SIEM 시스템의 소유 비용을 줄이는 방법과 중앙 로그 관리(CLM)가 필요한 이유

얼마 전 Splunk는 또 다른 라이선싱 모델인 인프라 기반 라이선싱(이제 그 중 세 명이 있습니다). Splunk 서버의 CPU 코어 수를 계산합니다. Elastic Stack 라이선스와 매우 유사하며 Elasticsearch 노드 수를 계산합니다. SIEM 시스템은 전통적으로 비용이 많이 들고 일반적으로 많은 비용을 지불하는 것과 많은 비용을 지불하는 것 중에서 선택할 수 있습니다. 그러나 약간의 독창성을 사용하면 비슷한 구조를 조립할 수 있습니다.

소름끼치게 보이지만 때로는 이 아키텍처가 프로덕션 환경에서 작동하는 경우도 있습니다. 복잡성은 보안을 파괴하고, 일반적으로 모든 것을 파괴합니다. 실제로 이러한 경우(소유 비용 절감에 대해 이야기하고 있음) 중앙 로그 관리(CLM)라는 전체 시스템 클래스가 있습니다. 그것에 대해 Gartner에 따르면, 저평가되어 있다고 생각합니다. 권장 사항은 다음과 같습니다.

• 예산 및 인력 제약, 보안 모니터링 요구 사항, 특정 사용 사례 요구 사항이 있는 경우 CLM 기능 및 도구를 사용하십시오.
• SIEM 솔루션이 너무 비싸거나 복잡할 경우 CLM을 구현하여 로그 수집 및 분석 기능을 향상하세요.
• 효율적인 저장, 빠른 검색, 유연한 시각화 기능을 갖춘 CLM 도구에 투자하여 보안 사고 조사/분석을 개선하고 위협 검색을 지원하세요.
• CLM 솔루션을 구현하기 전에 적용 가능한 요소와 고려 사항을 고려해야 합니다.

이 기사에서는 라이센스 접근 방식의 차이점에 대해 이야기하고 CLM을 이해하며 이 클래스의 특정 시스템에 대해 이야기합니다. 퀘스트 인트러스트. 컷 아래의 세부 사항.

이 기사의 시작 부분에서 저는 Splunk 라이선싱에 대한 새로운 접근 방식에 대해 이야기했습니다. 면허 종류는 자동차 렌트 요금과 비교할 수 있습니다. CPU 수 측면에서 해당 모델이 주행거리와 휘발유가 무제한인 경제적인 자동차라고 가정해 보겠습니다. 거리 제한 없이 어디든 갈 수 있지만 매우 빠르게 갈 수는 없으므로 하루에 몇 킬로미터를 이동할 수 있습니다. 데이터 라이선스는 일일 마일리지 모델을 갖춘 스포츠카와 유사합니다. 장거리를 난폭하게 운전할 수 있지만 일일 주행거리 한도를 초과하면 더 많은 비용을 지불해야 합니다.

로드 기반 라이센스의 이점을 얻으려면 로드된 데이터 GB에 대한 CPU 코어 비율이 가장 낮아야 합니다. 실제로 이는 다음과 같은 것을 의미합니다.

• 로드된 데이터에 대해 가능한 최소 쿼리 수입니다.
• 솔루션의 가능한 최소 사용자 수입니다.
• 가능한 한 간단하고 정규화된 데이터(이후 데이터 처리 및 분석에 CPU 사이클을 낭비할 필요가 없도록)

여기서 가장 문제가 되는 것은 정규화된 데이터입니다. SIEM이 조직의 모든 로그를 수집하는 역할을 하게 하려면 구문 분석 및 사후 처리에 엄청난 노력이 필요합니다. 부하가 걸려도 무너지지 않는 아키텍처에 대해서도 생각해야 한다는 점을 잊지 마세요. 추가 서버가 필요하므로 추가 프로세서가 필요합니다.

데이터 볼륨 라이센싱은 SIEM으로 전송되는 데이터 양을 기준으로 합니다. 추가 데이터 소스는 루블(또는 기타 통화)로 처벌될 수 있으며 이로 인해 실제로 수집하고 싶지 않은 것이 무엇인지 생각하게 됩니다. 이 라이선싱 모델을 능가하려면 데이터가 SIEM 시스템에 주입되기 전에 데이터를 베어물면 됩니다. 주입 전 정규화의 한 가지 예는 Elastic Stack과 기타 상용 SIEM입니다.

결과적으로 최소한의 전처리를 통해 특정 데이터만 수집해야 하는 경우 인프라별 라이선싱이 효과적이며, 볼륨별 라이선싱으로는 모든 것을 전혀 수집할 수 없는 경우가 있습니다. 중간 솔루션을 검색하면 다음 기준이 적용됩니다.

• 데이터 집계 및 정규화를 단순화합니다.
• 시끄럽고 중요도가 가장 낮은 데이터 필터링.
• 분석 기능을 제공합니다.
• 필터링 및 정규화된 데이터를 SIEM으로 전송

결과적으로, 대상 SIEM 시스템은 처리에 추가 CPU 성능을 낭비할 필요가 없으며, 무슨 일이 일어나고 있는지에 대한 가시성을 줄이지 않고 가장 중요한 이벤트만 식별하는 이점을 누릴 수 있습니다.

이상적으로 이러한 미들웨어 솔루션은 잠재적으로 위험한 활동의 ​​영향을 줄이고 전체 이벤트 스트림을 SIEM에 대한 유용하고 간단한 데이터 양으로 집계하는 데 사용할 수 있는 실시간 감지 및 대응 기능도 제공해야 합니다. 그러면 SIEM을 사용하여 추가 집계, 상관 관계 및 경고 프로세스를 생성할 수 있습니다.

그 신비한 중간 솔루션은 바로 제가 기사 시작 부분에서 언급한 CLM입니다. Gartner는 다음과 같이 보고 있습니다.

이제 InTrust가 Gartner 권장 사항을 어떻게 준수하는지 알아볼 수 있습니다.

• 저장해야 하는 데이터의 볼륨과 유형을 효율적으로 저장합니다.
• 높은 검색 속도.
• 시각화 기능은 기본 CLM에 필요한 기능은 아니지만 위협 헌팅은 보안 및 데이터 분석을 위한 BI 시스템과 같습니다.
• 유용한 상황별 데이터(예: 지리적 위치 및 기타)로 원시 데이터를 강화하는 데이터 강화입니다.

Quest InTrust는 최대 40:1의 데이터 압축 및 고속 중복 제거 기능을 갖춘 자체 스토리지 시스템을 사용하여 CLM 및 SIEM 시스템의 스토리지 오버헤드를 줄입니다.

Google과 유사한 검색 기능을 갖춘 IT 보안 검색 콘솔

전문화된 웹 기반 ITSS(IT 보안 검색) 모듈은 InTrust 저장소의 이벤트 데이터에 연결할 수 있으며 위협 검색을 위한 간단한 인터페이스를 제공합니다. 인터페이스는 이벤트 로그 데이터에 대해 Google처럼 작동할 정도로 단순화되었습니다. ITSS는 쿼리 결과에 대한 타임라인을 사용하고, 이벤트 필드를 병합 및 그룹화하고, 위협 사냥을 효과적으로 지원합니다.

InTrust는 보안 식별자, 파일 이름 및 보안 로그인 식별자를 사용하여 Windows 이벤트를 강화합니다. InTrust는 또한 이벤트를 간단한 W6 스키마(누가, 무엇을, 어디서, 언제, 누구 및 어디서부터)로 정규화하여 다양한 소스(Windows 기본 이벤트, Linux 로그 또는 syslog)의 데이터를 단일 형식 및 단일 문서에서 볼 수 있도록 합니다. 검색 콘솔.

InTrust는 의심스러운 활동으로 인한 피해를 최소화하기 위해 EDR과 유사한 시스템으로 사용할 수 있는 실시간 경고, 탐지 및 대응 기능을 지원합니다. 기본 제공 보안 규칙은 다음 위협을 감지하지만 이에 국한되지는 않습니다.

• 비밀번호 스프레이.
• 커베로스팅.
• Mimikatz 실행과 같은 의심스러운 PowerShell 활동.
• 의심스러운 프로세스(예: LokerGoga 랜섬웨어)
• CA4FS 로그를 사용한 암호화.
• 워크스테이션에서 권한 있는 계정으로 로그인합니다.
• 비밀번호 추측 공격.
• 로컬 사용자 그룹의 의심스러운 사용.

이제 InTrust 자체의 몇 가지 스크린샷을 보여드리겠습니다. 이를 통해 해당 기능에 대한 인상을 받으실 수 있습니다.

잠재적인 취약점을 검색하기 위한 사전 정의된 필터

원시 데이터 수집을 위한 필터 세트의 예

정규식을 사용하여 이벤트에 대한 응답을 만드는 예

PowerShell 취약점 검색 규칙의 예

취약점에 대한 설명이 포함된 내장된 지식 기반

InTrust는 위에서 설명한 대로 독립형 솔루션이나 SIEM 시스템의 일부로 사용할 수 있는 강력한 도구입니다. 아마도 이 솔루션의 가장 큰 장점은 설치 후 즉시 사용할 수 있다는 것입니다. InTrust에는 위협을 탐지하고 이에 대응(예: 사용자 차단)하기 위한 대규모 규칙 라이브러리가 있습니다.

이 기사에서는 박스형 통합에 대해 언급하지 않았습니다. 그러나 설치 직후에는 Splunk, IBM QRadar, Microfocus Arcsight로 이벤트를 보내거나 웹후크를 통해 다른 시스템으로 이벤트를 보내도록 구성할 수 있습니다. 다음은 InTrust의 이벤트가 포함된 Kibana 인터페이스의 예입니다. Elastic Stack과 이미 통합되어 있으며, Elastic 무료 버전을 사용하는 경우 InTrust를 위협 식별, 사전 경고 수행 및 알림 전송을 위한 도구로 사용할 수 있습니다.

이 기사가 이 제품에 대한 최소한의 아이디어를 제공하였기를 바랍니다. 테스트 또는 파일럿 프로젝트 수행을 위해 InTrust를 제공할 준비가 되어 있습니다. 신청서는 다음 주소에 남겨두시면 됩니다. 피드백 폼 우리 웹 사이트에

정보 보안에 관한 다른 기사를 읽어보세요.

우리는 랜섬웨어 공격을 감지하고 도메인 컨트롤러에 대한 액세스 권한을 얻은 후 이러한 공격에 저항하려고 노력합니다.

Windows 기반 워크스테이션의 로그에서 어떤 유용한 정보를 추출할 수 있나요? (인기 기사)

펜치나 덕테이프 없이 사용자의 라이프사이클 추적

누가 그랬나요? 정보 보안 감사를 자동화합니다.

출처 : habr.com