, अपने क्लाउड प्रदाता द्वारा आपको प्रदान की जाने वाली सभी निगरानी सुविधाओं की सावधानीपूर्वक निगरानी करें। या बाहरी समाधान प्रदाताओं पर भरोसा करें जो आपके एसओसी और जिस क्लाउड की आप निगरानी करना चाहते हैं, उसके बीच मध्यस्थ के रूप में कार्य करेंगे। हां, यह अधिक महंगा होगा (हालांकि हमेशा नहीं), लेकिन आप सारी जिम्मेदारी किसी और के कंधों पर डाल देंगे। या यह सब नहीं?.. आइए साझा सुरक्षा की अवधारणा को याद रखें और समझें कि हम कुछ भी स्थानांतरित नहीं कर सकते हैं - हमें स्वतंत्र रूप से समझना होगा कि विभिन्न क्लाउड प्रदाता आपके डेटा, एप्लिकेशन, वर्चुअल मशीन और अन्य संसाधनों की सूचना सुरक्षा की निगरानी कैसे प्रदान करते हैं क्लाउड में होस्ट किया गया. और हम इस भाग में अमेज़ॅन द्वारा प्रदान की जाने वाली पेशकश से शुरुआत करेंगे।

उदाहरण: AWS पर आधारित IaaS में सूचना सुरक्षा निगरानी

हां, हां, मैं समझता हूं कि अमेज़ॅन इस तथ्य के कारण सबसे अच्छा उदाहरण नहीं है कि यह एक अमेरिकी सेवा है और इसे उग्रवाद के खिलाफ लड़ाई और रूस में निषिद्ध सूचना के प्रसार के हिस्से के रूप में अवरुद्ध किया जा सकता है। लेकिन इस प्रकाशन में मैं केवल यह दिखाना चाहूंगा कि विभिन्न क्लाउड प्लेटफ़ॉर्म अपनी सूचना सुरक्षा निगरानी क्षमताओं में कैसे भिन्न हैं और सुरक्षा के दृष्टिकोण से अपनी प्रमुख प्रक्रियाओं को क्लाउड पर स्थानांतरित करते समय आपको किन बातों पर ध्यान देना चाहिए। खैर, अगर क्लाउड समाधान के कुछ रूसी डेवलपर्स अपने लिए कुछ उपयोगी सीखते हैं, तो यह बहुत अच्छा होगा।

कहने वाली पहली बात यह है कि अमेज़न कोई अभेद्य किला नहीं है। उनके ग्राहकों के साथ लगातार तरह-तरह की घटनाएं घटती रहती हैं. उदाहरण के लिए, 198 मिलियन मतदाताओं के नाम, पते, जन्मतिथि और टेलीफोन नंबर डीप रूट एनालिटिक्स से चुरा लिए गए थे। इज़राइली कंपनी नाइस सिस्टम्स ने वेरिज़ॉन ग्राहकों के 14 मिलियन रिकॉर्ड चुरा लिए। हालाँकि, AWS की अंतर्निहित क्षमताएँ आपको घटनाओं की एक विस्तृत श्रृंखला का पता लगाने की अनुमति देती हैं। उदाहरण के लिए:

• बुनियादी ढांचे पर प्रभाव (डीडीओएस)
• नोड समझौता (कमांड इंजेक्शन)
• खाते से छेड़छाड़ और अनधिकृत पहुंच
• गलत कॉन्फ़िगरेशन और कमजोरियाँ
• असुरक्षित इंटरफ़ेस और एपीआई.

यह विसंगति इस तथ्य के कारण है कि, जैसा कि हमने ऊपर पाया, ग्राहक डेटा की सुरक्षा के लिए ग्राहक स्वयं जिम्मेदार है। और अगर उसने सुरक्षात्मक तंत्र को चालू करने की जहमत नहीं उठाई और निगरानी उपकरणों को चालू नहीं किया, तो उसे घटना के बारे में केवल मीडिया या अपने ग्राहकों से ही पता चलेगा।

घटनाओं की पहचान करने के लिए, आप अमेज़ॅन द्वारा विकसित विभिन्न निगरानी सेवाओं की एक विस्तृत श्रृंखला का उपयोग कर सकते हैं (हालांकि इन्हें अक्सर बाहरी उपकरणों जैसे कि ऑस्क्वेरी द्वारा पूरक किया जाता है)। इसलिए, AWS में, सभी उपयोगकर्ता क्रियाओं की निगरानी की जाती है, भले ही वे कैसे भी की जाती हों - प्रबंधन कंसोल, कमांड लाइन, SDK या अन्य AWS सेवाओं के माध्यम से। प्रत्येक एडब्ल्यूएस खाते की गतिविधि (उपयोगकर्ता नाम, कार्रवाई, सेवा, गतिविधि पैरामीटर और परिणाम सहित) और एपीआई उपयोग के सभी रिकॉर्ड एडब्ल्यूएस क्लाउडट्रेल के माध्यम से उपलब्ध हैं। आप क्लाउडट्रेल कंसोल से इन घटनाओं (जैसे एडब्ल्यूएस आईएएम कंसोल लॉगिन) को देख सकते हैं, अमेज़ॅन एथेना का उपयोग करके उनका विश्लेषण कर सकते हैं, या उन्हें स्प्लंक, एलियनवॉल्ट इत्यादि जैसे बाहरी समाधानों के लिए "आउटसोर्स" कर सकते हैं। AWS CloudTrail लॉग स्वयं आपके AWS S3 बकेट में रखे जाते हैं।

दो अन्य AWS सेवाएँ कई अन्य महत्वपूर्ण निगरानी क्षमताएँ प्रदान करती हैं। सबसे पहले, अमेज़ॅन क्लाउडवॉच AWS संसाधनों और अनुप्रयोगों के लिए एक निगरानी सेवा है, जो अन्य चीजों के अलावा, आपको अपने क्लाउड में विभिन्न विसंगतियों की पहचान करने की अनुमति देती है। सभी अंतर्निहित AWS सेवाएँ, जैसे कि Amazon Elastic Compute Cloud (सर्वर), Amazon Relational Database Service (डेटाबेस), Amazon Elastic MapReduce (डेटा विश्लेषण), और 30 अन्य Amazon सेवाएँ, अपने लॉग को संग्रहीत करने के लिए Amazon CloudWatch का उपयोग करती हैं। डेवलपर्स कस्टम एप्लिकेशन और सेवाओं में लॉग मॉनिटरिंग कार्यक्षमता जोड़ने के लिए अमेज़ॅन क्लाउडवॉच से ओपन एपीआई का उपयोग कर सकते हैं, जिससे उन्हें सुरक्षा संदर्भ में इवेंट विश्लेषण के दायरे का विस्तार करने की अनुमति मिलती है।

दूसरे, वीपीसी फ्लो लॉग्स सेवा आपको अपने एडब्ल्यूएस सर्वर (बाह्य या आंतरिक) के साथ-साथ माइक्रोसर्विसेज के बीच भेजे या प्राप्त किए गए नेटवर्क ट्रैफ़िक का विश्लेषण करने की अनुमति देती है। जब आपका कोई AWS VPC संसाधन नेटवर्क के साथ इंटरैक्ट करता है, तो VPC फ़्लो लॉग नेटवर्क ट्रैफ़िक के बारे में विवरण रिकॉर्ड करता है, जिसमें स्रोत और गंतव्य नेटवर्क इंटरफ़ेस, साथ ही आईपी पते, पोर्ट, प्रोटोकॉल, बाइट्स की संख्या और आपके द्वारा पैकेट की संख्या शामिल है। देखा। स्थानीय नेटवर्क सुरक्षा में अनुभवी लोग इसे थ्रेड के अनुरूप पहचानेंगे कुल प्रवाह, जिसे स्विच, राउटर और एंटरप्राइज़-ग्रेड फ़ायरवॉल द्वारा बनाया जा सकता है। ये लॉग सूचना सुरक्षा निगरानी उद्देश्यों के लिए महत्वपूर्ण हैं क्योंकि, उपयोगकर्ताओं और अनुप्रयोगों के कार्यों के बारे में घटनाओं के विपरीत, वे आपको AWS वर्चुअल प्राइवेट क्लाउड वातावरण में नेटवर्क इंटरैक्शन को याद नहीं करने की अनुमति भी देते हैं।

संक्षेप में, ये तीन AWS सेवाएँ- AWS CloudTrail, Amazon CloudWatch, और VPC फ़्लो लॉग्स- मिलकर आपके खाते के उपयोग, उपयोगकर्ता व्यवहार, बुनियादी ढाँचे प्रबंधन, एप्लिकेशन और सेवा गतिविधि और नेटवर्क गतिविधि में काफी शक्तिशाली जानकारी प्रदान करती हैं। उदाहरण के लिए, उनका उपयोग निम्नलिखित विसंगतियों का पता लगाने के लिए किया जा सकता है:

• साइट को स्कैन करने का प्रयास, पिछले दरवाजे की खोज, "404 त्रुटियों" के विस्फोट के माध्यम से कमजोरियों की खोज।
• "500 त्रुटियों" के विस्फोट के माध्यम से इंजेक्शन हमले (उदाहरण के लिए, एसक्यूएल इंजेक्शन)।
• ज्ञात आक्रमण उपकरण sqlmap, nikto, w3af, nmap, आदि हैं। उपयोगकर्ता एजेंट फ़ील्ड के विश्लेषण के माध्यम से।

अमेज़ॅन वेब सर्विसेज ने साइबर सुरक्षा उद्देश्यों के लिए अन्य सेवाएं भी विकसित की हैं जो आपको कई अन्य समस्याओं को हल करने की अनुमति देती हैं। उदाहरण के लिए, AWS में ऑडिटिंग नीतियों और कॉन्फ़िगरेशन के लिए एक अंतर्निहित सेवा है - AWS कॉन्फ़िगरेशन। यह सेवा आपके AWS संसाधनों और उनके कॉन्फ़िगरेशन की निरंतर ऑडिटिंग प्रदान करती है। आइए एक सरल उदाहरण लें: मान लें कि आप यह सुनिश्चित करना चाहते हैं कि आपके सभी सर्वर पर उपयोगकर्ता पासवर्ड अक्षम हैं और पहुंच केवल प्रमाणपत्रों के आधार पर ही संभव है। AWS कॉन्फ़िग आपके सभी सर्वरों के लिए इसे जांचना आसान बनाता है। ऐसी अन्य नीतियां हैं जो आपके क्लाउड सर्वर पर लागू की जा सकती हैं: "कोई भी सर्वर पोर्ट 22 का उपयोग नहीं कर सकता", "केवल प्रशासक फ़ायरवॉल नियम बदल सकते हैं" या "केवल उपयोगकर्ता इवाश्को नए उपयोगकर्ता खाते बना सकता है, और वह ऐसा केवल मंगलवार को कर सकता है।" " 2016 की गर्मियों में, विकसित नीतियों के उल्लंघन का पता लगाने को स्वचालित करने के लिए AWS कॉन्फ़िगरेशन सेवा का विस्तार किया गया था। AWS कॉन्फ़िगरेशन नियम अनिवार्य रूप से आपके द्वारा उपयोग की जाने वाली अमेज़ॅन सेवाओं के लिए निरंतर कॉन्फ़िगरेशन अनुरोध हैं, जो संबंधित नीतियों का उल्लंघन होने पर घटनाएं उत्पन्न करते हैं। उदाहरण के लिए, यह सत्यापित करने के लिए कि वर्चुअल सर्वर पर सभी डिस्क एन्क्रिप्टेड हैं, समय-समय पर AWS कॉन्फ़िगरेशन क्वेरी चलाने के बजाय, यह सुनिश्चित करने के लिए कि यह शर्त पूरी हो गई है, AWS कॉन्फ़िगरेशन नियमों का उपयोग सर्वर डिस्क को लगातार जांचने के लिए किया जा सकता है। और, सबसे महत्वपूर्ण बात, इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाएं उत्पन्न करता है जिनका विश्लेषण आपकी सूचना सुरक्षा सेवा द्वारा किया जा सकता है।

AWS के पास पारंपरिक कॉर्पोरेट सूचना सुरक्षा समाधानों के समकक्ष भी है, जो सुरक्षा घटनाएं भी उत्पन्न करता है जिनका आप विश्लेषण कर सकते हैं और करना चाहिए:

• घुसपैठ का पता लगाना - AWS गार्डड्यूटी
• सूचना रिसाव नियंत्रण - एडब्ल्यूएस मैसी
• ईडीआर (हालांकि यह क्लाउड में एंडपॉइंट्स के बारे में थोड़ा अजीब तरीके से बात करता है) - एडब्ल्यूएस क्लाउडवॉच + ओपन सोर्स ऑस्क्वेरी या जीआरआर समाधान
• नेटफ्लो विश्लेषण - एडब्ल्यूएस क्लाउडवॉच + एडब्ल्यूएस वीपीसी फ्लो
• डीएनएस विश्लेषण - एडब्ल्यूएस क्लाउडवॉच + एडब्ल्यूएस रूट53
• AD - AWS निर्देशिका सेवा
• खाता प्रबंधन - AWS IAM
• एसएसओ - एडब्ल्यूएस एसएसओ
• सुरक्षा विश्लेषण - AWS इंस्पेक्टर
• कॉन्फ़िगरेशन प्रबंधन - AWS कॉन्फ़िगरेशन
• WAF - AWS WAF।

मैं उन सभी अमेज़ॅन सेवाओं का विस्तार से वर्णन नहीं करूंगा जो सूचना सुरक्षा के संदर्भ में उपयोगी हो सकती हैं। मुख्य बात यह समझना है कि वे सभी ऐसी घटनाएं उत्पन्न कर सकते हैं जिनका हम सूचना सुरक्षा के संदर्भ में विश्लेषण कर सकते हैं और करना चाहिए, इस उद्देश्य के लिए अमेज़ॅन की अंतर्निहित क्षमताओं और बाहरी समाधानों, उदाहरण के लिए, एसआईईएम, दोनों का उपयोग कर सकते हैं। सुरक्षा घटनाओं को अपने निगरानी केंद्र में ले जाएं और वहां अन्य क्लाउड सेवाओं या आंतरिक बुनियादी ढांचे, परिधि या मोबाइल उपकरणों की घटनाओं के साथ उनका विश्लेषण करें।

किसी भी स्थिति में, यह सब डेटा स्रोतों से शुरू होता है जो आपको सूचना सुरक्षा कार्यक्रम प्रदान करते हैं। इन स्रोतों में शामिल हैं, लेकिन इन्हीं तक सीमित नहीं हैं:

• क्लाउडट्रेल - एपीआई उपयोग और उपयोगकर्ता क्रियाएँ
• विश्वसनीय सलाहकार - सर्वोत्तम प्रथाओं के विरुद्ध सुरक्षा जाँच
• कॉन्फिग - खातों और सेवा सेटिंग्स की सूची और कॉन्फ़िगरेशन
• वीपीसी फ्लो लॉग - वर्चुअल इंटरफेस से कनेक्शन
• आईएएम - पहचान और प्रमाणीकरण सेवा
• ईएलबी एक्सेस लॉग - लोड बैलेंसर
• निरीक्षक - आवेदन कमजोरियाँ
• S3 - फ़ाइल भंडारण
• क्लाउडवॉच - एप्लिकेशन गतिविधि
• एसएनएस एक अधिसूचना सेवा है.

अमेज़ॅन, अपनी पीढ़ी के लिए इवेंट स्रोतों और उपकरणों की इतनी श्रृंखला की पेशकश करते हुए, सूचना सुरक्षा के संदर्भ में एकत्रित डेटा का विश्लेषण करने की अपनी क्षमता में बहुत सीमित है। आपको उपलब्ध लॉग का स्वतंत्र रूप से अध्ययन करना होगा, उनमें समझौते के प्रासंगिक संकेतकों की तलाश करनी होगी। AWS सिक्योरिटी हब, जिसे Amazon ने हाल ही में लॉन्च किया है, का लक्ष्य AWS के लिए क्लाउड SIEM बनकर इस समस्या को हल करना है। लेकिन अभी तक यह केवल अपनी यात्रा की शुरुआत में है और जिन स्रोतों के साथ यह काम करता है उनकी संख्या और अमेज़ॅन की वास्तुकला और सदस्यता द्वारा स्थापित अन्य प्रतिबंधों दोनों द्वारा सीमित है।

उदाहरण: Azure पर आधारित IaaS में सूचना सुरक्षा निगरानी

मैं इस लंबी बहस में नहीं पड़ना चाहता कि तीन क्लाउड प्रदाताओं (अमेज़ॅन, माइक्रोसॉफ्ट या गूगल) में से कौन सा बेहतर है (खासकर क्योंकि उनमें से प्रत्येक की अभी भी अपनी विशिष्ट विशिष्टताएँ हैं और वह अपनी समस्याओं को हल करने के लिए उपयुक्त है); आइए उन सूचना सुरक्षा निगरानी क्षमताओं पर ध्यान केंद्रित करें जो ये खिलाड़ी प्रदान करते हैं। यह स्वीकार किया जाना चाहिए कि अमेज़ॅन एडब्ल्यूएस इस सेगमेंट में सबसे पहले में से एक था और इसलिए अपने सूचना सुरक्षा कार्यों के मामले में सबसे आगे बढ़ गया है (हालांकि कई लोग मानते हैं कि उनका उपयोग करना मुश्किल है)। लेकिन इसका मतलब यह नहीं है कि हम उन अवसरों को नजरअंदाज कर देंगे जो माइक्रोसॉफ्ट और गूगल हमें प्रदान करते हैं।

Microsoft उत्पादों को हमेशा उनके "खुलेपन" से अलग किया गया है और Azure में स्थिति समान है। उदाहरण के लिए, यदि AWS और GCP हमेशा "जिसकी अनुमति नहीं है वह निषिद्ध है" की अवधारणा से आगे बढ़ते हैं, तो Azure का दृष्टिकोण बिल्कुल विपरीत है। उदाहरण के लिए, क्लाउड में एक वर्चुअल नेटवर्क और उसमें एक वर्चुअल मशीन बनाते समय, सभी पोर्ट और प्रोटोकॉल डिफ़ॉल्ट रूप से खुले और अनुमत होते हैं। इसलिए, आपको Microsoft से क्लाउड में एक्सेस कंट्रोल सिस्टम के प्रारंभिक सेटअप पर थोड़ा अधिक प्रयास करना होगा। और यह Azure क्लाउड में गतिविधि की निगरानी के संदर्भ में आप पर अधिक कठोर आवश्यकताएं भी लगाता है।

AWS की एक ख़ासियत इस तथ्य से जुड़ी है कि जब आप अपने आभासी संसाधनों की निगरानी करते हैं, यदि वे विभिन्न क्षेत्रों में स्थित हैं, तो आपको सभी घटनाओं के संयोजन और उनके एकीकृत विश्लेषण में कठिनाइयाँ होती हैं, जिन्हें खत्म करने के लिए आपको विभिन्न तरकीबों का सहारा लेना पड़ता है, जैसे कि AWS लैम्ब्डा के लिए अपना स्वयं का कोड बनाएं जो क्षेत्रों के बीच घटनाओं को ट्रांसपोर्ट करेगा। Azure में यह समस्या नहीं है - इसका गतिविधि लॉग तंत्र बिना किसी प्रतिबंध के पूरे संगठन में सभी गतिविधियों को ट्रैक करता है। यही बात AWS सुरक्षा हब पर भी लागू होती है, जिसे हाल ही में अमेज़ॅन द्वारा एक ही सुरक्षा केंद्र के भीतर कई सुरक्षा कार्यों को समेकित करने के लिए विकसित किया गया था, लेकिन केवल अपने क्षेत्र के भीतर, जो, हालांकि, रूस के लिए प्रासंगिक नहीं है। Azure का अपना सुरक्षा केंद्र है, जो क्षेत्रीय प्रतिबंधों से बंधा नहीं है, जो क्लाउड प्लेटफ़ॉर्म की सभी सुरक्षा सुविधाओं तक पहुँच प्रदान करता है। इसके अलावा, विभिन्न स्थानीय टीमों के लिए यह उनके द्वारा प्रबंधित सुरक्षा घटनाओं सहित सुरक्षात्मक क्षमताओं का अपना सेट प्रदान कर सकता है। AWS सुरक्षा हब अभी भी Azure सुरक्षा केंद्र के समान बनने की राह पर है। लेकिन यह मरहम में एक मक्खी जोड़ने के लायक है - आप Azure से बहुत कुछ निचोड़ सकते हैं जो पहले AWS में वर्णित था, लेकिन यह केवल Azure AD, Azure मॉनिटर और Azure सुरक्षा केंद्र के लिए सबसे आसानी से किया जाता है। सुरक्षा घटना विश्लेषण सहित अन्य सभी Azure सुरक्षा तंत्र अभी तक सबसे सुविधाजनक तरीके से प्रबंधित नहीं किए गए हैं। समस्या को आंशिक रूप से एपीआई द्वारा हल किया गया है, जो सभी Microsoft Azure सेवाओं में व्याप्त है, लेकिन इसके लिए आपको अपने क्लाउड को अपने SOC के साथ एकीकृत करने और योग्य विशेषज्ञों की उपस्थिति के लिए अतिरिक्त प्रयास की आवश्यकता होगी (वास्तव में, किसी भी अन्य SIEM की तरह जो इसके साथ काम करता है) क्लाउड एपीआई)। कुछ SIEM, जिनकी चर्चा बाद में की जाएगी, पहले से ही Azure का समर्थन करते हैं और इसकी निगरानी के कार्य को स्वचालित कर सकते हैं, लेकिन इसकी अपनी कठिनाइयाँ भी हैं - उनमें से सभी Azure के सभी लॉग एकत्र नहीं कर सकते हैं।

Azure में इवेंट संग्रह और निगरानी Azure मॉनिटर सेवा का उपयोग करके प्रदान की जाती है, जो Microsoft क्लाउड और उसके संसाधनों - Git रिपॉजिटरी, कंटेनर, वर्चुअल मशीन, एप्लिकेशन आदि में डेटा एकत्र करने, संग्रहीत करने और विश्लेषण करने का मुख्य उपकरण है। एज़्योर मॉनिटर द्वारा एकत्र किए गए सभी डेटा को दो श्रेणियों में विभाजित किया गया है - मेट्रिक्स, वास्तविक समय में एकत्र किया गया और एज़्योर क्लाउड के प्रमुख प्रदर्शन संकेतकों का वर्णन करता है, और लॉग, जिसमें एज़्योर संसाधनों और सेवाओं की गतिविधि के कुछ पहलुओं को चिह्नित करने वाले रिकॉर्ड में व्यवस्थित डेटा शामिल है। इसके अलावा, डेटा कलेक्टर एपीआई का उपयोग करके, Azure मॉनिटर सेवा अपने स्वयं के मॉनिटरिंग परिदृश्य बनाने के लिए किसी भी REST स्रोत से डेटा एकत्र कर सकती है।

यहां कुछ सुरक्षा ईवेंट स्रोत दिए गए हैं जो Azure आपको प्रदान करता है और जिन्हें आप Azure पोर्टल, CLI, PowerShell, या REST API (और कुछ केवल Azure मॉनिटर/इनसाइट API के माध्यम से) के माध्यम से एक्सेस कर सकते हैं:

• गतिविधि लॉग - यह लॉग क्लाउड संसाधनों पर किसी भी लेखन ऑपरेशन (PUT, POST, DELETE) के संबंध में "कौन," "क्या," और "कब" के क्लासिक प्रश्नों का उत्तर देता है। कई अन्य की तरह, रीड एक्सेस (GET) से संबंधित ईवेंट इस लॉग में शामिल नहीं हैं।
• डायग्नोस्टिक लॉग - आपकी सदस्यता में शामिल एक विशेष संसाधन के साथ संचालन पर डेटा शामिल है।
• Azure AD रिपोर्टिंग - इसमें समूह और उपयोगकर्ता प्रबंधन से संबंधित उपयोगकर्ता गतिविधि और सिस्टम गतिविधि दोनों शामिल हैं।
• विंडोज़ इवेंट लॉग और लिनक्स सिसलॉग - इसमें क्लाउड में होस्ट की गई वर्चुअल मशीनों के इवेंट शामिल हैं।
• मेट्रिक्स - इसमें आपकी क्लाउड सेवाओं और संसाधनों के प्रदर्शन और स्वास्थ्य स्थिति के बारे में टेलीमेट्री शामिल है। हर मिनट को मापा और संग्रहीत किया गया। 30 दिनों के भीतर।
• नेटवर्क सुरक्षा समूह फ़्लो लॉग - नेटवर्क स्तर पर नेटवर्क वॉचर सेवा और संसाधन निगरानी का उपयोग करके एकत्र किए गए नेटवर्क सुरक्षा घटनाओं पर डेटा शामिल है।
• स्टोरेज लॉग्स - इसमें स्टोरेज सुविधाओं तक पहुंच से संबंधित घटनाएं शामिल हैं।

निगरानी के लिए, आप बाहरी एसआईईएम या अंतर्निहित एज़्योर मॉनिटर और उसके एक्सटेंशन का उपयोग कर सकते हैं। हम सूचना सुरक्षा इवेंट प्रबंधन प्रणालियों के बारे में बाद में बात करेंगे, लेकिन अभी देखते हैं कि Azure स्वयं सुरक्षा के संदर्भ में डेटा विश्लेषण के लिए हमें क्या प्रदान करता है। Azure मॉनिटर में सुरक्षा से संबंधित हर चीज़ के लिए मुख्य स्क्रीन लॉग एनालिटिक्स सिक्योरिटी और ऑडिट डैशबोर्ड है (मुफ़्त संस्करण केवल एक सप्ताह के लिए सीमित मात्रा में इवेंट स्टोरेज का समर्थन करता है)। इस डैशबोर्ड को 5 मुख्य क्षेत्रों में विभाजित किया गया है जो आपके द्वारा उपयोग किए जा रहे क्लाउड वातावरण में क्या हो रहा है, इसके सारांश आंकड़ों की कल्पना करता है:

• सुरक्षा डोमेन - सूचना सुरक्षा से संबंधित प्रमुख मात्रात्मक संकेतक - घटनाओं की संख्या, समझौता किए गए नोड्स की संख्या, अप्रकाशित नोड्स, नेटवर्क सुरक्षा घटनाएं, आदि।
• उल्लेखनीय मुद्दे - सक्रिय सूचना सुरक्षा मुद्दों की संख्या और महत्व प्रदर्शित करता है
• पता लगाना - आपके विरुद्ध उपयोग किए गए हमलों के पैटर्न प्रदर्शित करता है
• ख़तरा इंटेलिजेंस - बाहरी नोड्स पर भौगोलिक जानकारी प्रदर्शित करता है जो आप पर हमला कर रहे हैं
• सामान्य सुरक्षा प्रश्न - विशिष्ट प्रश्न जो आपकी सूचना सुरक्षा की बेहतर निगरानी करने में आपकी सहायता करेंगे।

एज़्योर मॉनिटर एक्सटेंशन में एज़्योर की वॉल्ट (क्लाउड में क्रिप्टोग्राफ़िक कुंजियों की सुरक्षा), मैलवेयर असेसमेंट (वर्चुअल मशीनों पर दुर्भावनापूर्ण कोड के खिलाफ सुरक्षा का विश्लेषण), एज़्योर एप्लिकेशन गेटवे एनालिटिक्स (अन्य चीजों के अलावा, क्लाउड फ़ायरवॉल लॉग का विश्लेषण) आदि शामिल हैं। . घटनाओं को संसाधित करने के लिए कुछ नियमों से समृद्ध ये उपकरण आपको सुरक्षा सहित क्लाउड सेवाओं की गतिविधि के विभिन्न पहलुओं की कल्पना करने और संचालन से कुछ विचलन की पहचान करने की अनुमति देते हैं। लेकिन, जैसा कि अक्सर होता है, किसी भी अतिरिक्त कार्यक्षमता के लिए संबंधित सशुल्क सदस्यता की आवश्यकता होती है, जिसके लिए आपसे संबंधित वित्तीय निवेश की आवश्यकता होगी, जिसकी आपको पहले से योजना बनानी होगी।

Azure में कई अंतर्निहित ख़तरे की निगरानी क्षमताएँ हैं जो Azure AD, Azure मॉनिटर और Azure सुरक्षा केंद्र में एकीकृत हैं। उनमें से, उदाहरण के लिए, ज्ञात दुर्भावनापूर्ण आईपी के साथ वर्चुअल मशीनों की बातचीत का पता लगाना (माइक्रोसॉफ्ट से थ्रेट इंटेलिजेंस सेवाओं के साथ एकीकरण की उपस्थिति के कारण), क्लाउड में होस्ट की गई वर्चुअल मशीनों से अलार्म प्राप्त करके क्लाउड इंफ्रास्ट्रक्चर में मैलवेयर का पता लगाना, पासवर्ड वर्चुअल मशीनों पर अनुमान लगाने वाले हमले, उपयोगकर्ता पहचान प्रणाली के कॉन्फ़िगरेशन में कमजोरियां, अज्ञात लोगों या संक्रमित नोड्स से सिस्टम में लॉग इन करना, खाता लीक, असामान्य स्थानों से सिस्टम में लॉग इन करना आदि। Azure आज उन कुछ क्लाउड प्रदाताओं में से एक है जो आपको एकत्रित सूचना सुरक्षा घटनाओं को समृद्ध करने के लिए अंतर्निहित थ्रेट इंटेलिजेंस क्षमताएं प्रदान करता है।

जैसा कि ऊपर उल्लेख किया गया है, सुरक्षा कार्यक्षमता और, परिणामस्वरूप, इसके द्वारा उत्पन्न सुरक्षा घटनाएं सभी उपयोगकर्ताओं के लिए समान रूप से उपलब्ध नहीं हैं, लेकिन एक निश्चित सदस्यता की आवश्यकता होती है जिसमें आपके लिए आवश्यक कार्यक्षमता शामिल होती है, जो सूचना सुरक्षा निगरानी के लिए उपयुक्त घटनाएं उत्पन्न करती है। उदाहरण के लिए, खातों में विसंगतियों की निगरानी के लिए पिछले पैराग्राफ में वर्णित कुछ फ़ंक्शन केवल Azure AD सेवा के लिए P2 प्रीमियम लाइसेंस में उपलब्ध हैं। इसके बिना, आपको, जैसा कि AWS के मामले में, एकत्रित सुरक्षा घटनाओं का "मैन्युअल रूप से" विश्लेषण करना होगा। और, साथ ही, Azure AD लाइसेंस के प्रकार के आधार पर, सभी ईवेंट विश्लेषण के लिए उपलब्ध नहीं होंगे।

Azure पोर्टल पर, आप अपनी रुचि के लॉग के लिए खोज क्वेरी प्रबंधित कर सकते हैं और प्रमुख सूचना सुरक्षा संकेतकों को देखने के लिए डैशबोर्ड सेट कर सकते हैं। इसके अलावा, वहां आप Azure मॉनिटर एक्सटेंशन का चयन कर सकते हैं, जो आपको Azure मॉनिटर लॉग की कार्यक्षमता का विस्तार करने और सुरक्षा के दृष्टिकोण से घटनाओं का गहन विश्लेषण प्राप्त करने की अनुमति देता है।

यदि आपको न केवल लॉग के साथ काम करने की क्षमता की आवश्यकता है, बल्कि सूचना सुरक्षा नीति प्रबंधन सहित आपके एज़्योर क्लाउड प्लेटफ़ॉर्म के लिए एक व्यापक सुरक्षा केंद्र की आवश्यकता है, तो आप एज़्योर सुरक्षा केंद्र के साथ काम करने की आवश्यकता के बारे में बात कर सकते हैं, जिसके अधिकांश उपयोगी कार्य कुछ पैसे के लिए उपलब्ध हैं, उदाहरण के लिए, खतरे का पता लगाना, Azure के बाहर निगरानी, ​​अनुपालन मूल्यांकन, आदि। (मुफ़्त संस्करण में, आपके पास केवल सुरक्षा मूल्यांकन और पहचानी गई समस्याओं को दूर करने के लिए अनुशंसाओं तक पहुंच है)। यह सभी सुरक्षा मुद्दों को एक ही स्थान पर समेकित करता है। वास्तव में, हम Azure मॉनिटर की तुलना में उच्च स्तर की सूचना सुरक्षा के बारे में बात कर सकते हैं, क्योंकि इस मामले में आपके क्लाउड फ़ैक्टरी में एकत्र किए गए डेटा को Azure, Office 365, Microsoft CRM ऑनलाइन, Microsoft Dynamics AX जैसे कई स्रोतों का उपयोग करके समृद्ध किया जाता है। , आउटलुक .com, MSN.com, माइक्रोसॉफ्ट डिजिटल क्राइम यूनिट (डीसीयू) और माइक्रोसॉफ्ट सिक्योरिटी रिस्पांस सेंटर (एमएसआरसी), जिस पर विभिन्न परिष्कृत मशीन लर्निंग और व्यवहार विश्लेषण एल्गोरिदम लगाए गए हैं, जिससे अंततः खतरों का पता लगाने और प्रतिक्रिया देने की दक्षता में सुधार होना चाहिए। .

Azure का अपना स्वयं का SIEM भी है - यह 2019 की शुरुआत में दिखाई दिया। यह Azure सेंटिनल है, जो Azure मॉनिटर के डेटा पर निर्भर करता है और इसके साथ एकीकृत भी हो सकता है। बाहरी सुरक्षा समाधान (उदाहरण के लिए, NGFW या WAF), जिनकी सूची लगातार बढ़ रही है। इसके अलावा, माइक्रोसॉफ्ट ग्राफ सुरक्षा एपीआई के एकीकरण के माध्यम से, आपके पास अपने स्वयं के थ्रेट इंटेलिजेंस फ़ीड को सेंटिनल से कनेक्ट करने की क्षमता है, जो आपके एज़्योर क्लाउड में घटनाओं का विश्लेषण करने की क्षमताओं को समृद्ध करता है। यह तर्क दिया जा सकता है कि एज़्योर सेंटिनल पहला "देशी" एसआईईएम है जो क्लाउड प्रदाताओं से प्रकट हुआ (वही स्प्लंक या ईएलके, जिसे क्लाउड में होस्ट किया जा सकता है, उदाहरण के लिए, एडब्ल्यूएस, अभी भी पारंपरिक क्लाउड सेवा प्रदाताओं द्वारा विकसित नहीं किया गया है)। Azure सेंटिनल और सुरक्षा केंद्र को Azure क्लाउड के लिए SOC कहा जा सकता है और उन तक सीमित किया जा सकता है (कुछ आरक्षणों के साथ) यदि आपके पास अब कोई बुनियादी ढांचा नहीं है और आपने अपने सभी कंप्यूटिंग संसाधनों को क्लाउड में स्थानांतरित कर दिया है और यह Microsoft क्लाउड Azure होगा।

लेकिन चूंकि Azure की अंतर्निहित क्षमताएं (भले ही आपके पास सेंटिनल की सदस्यता हो) अक्सर सूचना सुरक्षा की निगरानी और सुरक्षा घटनाओं के अन्य स्रोतों (क्लाउड और आंतरिक दोनों) के साथ इस प्रक्रिया को एकीकृत करने के उद्देश्यों के लिए पर्याप्त नहीं होती हैं, इसलिए एक एकत्रित डेटा को बाहरी सिस्टम में निर्यात करने की आवश्यकता है, जिसमें सिएम भी शामिल हो सकता है। यह एपीआई का उपयोग करके और विशेष एक्सटेंशन का उपयोग करके किया जाता है, जो वर्तमान में आधिकारिक तौर पर केवल निम्नलिखित एसआईईएम के लिए उपलब्ध हैं - स्प्लंक (स्प्लंक के लिए एज़्योर मॉनिटर ऐड-ऑन), आईबीएम क्यूराडार (माइक्रोसॉफ्ट एज़्योर डीएसएम), सुमोलॉजिक, आर्कसाइट और ईएलके। हाल तक, ऐसे और भी SIEM थे, लेकिन 1 जून, 2019 से, Microsoft ने Azure लॉग इंटीग्रेशन टूल (AzLog) का समर्थन करना बंद कर दिया, जो Azure के अस्तित्व की शुरुआत में और लॉग (Azure) के साथ काम करने के सामान्य मानकीकरण के अभाव में था। मॉनिटर तब तक अस्तित्व में नहीं था) ने बाहरी सिएम को माइक्रोसॉफ्ट क्लाउड के साथ एकीकृत करना आसान बना दिया। अब स्थिति बदल गई है और माइक्रोसॉफ्ट अन्य एसआईईएम के लिए मुख्य एकीकरण उपकरण के रूप में एज़्योर इवेंट हब प्लेटफॉर्म की सिफारिश करता है। कई लोगों ने पहले से ही इस तरह के एकीकरण को लागू कर दिया है, लेकिन सावधान रहें - वे सभी Azure लॉग को कैप्चर नहीं कर सकते हैं, लेकिन केवल कुछ को (अपने SIEM के दस्तावेज़ में देखें)।

एज़्योर में एक संक्षिप्त भ्रमण को समाप्त करते हुए, मैं इस क्लाउड सेवा के बारे में एक सामान्य सिफारिश देना चाहूंगा - इससे पहले कि आप एज़्योर में सूचना सुरक्षा निगरानी कार्यों के बारे में कुछ भी कहें, आपको उन्हें बहुत सावधानी से कॉन्फ़िगर करना चाहिए और परीक्षण करना चाहिए कि वे दस्तावेज़ में लिखे अनुसार काम करते हैं और जैसा कि सलाहकारों ने आपको Microsoft को बताया था (और Azure फ़ंक्शंस की कार्यक्षमता पर उनके अलग-अलग विचार हो सकते हैं)। यदि आपके पास वित्तीय संसाधन हैं, तो आप सूचना सुरक्षा निगरानी के संदर्भ में Azure से बहुत सारी उपयोगी जानकारी प्राप्त कर सकते हैं। यदि आपके संसाधन सीमित हैं, तो, जैसा कि AWS के मामले में होता है, आपको केवल अपनी ताकत और Azure मॉनिटर द्वारा प्रदान किए जाने वाले कच्चे डेटा पर निर्भर रहना होगा। और याद रखें कि कई निगरानी कार्यों में पैसा खर्च होता है और मूल्य निर्धारण नीति से पहले से परिचित होना बेहतर है। उदाहरण के लिए, आप मुफ्त में प्रति ग्राहक अधिकतम 31 जीबी तक 5 दिनों का डेटा स्टोर कर सकते हैं - इन मूल्यों से अधिक होने पर आपको अतिरिक्त पैसे खर्च करने होंगे (ग्राहक से प्रत्येक अतिरिक्त जीबी स्टोर करने के लिए लगभग $2+ और $0,1 के लिए) प्रत्येक अतिरिक्त माह में 1 जीबी भंडारण)। एप्लिकेशन टेलीमेट्री और मेट्रिक्स के साथ काम करने के लिए अतिरिक्त धन की भी आवश्यकता हो सकती है, साथ ही अलर्ट और सूचनाओं के साथ काम करने के लिए (एक निश्चित सीमा मुफ्त में उपलब्ध है, जो आपकी आवश्यकताओं के लिए पर्याप्त नहीं हो सकती है)।

उदाहरण: Google क्लाउड प्लेटफ़ॉर्म पर आधारित IaaS में सूचना सुरक्षा निगरानी

AWS और Azure की तुलना में Google क्लाउड प्लेटफ़ॉर्म एक युवा जैसा दिखता है, लेकिन यह आंशिक रूप से अच्छा है। AWS के विपरीत, जिसने धीरे-धीरे सुरक्षा सहित अपनी क्षमताओं में वृद्धि की, केंद्रीकरण की समस्या आ रही है; Azure की तरह, GCP को केंद्रीय रूप से बेहतर ढंग से प्रबंधित किया जाता है, जो पूरे उद्यम में त्रुटियों और कार्यान्वयन के समय को कम करता है। सुरक्षा के दृष्टिकोण से, GCP, अजीब तरह से, AWS और Azure के बीच है। उनके पास पूरे संगठन के लिए एक ही इवेंट पंजीकरण भी है, लेकिन वह अधूरा है। कुछ फ़ंक्शन अभी भी बीटा मोड में हैं, लेकिन धीरे-धीरे इस कमी को दूर किया जाना चाहिए और GCP सूचना सुरक्षा निगरानी के मामले में अधिक परिपक्व प्लेटफ़ॉर्म बन जाएगा।

GCP में ईवेंट लॉग करने का मुख्य उपकरण स्टैकड्राइवर लॉगिंग (एज़्योर मॉनिटर के समान) है, जो आपको अपने संपूर्ण क्लाउड इंफ्रास्ट्रक्चर (साथ ही AWS से) में ईवेंट एकत्र करने की अनुमति देता है। GCP में सुरक्षा परिप्रेक्ष्य से, प्रत्येक संगठन, प्रोजेक्ट या फ़ोल्डर में चार लॉग होते हैं:

• व्यवस्थापक गतिविधि - इसमें प्रशासनिक पहुंच से संबंधित सभी घटनाएं शामिल हैं, उदाहरण के लिए, वर्चुअल मशीन बनाना, पहुंच अधिकार बदलना आदि। यह लॉग आपकी इच्छा की परवाह किए बिना हमेशा लिखा जाता है, और इसका डेटा 400 दिनों तक संग्रहीत करता है।
• डेटा एक्सेस - इसमें क्लाउड उपयोगकर्ताओं द्वारा डेटा के साथ काम करने (निर्माण, संशोधन, पढ़ना, आदि) से संबंधित सभी घटनाएं शामिल हैं। डिफ़ॉल्ट रूप से, यह लॉग नहीं लिखा जाता है, क्योंकि इसका वॉल्यूम बहुत तेज़ी से बढ़ता है। इस कारण इसकी शेल्फ लाइफ सिर्फ 30 दिन है। इसके अलावा, इस पत्रिका में सब कुछ नहीं लिखा गया है। उदाहरण के लिए, संसाधनों से संबंधित घटनाएं जो सभी उपयोगकर्ताओं के लिए सार्वजनिक रूप से पहुंच योग्य हैं या जो जीसीपी में लॉग इन किए बिना पहुंच योग्य हैं, इसमें नहीं लिखी जाती हैं।
• सिस्टम इवेंट - इसमें सिस्टम इवेंट शामिल हैं जो उपयोगकर्ताओं से संबंधित नहीं हैं, या किसी व्यवस्थापक के कार्य जो क्लाउड संसाधनों के कॉन्फ़िगरेशन को बदलते हैं। इसे हमेशा 400 दिनों तक लिखा और संग्रहीत किया जाता है।
• एक्सेस ट्रांसपेरेंसी एक लॉग का एक अनूठा उदाहरण है जो Google कर्मचारियों (लेकिन अभी तक सभी जीसीपी सेवाओं के लिए नहीं) के सभी कार्यों को कैप्चर करता है जो अपने कार्य कर्तव्यों के हिस्से के रूप में आपके बुनियादी ढांचे तक पहुंचते हैं। यह लॉग 400 दिनों के लिए संग्रहीत किया जाता है और प्रत्येक जीसीपी क्लाइंट के लिए उपलब्ध नहीं है, लेकिन केवल तभी जब कई शर्तें पूरी होती हैं (या तो गोल्ड या प्लैटिनम स्तर का समर्थन, या कॉर्पोरेट समर्थन के हिस्से के रूप में एक निश्चित प्रकार की 4 भूमिकाओं की उपस्थिति)। एक समान फ़ंक्शन, उदाहरण के लिए, Office 365 - लॉकबॉक्स में भी उपलब्ध है।

लॉग उदाहरण: एक्सेस पारदर्शिता

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/[BUCKET_NAME]/objects/foo123"
    }
  ]
 }
 logName:  "projects/[PROJECT_NAME]/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

इन लॉग तक पहुंच कई तरीकों से संभव है (लगभग उसी तरह जैसे पहले चर्चा की गई Azure और AWS) - लॉग व्यूअर इंटरफ़ेस के माध्यम से, एपीआई के माध्यम से, Google क्लाउड SDK के माध्यम से, या आपके प्रोजेक्ट के गतिविधि पृष्ठ के माध्यम से जिसके लिए आप घटनाओं में रुचि रखते हैं. उसी तरह, उन्हें अतिरिक्त विश्लेषण के लिए बाहरी समाधानों में निर्यात किया जा सकता है। बाद वाला कार्य BigQuery या क्लाउड पब/सब स्टोरेज में लॉग निर्यात करके किया जाता है।

स्टैकड्राइवर लॉगिंग के अलावा, जीसीपी प्लेटफ़ॉर्म स्टैकड्राइवर मॉनिटरिंग कार्यक्षमता भी प्रदान करता है, जो आपको क्लाउड सेवाओं और अनुप्रयोगों के प्रमुख मैट्रिक्स (प्रदर्शन, एमटीबीएफ, समग्र स्वास्थ्य, आदि) की निगरानी करने की अनुमति देता है। संसाधित और विज़ुअलाइज़्ड डेटा आपके क्लाउड इंफ्रास्ट्रक्चर में समस्याओं का पता लगाना आसान बना सकता है, जिसमें सुरक्षा का संदर्भ भी शामिल है। लेकिन यह ध्यान दिया जाना चाहिए कि यह कार्यक्षमता सूचना सुरक्षा के संदर्भ में बहुत समृद्ध नहीं होगी, क्योंकि आज GCP के पास समान AWS गार्डड्यूटी का कोई एनालॉग नहीं है और सभी पंजीकृत घटनाओं के बीच खराब घटनाओं की पहचान नहीं कर सकता है (Google ने इवेंट थ्रेट डिटेक्शन विकसित किया है, लेकिन यह अभी भी बीटा में विकासाधीन है और इसकी उपयोगिता के बारे में बात करना जल्दबाजी होगी)। स्टैकड्राइवर मॉनिटरिंग का उपयोग विसंगतियों का पता लगाने के लिए एक प्रणाली के रूप में किया जा सकता है, जिसकी जांच उनके घटित होने के कारणों का पता लगाने के लिए की जाएगी। लेकिन बाजार में जीसीपी सूचना सुरक्षा के क्षेत्र में योग्य कर्मियों की कमी को देखते हुए यह कार्य फिलहाल मुश्किल नजर आ रहा है।

यह कुछ सूचना सुरक्षा मॉड्यूल की सूची देने लायक भी है जिनका उपयोग आपके GCP क्लाउड में किया जा सकता है, और जो AWS द्वारा प्रदान किए जाने वाले समान हैं:

• क्लाउड सिक्योरिटी कमांड सेंटर AWS सिक्योरिटी हब और एज़्योर सिक्योरिटी सेंटर का एक एनालॉग है।
• क्लाउड डीएलपी - 90 से अधिक पूर्वनिर्धारित वर्गीकरण नीतियों का उपयोग करके क्लाउड में होस्ट किए गए डेटा की स्वचालित खोज और संपादन (जैसे मास्किंग)।
• क्लाउड स्कैनर ऐप इंजन, कंप्यूट इंजन और गूगल कुबेरनेट्स में ज्ञात कमजोरियों (एक्सएसएस, फ्लैश इंजेक्शन, अनपैच्ड लाइब्रेरी आदि) के लिए एक स्कैनर है।
• क्लाउड आईएएम - सभी जीसीपी संसाधनों तक पहुंच को नियंत्रित करें।
• क्लाउड आइडेंटिटी - एक ही कंसोल से जीसीपी उपयोगकर्ता, डिवाइस और एप्लिकेशन खाते प्रबंधित करें।
• क्लाउड एचएसएम - क्रिप्टोग्राफ़िक कुंजियों की सुरक्षा।
• क्लाउड कुंजी प्रबंधन सेवा - जीसीपी में क्रिप्टोग्राफ़िक कुंजियों का प्रबंधन।
• वीपीसी सेवा नियंत्रण - अपने जीसीपी संसाधनों को लीक से बचाने के लिए उनके चारों ओर एक सुरक्षित परिधि बनाएं।
• टाइटन सुरक्षा कुंजी - फ़िशिंग से सुरक्षा।

इनमें से कई मॉड्यूल सुरक्षा ईवेंट उत्पन्न करते हैं जिन्हें विश्लेषण के लिए BigQuery स्टोरेज में भेजा जा सकता है या SIEM सहित अन्य सिस्टम में निर्यात किया जा सकता है। जैसा कि ऊपर उल्लेख किया गया है, GCP एक सक्रिय रूप से विकासशील प्लेटफ़ॉर्म है और Google अब अपने प्लेटफ़ॉर्म के लिए कई नए सूचना सुरक्षा मॉड्यूल विकसित कर रहा है। उनमें इवेंट थ्रेट डिटेक्शन (अब बीटा में उपलब्ध) है, जो अनधिकृत गतिविधि (एडब्ल्यूएस में गार्डड्यूटी के अनुरूप), या पॉलिसी इंटेलिजेंस (अल्फा में उपलब्ध) के निशान की तलाश में स्टैकड्राइवर लॉग को स्कैन करता है, जो आपको बुद्धिमान नीतियां विकसित करने की अनुमति देगा। जीसीपी संसाधनों तक पहुंच।

मैंने लोकप्रिय क्लाउड प्लेटफ़ॉर्म में अंतर्निहित निगरानी क्षमताओं का एक संक्षिप्त अवलोकन किया। लेकिन क्या आपके पास ऐसे विशेषज्ञ हैं जो "कच्चे" IaaS प्रदाता लॉग के साथ काम करने में सक्षम हैं (हर कोई AWS या Azure या Google की उन्नत क्षमताओं को खरीदने के लिए तैयार नहीं है)? इसके अलावा, कई लोग "विश्वास करें, लेकिन सत्यापित करें" कहावत से परिचित हैं, जो सुरक्षा के क्षेत्र में पहले से कहीं अधिक सत्य है। आप क्लाउड प्रदाता की अंतर्निहित क्षमताओं पर कितना भरोसा करते हैं जो आपको सूचना सुरक्षा ईवेंट भेजते हैं? वे सूचना सुरक्षा पर कितना ध्यान देते हैं?

कभी-कभी ओवरले क्लाउड इंफ्रास्ट्रक्चर मॉनिटरिंग समाधानों को देखना उचित होता है जो अंतर्निहित क्लाउड सुरक्षा को पूरक कर सकते हैं, और कभी-कभी ऐसे समाधान क्लाउड में होस्ट किए गए आपके डेटा और एप्लिकेशन की सुरक्षा में अंतर्दृष्टि प्राप्त करने का एकमात्र विकल्प होते हैं। इसके अलावा, वे बस अधिक सुविधाजनक हैं, क्योंकि वे विभिन्न क्लाउड प्रदाताओं से विभिन्न क्लाउड सेवाओं द्वारा उत्पन्न आवश्यक लॉग का विश्लेषण करने के सभी कार्य करते हैं। ऐसे ओवरले समाधान का एक उदाहरण सिस्को स्टेल्थवॉच क्लाउड है, जो एक ही कार्य पर केंद्रित है - क्लाउड वातावरण में सूचना सुरक्षा विसंगतियों की निगरानी करना, जिसमें न केवल अमेज़ॅन एडब्ल्यूएस, माइक्रोसॉफ्ट एज़्योर और Google क्लाउड प्लेटफ़ॉर्म, बल्कि निजी क्लाउड भी शामिल हैं।

उदाहरण: स्टेल्थवॉच क्लाउड का उपयोग करके सूचना सुरक्षा निगरानी

AWS एक लचीला कंप्यूटिंग प्लेटफ़ॉर्म प्रदान करता है, लेकिन यह लचीलापन कंपनियों के लिए गलतियाँ करना आसान बनाता है जिससे सुरक्षा संबंधी समस्याएं पैदा होती हैं। और साझा सूचना सुरक्षा मॉडल ही इसमें योगदान देता है। अज्ञात कमजोरियों के साथ क्लाउड में सॉफ़्टवेयर चलाना (ज्ञात कमजोरियों का मुकाबला किया जा सकता है, उदाहरण के लिए, AWS इंस्पेक्टर या GCP क्लाउड स्कैनर द्वारा), कमजोर पासवर्ड, गलत कॉन्फ़िगरेशन, अंदरूनी सूत्र, आदि। और यह सब क्लाउड संसाधनों के व्यवहार में परिलक्षित होता है, जिसकी निगरानी सिस्को स्टील्थवॉच क्लाउड द्वारा की जा सकती है, जो एक सूचना सुरक्षा निगरानी और हमले का पता लगाने वाली प्रणाली है। सार्वजनिक और निजी बादल।

सिस्को स्टील्थवॉच क्लाउड की प्रमुख विशेषताओं में से एक संस्थाओं को मॉडल करने की क्षमता है। इसके साथ, आप अपने प्रत्येक क्लाउड संसाधन का एक सॉफ्टवेयर मॉडल (अर्थात, लगभग वास्तविक समय सिमुलेशन) बना सकते हैं (इससे कोई फर्क नहीं पड़ता कि यह AWS, Azure, GCP, या कुछ और है)। इनमें सर्वर और उपयोगकर्ता, साथ ही आपके क्लाउड वातावरण के लिए विशिष्ट संसाधन प्रकार, जैसे सुरक्षा समूह और ऑटो-स्केल समूह शामिल हो सकते हैं। ये मॉडल इनपुट के रूप में क्लाउड सेवाओं द्वारा प्रदान की गई संरचित डेटा स्ट्रीम का उपयोग करते हैं। उदाहरण के लिए, AWS के लिए ये VPC फ़्लो लॉग्स, AWS CloudTrail, AWS CloudWatch, AWS कॉन्फ़िग, AWS इंस्पेक्टर, AWS लैम्ब्डा और AWS IAM होंगे। इकाई मॉडलिंग स्वचालित रूप से आपके किसी भी संसाधन की भूमिका और व्यवहार का पता लगाती है (आप सभी क्लाउड गतिविधि की प्रोफाइलिंग के बारे में बात कर सकते हैं)। इन भूमिकाओं में Android या Apple मोबाइल डिवाइस, Citrix PVS सर्वर, RDP सर्वर, मेल गेटवे, वीओआईपी क्लाइंट, टर्मिनल सर्वर, डोमेन नियंत्रक, आदि शामिल हैं। इसके बाद यह यह निर्धारित करने के लिए लगातार उनके व्यवहार की निगरानी करता है कि जोखिम भरा या सुरक्षा के लिए खतरा पैदा करने वाला व्यवहार कब होता है। आप पासवर्ड अनुमान, DDoS हमलों, डेटा लीक, अवैध रिमोट एक्सेस, दुर्भावनापूर्ण कोड गतिविधि, भेद्यता स्कैनिंग और अन्य खतरों की पहचान कर सकते हैं। उदाहरण के लिए, आपके संगठन (दक्षिण कोरिया) के लिए विशिष्ट देश से एसएसएच के माध्यम से कुबेरनेट्स क्लस्टर तक रिमोट एक्सेस प्रयास का पता लगाना इस तरह दिखता है:

और पोस्टग्रेस डेटाबेस से एक ऐसे देश में जानकारी का कथित लीक, जिसके साथ हमने पहले कभी संपर्क नहीं किया है, ऐसा दिखता है:

अंत में, बाहरी रिमोट डिवाइस से चीन और इंडोनेशिया के कई असफल SSH प्रयास इस तरह दिखते हैं:

या, मान लीजिए कि वीपीसी में सर्वर इंस्टेंस, नीति के अनुसार, कभी भी रिमोट लॉगिन गंतव्य नहीं होगा। आइए आगे मान लें कि फ़ायरवॉल नियम नीति में ग़लत बदलाव के कारण इस कंप्यूटर में रिमोट लॉगऑन का अनुभव हुआ। एंटिटी मॉडलिंग सुविधा वास्तविक समय में इस गतिविधि ("असामान्य रिमोट एक्सेस") का पता लगाएगी और रिपोर्ट करेगी और विशिष्ट एडब्ल्यूएस क्लाउडट्रेल, एज़्योर मॉनिटर, या जीसीपी स्टैकड्राइवर लॉगिंग एपीआई कॉल (उपयोगकर्ता नाम, दिनांक और समय सहित, अन्य विवरणों सहित) को इंगित करेगी। ) जिसने आईटीयू नियम में बदलाव को प्रेरित किया। और फिर यह जानकारी विश्लेषण के लिए सिएम को भेजी जा सकती है।

सिस्को स्टील्थवॉच क्लाउड द्वारा समर्थित किसी भी क्लाउड वातावरण के लिए समान क्षमताएं लागू की जाती हैं:

एंटिटी मॉडलिंग सुरक्षा स्वचालन का एक अनूठा रूप है जो आपके लोगों, प्रक्रियाओं या प्रौद्योगिकी के साथ पहले से अज्ञात समस्या को उजागर कर सकता है। उदाहरण के लिए, यह आपको अन्य बातों के अलावा, सुरक्षा समस्याओं का पता लगाने की अनुमति देता है जैसे:

• क्या किसी ने हमारे द्वारा उपयोग किए जाने वाले सॉफ़्टवेयर में कोई पिछला दरवाज़ा खोजा है?
• क्या हमारे क्लाउड में कोई तृतीय पक्ष सॉफ़्टवेयर या डिवाइस है?
• क्या अधिकृत उपयोगकर्ता विशेषाधिकारों का दुरुपयोग कर रहा है?
• क्या कोई कॉन्फ़िगरेशन त्रुटि थी जिसने दूरस्थ पहुंच या संसाधनों के अन्य अनपेक्षित उपयोग की अनुमति दी थी?
• क्या हमारे सर्वर से कोई डेटा लीक हुआ है?
• क्या कोई असामान्य भौगोलिक स्थान से हमसे जुड़ने का प्रयास कर रहा था?
• क्या हमारा क्लाउड दुर्भावनापूर्ण कोड से संक्रमित है?

एक खोजी गई सूचना सुरक्षा घटना को स्लैक, सिस्को स्पार्क, पेजरड्यूटी घटना प्रबंधन प्रणाली को संबंधित टिकट के रूप में भेजा जा सकता है, और स्प्लंक या ईएलके सहित विभिन्न एसआईईएम को भी भेजा जा सकता है। संक्षेप में, हम कह सकते हैं कि यदि आपकी कंपनी मल्टी-क्लाउड रणनीति का उपयोग करती है और ऊपर वर्णित सूचना सुरक्षा निगरानी क्षमताओं तक किसी एक क्लाउड प्रदाता तक सीमित नहीं है, तो निगरानी का एकीकृत सेट प्राप्त करने के लिए सिस्को स्टील्थवॉच क्लाउड का उपयोग करना एक अच्छा विकल्प है। अग्रणी क्लाउड प्लेयर्स - अमेज़ॅन, माइक्रोसॉफ्ट और गूगल के लिए क्षमताएं। सबसे दिलचस्प बात यह है कि यदि आप AWS, Azure या GCP में सूचना सुरक्षा निगरानी के लिए उन्नत लाइसेंस के साथ स्टील्थवॉच क्लाउड की कीमतों की तुलना करते हैं, तो यह पता चल सकता है कि सिस्को समाधान अमेज़ॅन, माइक्रोसॉफ्ट की अंतर्निहित क्षमताओं से भी सस्ता होगा। और Google समाधान। यह विरोधाभासी है, लेकिन सच है। और आप जितने अधिक बादलों और उनकी क्षमताओं का उपयोग करेंगे, समेकित समाधान का लाभ उतना ही अधिक स्पष्ट होगा।

इसके अलावा, स्टील्थवॉच क्लाउड आपके संगठन में तैनात निजी क्लाउड की निगरानी कर सकता है, उदाहरण के लिए, कुबेरनेट्स कंटेनरों के आधार पर या नेटवर्क उपकरण (यहां तक ​​​​कि घरेलू रूप से उत्पादित), एडी डेटा या डीएनएस सर्वर आदि में मिररिंग के माध्यम से प्राप्त नेटफ्लो प्रवाह या नेटवर्क ट्रैफ़िक की निगरानी करके। यह सारा डेटा साइबर सुरक्षा खतरा शोधकर्ताओं के दुनिया के सबसे बड़े गैर-सरकारी समूह सिस्को टैलोस द्वारा एकत्र की गई थ्रेट इंटेलिजेंस जानकारी से समृद्ध किया जाएगा।

यह आपको सार्वजनिक और हाइब्रिड क्लाउड दोनों के लिए एक एकीकृत निगरानी प्रणाली लागू करने की अनुमति देता है जिसका उपयोग आपकी कंपनी कर सकती है। एकत्र की गई जानकारी का फिर स्टील्थवॉच क्लाउड की अंतर्निहित क्षमताओं का उपयोग करके विश्लेषण किया जा सकता है या आपके एसआईईएम (स्प्लंक, ईएलके, सुमोलॉजिक और कई अन्य डिफ़ॉल्ट रूप से समर्थित हैं) को भेजा जा सकता है।

इसके साथ, हम लेख का पहला भाग पूरा करेंगे, जिसमें मैंने IaaS/PaaS प्लेटफार्मों की सूचना सुरक्षा की निगरानी के लिए अंतर्निहित और बाहरी उपकरणों की समीक्षा की, जो हमें क्लाउड वातावरण में होने वाली घटनाओं का तुरंत पता लगाने और प्रतिक्रिया देने की अनुमति देते हैं। हमारे उद्यम ने चुना है. दूसरे भाग में, हम विषय को जारी रखेंगे और सेल्सफोर्स और ड्रॉपबॉक्स के उदाहरण का उपयोग करके SaaS प्लेटफार्मों की निगरानी के विकल्पों को देखेंगे, और हम विभिन्न क्लाउड प्रदाताओं के लिए एक एकीकृत सूचना सुरक्षा निगरानी प्रणाली बनाकर सब कुछ संक्षेप में प्रस्तुत करने और एक साथ रखने का भी प्रयास करेंगे।

स्रोत: www.habr.com