5 ប្រព័ន្ធគ្រប់គ្រងព្រឹត្តិការណ៍សុវត្ថិភាពប្រភពបើកចំហ

តើ​អ្នកជំនាញ​ផ្នែក​សន្តិសុខ​ព័ត៌មានវិទ្យា​ល្អ​ខុស​ពី​អ្នក​ធម្មតា​ដោយ​របៀបណា? ទេ មិនមែនដោយការពិតដែលថានៅពេលណាមួយគាត់អាចដាក់ឈ្មោះពីការចងចាំចំនួនសារដែលអ្នកចាត់ការ Igor បានផ្ញើកាលពីម្សិលមិញទៅមិត្តរួមការងាររបស់គាត់គឺ Maria ។ អ្នកឯកទេសផ្នែកសន្តិសុខដ៏ល្អម្នាក់ព្យាយាមកំណត់អត្តសញ្ញាណការរំលោភដែលអាចកើតមានជាមុន និងចាប់ពួកគេក្នុងពេលជាក់ស្តែង ដោយខិតខំប្រឹងប្រែងដើម្បីធានាថាឧប្បត្តិហេតុមិនបន្តកើតឡើង។ ប្រព័ន្ធគ្រប់គ្រងព្រឹត្តិការណ៍សុវត្ថិភាព (SIEM ពីព័ត៌មានសុវត្ថិភាព និងការគ្រប់គ្រងព្រឹត្តិការណ៍) ជួយសម្រួលដល់ការងារក្នុងការកត់ត្រា និងទប់ស្កាត់ការប៉ុនប៉ងរំលោភបំពានណាមួយ។

ជាប្រពៃណី ប្រព័ន្ធ SIEM រួមបញ្ចូលគ្នានូវប្រព័ន្ធគ្រប់គ្រងសន្តិសុខព័ត៌មាន និងប្រព័ន្ធគ្រប់គ្រងព្រឹត្តិការណ៍សុវត្ថិភាព។ មុខងារសំខាន់នៃប្រព័ន្ធគឺការវិភាគនៃព្រឹត្តិការណ៍សុវត្ថិភាពក្នុងពេលវេលាជាក់ស្តែង ដែលអនុញ្ញាតឱ្យអ្នកឆ្លើយតបចំពោះពួកគេមុនពេលការខូចខាតដែលមានស្រាប់កើតឡើង។

ភារកិច្ចចម្បងនៃប្រព័ន្ធ SIEM៖

• ការប្រមូលទិន្នន័យ និងការធ្វើឱ្យមានលក្ខណៈធម្មតា។
• ទំនាក់ទំនងទិន្នន័យ
• ដាស់តឿន
• ផ្ទាំងទស្សនីយភាព
• ការរៀបចំការផ្ទុកទិន្នន័យ
• ការស្វែងរក និងវិភាគទិន្នន័យ
• ការរាយការណ៍

ហេតុផលសម្រាប់តម្រូវការខ្ពស់សម្រាប់ប្រព័ន្ធ SIEM

ថ្មីៗនេះ ភាពស្មុគស្មាញ និងការសម្របសម្រួលនៃការវាយប្រហារលើប្រព័ន្ធព័ត៌មានបានកើនឡើងយ៉ាងខ្លាំង។ ក្នុងពេលជាមួយគ្នានេះ ភាពស្មុគស្មាញនៃឧបករណ៍សុវត្ថិភាពព័ត៌មានដែលប្រើប្រាស់ក៏កាន់តែស្មុគស្មាញផងដែរ ដូចជាបណ្តាញ និងប្រព័ន្ធស្វែងរកការឈ្លានពានដែលមានមូលដ្ឋានលើម៉ាស៊ីន ប្រព័ន្ធ DLP ប្រព័ន្ធប្រឆាំងមេរោគ និងជញ្ជាំងភ្លើង ម៉ាស៊ីនស្កេនភាពងាយរងគ្រោះ។ល។ ឧបករណ៍សុវត្ថិភាពនីមួយៗបង្កើតស្ទ្រីមនៃព្រឹត្តិការណ៍ដែលមានកម្រិតខុសៗគ្នានៃព័ត៌មានលម្អិត ហើយជារឿយៗការវាយប្រហារអាចត្រូវបានគេមើលឃើញដោយព្រឹត្តិការណ៍ជាន់គ្នាពីប្រព័ន្ធផ្សេងៗគ្នាប៉ុណ្ណោះ។

មានច្រើនអំពីប្រព័ន្ធ SIEM ពាណិជ្ជកម្មគ្រប់ប្រភេទ វាត្រូវបានសរសេរប៉ុន្តែយើងផ្តល់ជូននូវទិដ្ឋភាពសង្ខេបនៃប្រព័ន្ធ SIEM ប្រភពបើកចំហពេញលេញឥតគិតថ្លៃ ដែលមិនមានការដាក់កម្រិតសិប្បនិម្មិតលើចំនួនអ្នកប្រើប្រាស់ ឬបរិមាណនៃទិន្នន័យដែលបានរក្សាទុកដែលទទួលយក ហើយក៏អាចធ្វើមាត្រដ្ឋាន និងគាំទ្របានយ៉ាងងាយស្រួលផងដែរ។ យើងសង្ឃឹមថាវានឹងជួយវាយតម្លៃសក្តានុពលនៃប្រព័ន្ធបែបនេះ និងសម្រេចចិត្តថាតើដំណោះស្រាយបែបនេះមានតម្លៃក្នុងការបញ្ចូលទៅក្នុងដំណើរការអាជីវកម្មរបស់ក្រុមហ៊ុនដែរឬទេ។

AlienVault OSSIM

AlienVault OSSIM គឺជាកំណែប្រភពបើកចំហរបស់ AlienVault USM ដែលជាប្រព័ន្ធ SIEM ពាណិជ្ជកម្មឈានមុខគេមួយ។ OSSIM គឺជាក្របខ័ណ្ឌដែលមានគម្រោងប្រភពបើកចំហជាច្រើន រួមទាំងប្រព័ន្ធស្វែងរកការជ្រៀតចូលបណ្តាញ Snort បណ្តាញ Nagios និងប្រព័ន្ធត្រួតពិនិត្យម៉ាស៊ីន ប្រព័ន្ធរកឃើញការឈ្លានពានផ្អែកលើម៉ាស៊ីន OSSEC និងម៉ាស៊ីនស្កេនភាពងាយរងគ្រោះ OpenVAS ។

ដើម្បីត្រួតពិនិត្យឧបករណ៍ ភ្នាក់ងារ AlienVault ត្រូវបានប្រើ ដែលផ្ញើកំណត់ហេតុពីម៉ាស៊ីនក្នុងទម្រង់ syslog ទៅកាន់វេទិកា GELF ឬកម្មវិធីជំនួយអាចត្រូវបានប្រើសម្រាប់ការរួមបញ្ចូលជាមួយសេវាកម្មភាគីទីបី ដូចជាសេវាប្រូកស៊ីបញ្ច្រាសគេហទំព័រ Cloudflare ឬ Okta multi - ប្រព័ន្ធផ្ទៀងផ្ទាត់កត្តា។

កំណែ USM ខុសពី OSSIM ជាមួយនឹងមុខងារប្រសើរឡើងសម្រាប់ការគ្រប់គ្រងកំណត់ហេតុ ការត្រួតពិនិត្យហេដ្ឋារចនាសម្ព័ន្ធពពក ស្វ័យប្រវត្តិកម្ម និងព័ត៌មានគំរាមកំហែងថ្មីៗ និងការមើលឃើញ។

គុណសម្បត្តិ

• បានបង្កើតឡើងនៅលើគម្រោងប្រភពបើកចំហដែលបានបញ្ជាក់;
• សហគមន៍ធំនៃអ្នកប្រើប្រាស់ និងអ្នកអភិវឌ្ឍន៍។

កំហុស

• មិនគាំទ្រការត្រួតពិនិត្យលើវេទិកាពពក (ឧទាហរណ៍ AWS ឬ Azure);
• មិនមានការគ្រប់គ្រងកំណត់ហេតុ ការមើលឃើញ ស្វ័យប្រវត្តិកម្ម ឬការរួមបញ្ចូលជាមួយសេវាកម្មភាគីទីបីទេ។

ប្រភព

MozDef (វេទិកាការពារ Mozilla)

ប្រព័ន្ធ MozDef SIEM ដែលបង្កើតឡើងដោយ Mozilla ត្រូវបានប្រើដើម្បីធ្វើស្វ័យប្រវត្តិកម្មដំណើរការនៃឧប្បត្តិហេតុសុវត្ថិភាព។ ប្រព័ន្ធនេះត្រូវបានរចនាឡើងចាប់ពីមូលដ្ឋានឡើង ដើម្បីសម្រេចបាននូវការអនុវត្តអតិបរមា សមត្ថភាពធ្វើមាត្រដ្ឋាន និងការអត់ធ្មត់ចំពោះកំហុស ជាមួយនឹងស្ថាបត្យកម្មមីក្រូសេវា - សេវាកម្មនីមួយៗដំណើរការក្នុងធុង Docker ។

ដូច OSSIM ដែរ MozDef ត្រូវបានបង្កើតឡើងនៅលើគម្រោងប្រភពបើកចំហដែលបានសាកល្បងពេលវេលា រួមទាំងការធ្វើលិបិក្រមកំណត់ហេតុ Elasticsearch និងម៉ូឌុលស្វែងរក វេទិកា Meteor សម្រាប់បង្កើតចំណុចប្រទាក់គេហទំព័រដែលអាចបត់បែនបាន និងកម្មវិធីជំនួយ Kibana សម្រាប់ការមើលឃើញ និងការធ្វើផែនការ។

ការជាប់ទាក់ទងគ្នានៃព្រឹត្តិការណ៍ និងការជូនដំណឹងត្រូវបានអនុវត្តដោយប្រើសំណួរ Elasticsearch ដែលអនុញ្ញាតឱ្យអ្នកសរសេរដំណើរការព្រឹត្តិការណ៍ និងច្បាប់ដាស់តឿនផ្ទាល់ខ្លួនរបស់អ្នកដោយប្រើ Python ។ យោងតាម ​​Mozilla MozDef អាចដំណើរការព្រឹត្តិការណ៍ច្រើនជាង 300 លានក្នុងមួយថ្ងៃ។ MozDef ទទួលយកតែព្រឹត្តិការណ៍ក្នុងទម្រង់ JSON ប៉ុន្តែមានការរួមបញ្ចូលជាមួយសេវាកម្មភាគីទីបី។

គុណសម្បត្តិ

• មិនប្រើភ្នាក់ងារ - ធ្វើការជាមួយកំណត់ហេតុ JSON ស្តង់ដារ។
• ធ្វើមាត្រដ្ឋានបានយ៉ាងងាយស្រួល ដោយសារស្ថាបត្យកម្មមីក្រូសេវាកម្ម។
• គាំទ្រប្រភពទិន្នន័យសេវាកម្មពពក រួមទាំង AWS CloudTrail និង GuardDuty ។

កំហុស

• ប្រព័ន្ធថ្មី និងតិចជាង។

ប្រភព

វ៉ាហ្សូ

Wazuh បានចាប់ផ្តើមការអភិវឌ្ឍន៍ជាចំនុចប្រសព្វនៃ OSSEC ដែលជាប្រភពបើកចំហរដ៏ពេញនិយមបំផុតមួយ។ ហើយឥឡូវនេះវាគឺជាដំណោះស្រាយតែមួយគត់របស់វាជាមួយនឹងមុខងារថ្មី ជួសជុលកំហុស និងស្ថាបត្យកម្មដែលប្រសើរឡើង។

ប្រព័ន្ធនេះត្រូវបានបង្កើតឡើងនៅលើជង់ ElasticStack (Elasticsearch, Logstash, Kibana) និងគាំទ្រទាំងការប្រមូលទិន្នន័យផ្អែកលើភ្នាក់ងារ និងការបញ្ចូលកំណត់ហេតុប្រព័ន្ធ។ នេះធ្វើឱ្យវាមានប្រសិទ្ធភាពសម្រាប់ការត្រួតពិនិត្យឧបករណ៍ដែលបង្កើតកំណត់ហេតុ ប៉ុន្តែមិនគាំទ្រការដំឡើងភ្នាក់ងារ - ឧបករណ៍បណ្តាញ ម៉ាស៊ីនបោះពុម្ព និងគ្រឿងកុំព្យូទ័រ។

Wazuh គាំទ្រភ្នាក់ងារ OSSEC ដែលមានស្រាប់ ហើយថែមទាំងផ្តល់ការណែនាំអំពីការធ្វើចំណាកស្រុកពី OSSEC ទៅ Wazuh ផងដែរ។ ទោះបីជា OSSEC នៅតែត្រូវបានគាំទ្រយ៉ាងសកម្មក៏ដោយ Wazuh ត្រូវបានគេមើលឃើញថាជាការបន្តនៃ OSSEC ដោយសារតែការបន្ថែមចំណុចប្រទាក់គេហទំព័រថ្មី REST API សំណុំនៃច្បាប់ពេញលេញ និងការកែលម្អជាច្រើនទៀត។

គុណសម្បត្តិ

• ផ្អែកលើ និងត្រូវគ្នាជាមួយ SIEM OSSEC ដ៏ពេញនិយម។
• គាំទ្រជម្រើសដំឡើងផ្សេងៗ៖ Docker, Puppet, Chef, Ansible;
• គាំទ្រការត្រួតពិនិត្យសេវាកម្មពពក រួមទាំង AWS និង Azure;
• រួមបញ្ចូលនូវសំណុំច្បាប់ដ៏ទូលំទូលាយមួយ ដើម្បីស្វែងរកការវាយប្រហារជាច្រើនប្រភេទ និងអនុញ្ញាតឱ្យអ្នកប្រៀបធៀបពួកវាដោយអនុលោមតាម PCI DSS v3.1 និង CIS ។
• រួមបញ្ចូលជាមួយប្រព័ន្ធផ្ទុកទិន្នន័យ និងការវិភាគ Splunk សម្រាប់ការមើលឃើញព្រឹត្តិការណ៍ និងការគាំទ្រ API ។

កំហុស

• ស្ថាបត្យកម្មស្មុគ្រស្មាញ - តម្រូវឱ្យមានការដាក់ពង្រាយ Elastic Stack ពេញលេញ បន្ថែមពីលើសមាសធាតុផ្នែកខាងក្រោយរបស់ Wazuh ។

ប្រភព

ប្រព័ន្ធប្រតិបត្តិការ Prelude

Prelude OSS គឺជាកំណែប្រភពបើកចំហនៃពាណិជ្ជកម្ម Prelude SIEM ដែលបង្កើតឡើងដោយក្រុមហ៊ុនបារាំង CS ។ ដំណោះស្រាយគឺជាប្រព័ន្ធ SIEM ម៉ូឌុលដែលអាចបត់បែនបាន ដែលគាំទ្រទម្រង់កំណត់ហេតុច្រើន ការរួមបញ្ចូលជាមួយឧបករណ៍ភាគីទីបីដូចជា OSSEC, Snort និងប្រព័ន្ធស្វែងរកបណ្តាញ Suricata ។

ព្រឹត្តិការណ៍នីមួយៗត្រូវបានធ្វើឱ្យមានលក្ខណៈធម្មតាទៅជាសារដោយប្រើទម្រង់ IDMEF ដែលសម្រួលការផ្លាស់ប្តូរទិន្នន័យជាមួយប្រព័ន្ធផ្សេងទៀត។ ប៉ុន្តែមានការហោះហើរនៅក្នុងមួន - Prelude OSS ត្រូវបានកំណត់យ៉ាងខ្លាំងនៅក្នុងការអនុវត្ត និងមុខងារបើប្រៀបធៀបទៅនឹងកំណែពាណិជ្ជកម្មរបស់ Prelude SIEM ហើយត្រូវបានបម្រុងទុកបន្ថែមទៀតសម្រាប់គម្រោងតូចៗ ឬសម្រាប់ការសិក្សាដំណោះស្រាយ SIEM និងការវាយតម្លៃ Prelude SIEM ។

គុណសម្បត្តិ

• ប្រព័ន្ធសាកល្បងពេលវេលា បង្កើតតាំងពីឆ្នាំ 1998;
• គាំទ្រទ្រង់ទ្រាយកំណត់ហេតុផ្សេងគ្នាជាច្រើន;
• ធ្វើឱ្យទិន្នន័យធម្មតាទៅជាទម្រង់ IMDEF ដែលធ្វើឱ្យវាងាយស្រួលក្នុងការផ្ទេរទិន្នន័យទៅប្រព័ន្ធសុវត្ថិភាពផ្សេងទៀត។

កំហុស

• មានកម្រិតយ៉ាងសំខាន់នៅក្នុងមុខងារ និងការអនុវត្តបើប្រៀបធៀបទៅនឹងប្រព័ន្ធ SIEM ប្រភពបើកចំហផ្សេងទៀត។

ប្រភព

ដាសាន់

Sagan គឺជា SIEM ដែលមានប្រសិទ្ធភាពខ្ពស់ដែលសង្កត់ធ្ងន់លើភាពឆបគ្នាជាមួយ Snort ។ បន្ថែមពីលើច្បាប់គាំទ្រដែលសរសេរសម្រាប់ Snort, Sagan អាចសរសេរទៅកាន់មូលដ្ឋានទិន្នន័យ Snort ហើយថែមទាំងអាចប្រើជាមួយចំណុចប្រទាក់ Shuil ផងដែរ។ ជាការសំខាន់ វាគឺជាដំណោះស្រាយពហុខ្សែទម្ងន់ស្រាល ដែលផ្តល់នូវមុខងារថ្មីៗ ខណៈពេលដែលមានភាពរួសរាយរាក់ទាក់សម្រាប់អ្នកប្រើប្រាស់ Snort ។

គុណសម្បត្តិ

• ឆបគ្នាយ៉ាងពេញលេញជាមួយមូលដ្ឋានទិន្នន័យ Snort ច្បាប់ និងចំណុចប្រទាក់អ្នកប្រើប្រាស់។
• ស្ថាបត្យកម្មពហុខ្សែផ្តល់នូវដំណើរការខ្ពស់។

កំហុស

• គម្រោងវ័យក្មេងដែលទាក់ទងជាមួយសហគមន៍តូចមួយ;
• ដំណើរការដំឡើងស្មុគស្មាញដែលពាក់ព័ន្ធនឹងការកសាង SIEM ទាំងមូលពីប្រភព។

ប្រភព

សេចក្តីសន្និដ្ឋាន

ប្រព័ន្ធ SIEM ដែលបានពិពណ៌នានីមួយៗមានលក្ខណៈ និងដែនកំណត់របស់វា ដូច្នេះពួកគេមិនអាចត្រូវបានគេហៅថាជាដំណោះស្រាយជាសកលសម្រាប់អង្គការណាមួយឡើយ។ ទោះជាយ៉ាងណាក៏ដោយ ដំណោះស្រាយទាំងនេះគឺជាប្រភពបើកចំហ ដែលអនុញ្ញាតឱ្យពួកវាត្រូវបានដាក់ពង្រាយ សាកល្បង និងវាយតម្លៃដោយមិនមានការចំណាយច្រើនហួសហេតុពេក។

តើមានអ្វីគួរឱ្យចាប់អារម្មណ៍ទៀតដែលអ្នកអាចអាននៅលើប្លក់? Cloud4Y

→ VNIITE នៃភពផែនដីទាំងមូល៖ របៀបដែលប្រព័ន្ធ "ផ្ទះឆ្លាត" ត្រូវបានបង្កើតឡើងនៅសហភាពសូវៀត
→ របៀបដែលចំណុចប្រទាក់សរសៃប្រសាទជួយមនុស្សជាតិ
→ ការធានារ៉ាប់រងតាមអ៊ីនធឺណិតនៅលើទីផ្សាររុស្ស៊ី
→ ពន្លឺ កាមេរ៉ា... ពពក៖ របៀបដែលពពកកំពុងផ្លាស់ប្តូរឧស្សាហកម្មភាពយន្ត
→ បាល់ទាត់នៅលើពពក - ម៉ូដឬភាពចាំបាច់?

ជាវប្រចាំរបស់យើង។ Telegram-channel ដូច្នេះអ្នកកុំខកខានអត្ថបទបន្ទាប់! យើងសរសេរមិនលើសពីពីរដងក្នុងមួយសប្តាហ៍ ហើយសម្រាប់តែអាជីវកម្មប៉ុណ្ណោះ។

ប្រភព: www.habr.com