របៀបកាត់បន្ថយថ្លៃដើមនៃភាពជាម្ចាស់នៃប្រព័ន្ធ SIEM និងហេតុអ្វីបានជាអ្នកត្រូវការ Central Log Management (CLM)

មិនយូរប៉ុន្មាន Splunk បានបន្ថែមគំរូអាជ្ញាប័ណ្ណមួយផ្សេងទៀត - អាជ្ញាប័ណ្ណផ្អែកលើហេដ្ឋារចនាសម្ព័ន្ធ (ឥឡូវនេះមានបីនាក់ក្នុងចំណោមពួកគេ។) ពួកគេរាប់ចំនួនស្នូលស៊ីភីយូនៅក្រោមម៉ាស៊ីនមេ Splunk ។ ស្រដៀងទៅនឹងអាជ្ញាប័ណ្ណ Elastic Stack ពួកគេរាប់ចំនួនថ្នាំង Elasticsearch ។ ប្រព័ន្ធ SIEM មានតម្លៃថ្លៃជាប្រពៃណី ហើយជាធម្មតាមានជម្រើសរវាងការបង់ប្រាក់ច្រើន និងបង់ច្រើន។ ប៉ុន្តែប្រសិនបើអ្នកប្រើភាពប៉ិនប្រសប់ខ្លះ អ្នកអាចប្រមូលផ្តុំរចនាសម្ព័ន្ធស្រដៀងគ្នា។

វាមើលទៅគួរឱ្យខ្លាច ប៉ុន្តែពេលខ្លះស្ថាបត្យកម្មនេះដំណើរការក្នុងផលិតកម្ម។ ភាពស្មុគស្មាញសម្លាប់សន្តិសុខ ហើយជាទូទៅសម្លាប់អ្វីៗទាំងអស់។ ជាការពិតសម្រាប់ករណីបែបនេះ (ខ្ញុំកំពុងនិយាយអំពីការកាត់បន្ថយតម្លៃនៃភាពជាម្ចាស់) មានប្រព័ន្ធទាំងមូល - Central Log Management (CLM) ។ អំពី​វា សរសេរ Gartnerដោយចាត់ទុកថាពួកគេមានតម្លៃទាប។ នេះជាការណែនាំរបស់ពួកគេ៖

• ប្រើប្រាស់សមត្ថភាព និងឧបករណ៍ CLM នៅពេលដែលមានឧបសគ្គថវិកា និងបុគ្គលិក តម្រូវការត្រួតពិនិត្យសុវត្ថិភាព និងតម្រូវការករណីប្រើប្រាស់ជាក់លាក់។
• អនុវត្ត CLM ដើម្បីបង្កើនសមត្ថភាពប្រមូល និងការវិភាគ នៅពេលដែលដំណោះស្រាយ SIEM បង្ហាញថាថ្លៃពេក ឬស្មុគស្មាញ។
• វិនិយោគលើឧបករណ៍ CLM ជាមួយនឹងការផ្ទុកប្រកបដោយប្រសិទ្ធភាព ការស្វែងរករហ័ស និងការមើលឃើញដែលអាចបត់បែនបាន ដើម្បីកែលម្អការស៊ើបអង្កេត/ការវិភាគឧប្បត្តិហេតុសុវត្ថិភាព និងគាំទ្រការប្រមាញ់ការគំរាមកំហែង។
• ត្រូវប្រាកដថាកត្តាដែលអាចអនុវត្តបាន និងការពិចារណាត្រូវបានយកមកពិចារណាមុនពេលអនុវត្តដំណោះស្រាយ CLM ។

នៅក្នុងអត្ថបទនេះយើងនឹងនិយាយអំពីភាពខុសគ្នានៃវិធីសាស្រ្តក្នុងការផ្តល់អាជ្ញាប័ណ្ណ យើងនឹងយល់ពី CLM ហើយនិយាយអំពីប្រព័ន្ធជាក់លាក់នៃថ្នាក់នេះ - Quest InTrust. ព័ត៌មានលម្អិតនៅក្រោមការកាត់។

នៅដើមអត្ថបទនេះ ខ្ញុំបាននិយាយអំពីវិធីសាស្រ្តថ្មីក្នុងការផ្តល់អាជ្ញាប័ណ្ណ Splunk ។ ប្រភេទនៃអាជ្ញាប័ណ្ណអាចប្រៀបធៀបទៅនឹងអត្រាជួលរថយន្ត។ ចូរយើងស្រមៃថាម៉ូដែលនេះបើនិយាយពីចំនួនស៊ីភីយូគឺជារថយន្តសន្សំសំចៃដែលមានចម្ងាយមិនកំណត់និងសាំង។ អ្នកអាចទៅកន្លែងណាក៏បានដោយគ្មានការរឹតត្បិតចម្ងាយ ប៉ុន្តែអ្នកមិនអាចទៅបានលឿនទេ ហើយតាមនោះ គ្របដណ្តប់ច្រើនគីឡូម៉ែត្រក្នុងមួយថ្ងៃ។ ការផ្តល់អាជ្ញាប័ណ្ណទិន្នន័យគឺស្រដៀងទៅនឹងរថយន្តស្ព័រដែលមានគំរូម៉ាយល៍ប្រចាំថ្ងៃ។ អ្នកអាចបើកបរដោយមិនប្រុងប្រយ័ត្នក្នុងចម្ងាយឆ្ងាយ ប៉ុន្តែអ្នកនឹងត្រូវបង់ប្រាក់បន្ថែមទៀតសម្រាប់ការលើសពីចំនួនកំណត់ប្រចាំថ្ងៃ។

ដើម្បីទទួលបានអត្ថប្រយោជន៍ពីការផ្តល់អាជ្ញាប័ណ្ណផ្អែកលើការផ្ទុក អ្នកត្រូវមានសមាមាត្រទាបបំផុតនៃស្នូលស៊ីភីយូទៅជីកាបៃនៃទិន្នន័យដែលបានផ្ទុក។ នៅក្នុងការអនុវត្តនេះមានន័យថាអ្វីមួយដូចជា:

• ចំនួនសំណួរតិចបំផុតដែលអាចធ្វើទៅបានចំពោះទិន្នន័យដែលបានផ្ទុក។
• ចំនួនអ្នកប្រើប្រាស់តិចបំផុតនៃដំណោះស្រាយ។
• ជាទិន្នន័យសាមញ្ញ និងមានលក្ខណៈធម្មតាតាមដែលអាចធ្វើទៅបាន (ដូច្នេះមិនចាំបាច់ខ្ជះខ្ជាយវដ្ត CPU លើដំណើរការ និងការវិភាគទិន្នន័យជាបន្តបន្ទាប់)។

រឿងដែលមានបញ្ហាបំផុតនៅទីនេះគឺទិន្នន័យធម្មតា។ ប្រសិនបើអ្នកចង់ឱ្យ SIEM ក្លាយជាអ្នកប្រមូលផ្តុំនៃកំណត់ហេតុទាំងអស់នៅក្នុងស្ថាប័នមួយ វាទាមទារឱ្យមានការខិតខំប្រឹងប្រែងយ៉ាងច្រើនក្នុងការវិភាគ និងក្រោយដំណើរការ។ កុំភ្លេចថាអ្នកក៏ត្រូវគិតអំពីស្ថាបត្យកម្មដែលនឹងមិនធ្លាក់ចុះនៅក្រោមបន្ទុក ពោលគឺឧ។ ម៉ាស៊ីនមេបន្ថែម ហើយដូច្នេះដំណើរការបន្ថែមនឹងត្រូវបានទាមទារ។

ការផ្តល់អាជ្ញាប័ណ្ណបរិមាណទិន្នន័យគឺផ្អែកលើបរិមាណនៃទិន្នន័យដែលត្រូវបានបញ្ជូនទៅក្នុង maw នៃ SIEM ។ ប្រភព​ទិន្នន័យ​បន្ថែម​ត្រូវ​ទទួល​ទោស​ដោយ​រូបិយបណ្ណ (ឬ​រូបិយប័ណ្ណ​ផ្សេង​ទៀត) ហើយ​នេះ​ធ្វើ​ឱ្យ​អ្នក​គិត​អំពី​អ្វី​ដែល​អ្នក​មិន​ចង់​ប្រមូល។ ដើម្បីហួសពីគំរូអាជ្ញាប័ណ្ណនេះ អ្នកអាចខាំទិន្នន័យមុនពេលវាត្រូវបានចាក់ចូលទៅក្នុងប្រព័ន្ធ SIEM ។ ឧទាហរណ៍មួយនៃការធ្វើឱ្យធម្មតាបែបនេះមុនពេលចាក់គឺ Elastic Stack និង SIEMs ពាណិជ្ជកម្មមួយចំនួនទៀត។

ជាលទ្ធផល យើងមានអាជ្ញាប័ណ្ណដោយហេដ្ឋារចនាសម្ព័ន្ធគឺមានប្រសិទ្ធភាពនៅពេលដែលអ្នកត្រូវការប្រមូលទិន្នន័យជាក់លាក់ដោយដំណើរការតិចតួចបំផុត ហើយការផ្តល់អាជ្ញាប័ណ្ណតាមបរិមាណនឹងមិនអនុញ្ញាតឱ្យអ្នកប្រមូលអ្វីៗទាំងអស់ទាល់តែសោះ។ ការស្វែងរកដំណោះស្រាយកម្រិតមធ្យមនាំឱ្យមានលក្ខណៈវិនិច្ឆ័យដូចខាងក្រោមៈ

• ធ្វើឱ្យការប្រមូលផ្តុំទិន្នន័យសាមញ្ញ និងធ្វើឱ្យមានលក្ខណៈធម្មតា។
• ត្រង​ទិន្នន័យ​ដែល​គ្មាន​សំឡេង និង​សំខាន់​តិច។
• ការផ្តល់សមត្ថភាពវិភាគ។
• ផ្ញើទិន្នន័យដែលបានត្រង និងធម្មតាទៅ SIEM

ជាលទ្ធផល ប្រព័ន្ធ SIEM គោលដៅនឹងមិនចាំបាច់ខ្ជះខ្ជាយថាមពលស៊ីភីយូបន្ថែមលើដំណើរការនោះទេ ហើយអាចទទួលបានអត្ថប្រយោជន៍ពីការកំណត់អត្តសញ្ញាណព្រឹត្តិការណ៍សំខាន់ៗបំផុតដោយមិនកាត់បន្ថយការមើលឃើញចំពោះអ្វីដែលកំពុងកើតឡើង។

តាមឧត្ដមគតិ ដំណោះស្រាយឧបករណ៍កណ្តាលបែបនេះក៏គួរតែផ្តល់នូវការរកឃើញ និងសមត្ថភាពឆ្លើយតបក្នុងពេលវេលាជាក់ស្តែង ដែលអាចត្រូវបានប្រើដើម្បីកាត់បន្ថយផលប៉ះពាល់នៃសកម្មភាពដែលមានគ្រោះថ្នាក់ និងប្រមូលផ្តុំព្រឹត្តិការណ៍ទាំងមូលទៅជាបរិមាណទិន្នន័យដ៏មានប្រយោជន៍ និងសាមញ្ញឆ្ពោះទៅកាន់ SIEM ។ អញ្ចឹង SIEM អាច​ត្រូវ​បាន​ប្រើ​ដើម្បី​បង្កើត​ការ​រួម​បញ្ចូល ទំនាក់ទំនង និង​ដំណើរការ​ដាស់តឿន​បន្ថែម។

ដំណោះស្រាយកម្រិតមធ្យមដ៏អាថ៌កំបាំងដដែលនោះ គឺគ្មាននរណាក្រៅពី CLM ដែលខ្ញុំបានលើកឡើងនៅដើមអត្ថបទនោះទេ។ នេះជារបៀបដែល Gartner មើលឃើញវា៖

ឥឡូវនេះអ្នកអាចព្យាយាមស្វែងយល់ពីរបៀបដែល InTrust អនុលោមតាមការណែនាំរបស់ Gartner៖

• ការផ្ទុកប្រកបដោយប្រសិទ្ធភាពសម្រាប់បរិមាណ និងប្រភេទទិន្នន័យដែលត្រូវការរក្សាទុក។
• ល្បឿនស្វែងរកខ្ពស់។
• សមត្ថភាពមើលឃើញមិនមែនជាអ្វីដែល CLM ទាមទារជាមូលដ្ឋាននោះទេ ប៉ុន្តែការស្វែងរកការគំរាមកំហែងគឺដូចជាប្រព័ន្ធ BI សម្រាប់សុវត្ថិភាព និងការវិភាគទិន្នន័យ។
• ការពង្រឹងទិន្នន័យដើម្បីបង្កើនទិន្នន័យឆៅជាមួយនឹងទិន្នន័យបរិបទដែលមានប្រយោជន៍ (ដូចជាទីតាំងភូមិសាស្ត្រ និងផ្សេងទៀត)។

Quest InTrust ប្រើប្រាស់ប្រព័ន្ធផ្ទុកទិន្នន័យផ្ទាល់ខ្លួនរបស់វាជាមួយនឹងការបង្ហាប់ទិន្នន័យរហូតដល់ 40:1 និងការដកទិន្នន័យដែលមានល្បឿនលឿន ដែលកាត់បន្ថយការផ្ទុកលើសចំណុះសម្រាប់ប្រព័ន្ធ CLM និង SIEM ។

IT Security Search Console ជាមួយនឹងការស្វែងរកដូច Google

ម៉ូឌុល IT Security Search (ITSS) ដែលមានមូលដ្ឋានលើបណ្តាញឯកទេសអាចភ្ជាប់ទៅទិន្នន័យព្រឹត្តិការណ៍នៅក្នុងឃ្លាំង InTrust និងផ្តល់នូវចំណុចប្រទាក់សាមញ្ញសម្រាប់ការស្វែងរកការគំរាមកំហែង។ ចំណុចប្រទាក់ត្រូវបានសម្រួលដល់ចំណុចដែលវាដើរតួដូចជា Google សម្រាប់ទិន្នន័យកំណត់ហេតុព្រឹត្តិការណ៍។ ITSS ប្រើការកំណត់ពេលវេលាសម្រាប់លទ្ធផលសំណួរ អាចបញ្ចូលចូលគ្នា និងជាក្រុមនៃវាលព្រឹត្តិការណ៍ និងជួយយ៉ាងមានប្រសិទ្ធភាពក្នុងការស្វែងរកការគំរាមកំហែង។

InTrust ពង្រឹងព្រឹត្តិការណ៍នានា Windows ឧបករណ៍កំណត់អត្តសញ្ញាណសុវត្ថិភាព ឈ្មោះឯកសារ និងឧបករណ៍កំណត់អត្តសញ្ញាណចូលសុវត្ថិភាព។ InTrust ក៏ធ្វើឱ្យព្រឹត្តិការណ៍មានលក្ខណៈធម្មតាទៅជាគ្រោងការណ៍ W6 សាមញ្ញ (អ្នកណា អ្វី កន្លែងណា ពេលណា អ្នកណា និងកន្លែងណាមកពីណា) ដូច្នេះទិន្នន័យពីប្រភពផ្សេងៗគ្នា (ព្រឹត្តិការណ៍ដើម) Windows, កំណត់ហេតុ Linux ឬ syslog) អាចមើលឃើញក្នុងទម្រង់តែមួយ និងនៅលើកុងសូលស្វែងរកតែមួយ។

InTrust គាំទ្រការដាស់តឿន ការរកឃើញ និងសមត្ថភាពឆ្លើយតបតាមពេលវេលាជាក់ស្តែង ដែលអាចត្រូវបានប្រើជាប្រព័ន្ធដូច EDR ដើម្បីកាត់បន្ថយការខូចខាតដែលបណ្តាលមកពីសកម្មភាពគួរឱ្យសង្ស័យ។ ច្បាប់សុវត្ថិភាពដែលភ្ជាប់មកជាមួយរកឃើញ ប៉ុន្តែមិនត្រូវបានកំណត់ចំពោះការគំរាមកំហែងដូចខាងក្រោមនេះទេ៖

• ការបាញ់ថ្នាំពាក្យសម្ងាត់។
• Kerberoasting ។
• សកម្មភាព PowerShell គួរឱ្យសង្ស័យ ដូចជាការប្រតិបត្តិ Mimikatz ។
• ដំណើរការគួរឱ្យសង្ស័យ ឧទាហរណ៍ LokerGoga ransomware ។
• ការអ៊ិនគ្រីបដោយប្រើកំណត់ហេតុ CA4FS ។
• ចូលដោយប្រើគណនីដែលមានសិទ្ធិនៅលើស្ថានីយការងារ។
• ការវាយប្រហារដោយស្មានពាក្យសម្ងាត់។
• ការប្រើប្រាស់គួរឱ្យសង្ស័យនៃក្រុមអ្នកប្រើប្រាស់ក្នុងស្រុក។

ឥឡូវនេះខ្ញុំនឹងបង្ហាញអ្នកនូវរូបថតអេក្រង់មួយចំនួននៃ InTrust ខ្លួនវា ដូច្នេះអ្នកអាចទទួលបានចំណាប់អារម្មណ៍ពីសមត្ថភាពរបស់វា។

តម្រងដែលបានកំណត់ជាមុន ដើម្បីស្វែងរកភាពងាយរងគ្រោះដែលអាចកើតមាន

ឧទាហរណ៍នៃសំណុំនៃតម្រងសម្រាប់ការប្រមូលទិន្នន័យឆៅ

ឧទាហរណ៍នៃការប្រើប្រាស់កន្សោមធម្មតាដើម្បីបង្កើតប្រតិកម្មចំពោះព្រឹត្តិការណ៍មួយ។

ឧទាហរណ៍ជាមួយច្បាប់ស្វែងរកភាពងាយរងគ្រោះ PowerShell

មូលដ្ឋានចំណេះដឹងដែលភ្ជាប់មកជាមួយជាមួយនឹងការពិពណ៌នាអំពីភាពងាយរងគ្រោះ

InTrust គឺជាឧបករណ៍ដ៏មានឥទ្ធិពលដែលអាចត្រូវបានប្រើជាដំណោះស្រាយឯករាជ្យ ឬជាផ្នែកមួយនៃប្រព័ន្ធ SIEM ដូចដែលខ្ញុំបានពិពណ៌នាខាងលើ។ ប្រហែលជាអត្ថប្រយោជន៍ចម្បងនៃដំណោះស្រាយនេះគឺថាអ្នកអាចចាប់ផ្តើមប្រើវាភ្លាមបន្ទាប់ពីការដំឡើង, ដោយសារតែ InTrust មានបណ្ណាល័យដ៏ធំមួយនៃច្បាប់សម្រាប់ស្វែងរកការគំរាមកំហែង និងឆ្លើយតបទៅនឹងពួកគេ (ឧទាហរណ៍ ការទប់ស្កាត់អ្នកប្រើប្រាស់)។

នៅក្នុងអត្ថបទខ្ញុំមិនបាននិយាយអំពីការរួមបញ្ចូលប្រអប់។ ប៉ុន្តែភ្លាមៗបន្ទាប់ពីដំឡើងរួច អ្នកអាចកំណត់រចនាសម្ព័ន្ធការផ្ញើព្រឹត្តិការណ៍ទៅកាន់ Splunk, IBM QRadar, Microfocus Arcsight ឬតាមរយៈ webhook ទៅកាន់ប្រព័ន្ធផ្សេងទៀត។ ខាងក្រោមនេះគឺជាឧទាហរណ៍នៃចំណុចប្រទាក់ Kibana ជាមួយនឹងព្រឹត្តិការណ៍ពី InTrust ។ មានការរួមបញ្ចូលជាមួយ Elastic Stack រួចហើយ ហើយប្រសិនបើអ្នកប្រើកំណែឥតគិតថ្លៃនៃ Elastic នោះ InTrust អាចត្រូវបានប្រើជាឧបករណ៍សម្រាប់កំណត់អត្តសញ្ញាណការគំរាមកំហែង អនុវត្តការជូនដំណឹងសកម្ម និងការផ្ញើការជូនដំណឹង។

ខ្ញុំសង្ឃឹមថាអត្ថបទបានផ្តល់គំនិតតិចតួចអំពីផលិតផលនេះ។ យើងត្រៀមខ្លួនជាស្រេចដើម្បីផ្តល់ InTrust ដល់អ្នកសម្រាប់ការសាកល្បង ឬធ្វើគម្រោងសាកល្បង។ ពាក្យសុំអាចទុកនៅ ទម្រង់មតិត្រឡប់ នៅលើគេហទំព័ររបស់យើង។

សូមអានអត្ថបទផ្សេងទៀតរបស់យើងស្តីពីសុវត្ថិភាពព័ត៌មាន៖

យើងរកឃើញការវាយប្រហារ ransomware ចូលប្រើឧបករណ៍បញ្ជាដែន និងព្យាយាមទប់ទល់នឹងការវាយប្រហារទាំងនេះ

តើព័ត៌មានមានប្រយោជន៍អ្វីខ្លះដែលអាចស្រង់ចេញពីកំណត់ហេតុនៃស្ថានីយការងារដែលមានមូលដ្ឋានលើប្រព័ន្ធប្រតិបត្តិការ? Windows (អត្ថបទពេញនិយម)

តាមដានវដ្តជីវិតរបស់អ្នកប្រើប្រាស់ដោយគ្មានដង្កៀប ឬកាសែតបំពង់

តើអ្នកណាបានធ្វើ? យើងធ្វើសវនកម្មសុវត្ថិភាពព័ត៌មានដោយស្វ័យប្រវត្តិ

ប្រភព: www.habr.com