TS 토탈 사이트. 이벤트 수집, 사고 분석 및 위협 대응 자동화 도구

안녕하세요. 이전 기사에서 ELK Stack의 작업에 대해 알아봤습니다. 이제 정보 보안 전문가가 이러한 시스템을 사용하여 실현할 수 있는 가능성에 대해 논의해 보겠습니다. Elasticsearch에 입력할 수 있고 입력해야 하는 로그는 무엇입니까? 대시보드를 설정하면 어떤 통계를 얻을 수 있는지, 이로 인해 이익이 있는지 생각해 봅시다. ELK 스택을 사용하여 정보 보안 프로세스의 자동화를 어떻게 구현할 수 있습니까? 시스템의 아키텍처를 그려 봅시다. 전체적으로 모든 기능을 구현하는 것은 매우 크고 어려운 작업이므로 솔루션에는 TS Total Sight라는 별도의 이름이 지정되었습니다.

현재 정보 보안 사고를 하나의 논리적인 장소에 통합하고 분석하는 솔루션이 빠르게 인기를 얻고 있으며, 그 결과 전문가는 조직의 정보 보안 상태를 개선하기 위한 통계와 조치를 받을 수 있습니다. 우리는 ELK 스택을 사용하여 이 작업을 설정했으며 결과적으로 주요 기능을 4개 섹션으로 나누었습니다.

1. 통계 및 시각화;
2. 정보 보안 사고 탐지
3. 사고 우선순위;
4. 정보 보안 프로세스 자동화.

다음으로는 각각에 대해 자세히 살펴보겠습니다.

정보보안 사고 탐지

우리의 경우 Elasticsearch를 사용하는 주요 작업은 정보 보안 사고만 수집하는 것입니다. 최소한 일부 로그 전송 모드를 지원하는 경우 모든 보안 수단에서 정보 보안 사고를 수집할 수 있습니다. 표준은 syslog 또는 scp를 파일에 저장하는 것입니다.

로그 전달을 구성해야 하는 보안 도구 등의 표준 예를 제공할 수 있습니다.

1. 모든 NGFW 도구(Check Point, Fortinet)
2. 모든 취약점 스캐너(PT Scanner, OpenVas)
3. 웹 애플리케이션 방화벽(PT AF);
4. 넷플로우 분석기(Flowmon, Cisco StealthWatch);
5. AD 서버.

Logstash에서 로그 및 구성 파일 전송을 구성한 후에는 다양한 보안 도구에서 발생하는 사건과 상호 연관시키고 비교할 수 있습니다. 이를 위해 특정 장치와 관련된 모든 인시던트를 저장할 인덱스를 사용하는 것이 편리합니다. 즉, 하나의 지표는 하나의 기기에 대한 모든 사건을 의미합니다. 이 배포는 두 가지 방법으로 구현될 수 있습니다.

첫 번째 실시 이는 Logstash 구성을 구성하는 것입니다. 이렇게 하려면 특정 필드에 대한 로그를 다른 유형의 별도 단위로 복제해야 합니다. 그리고 앞으로는 이 유형을 사용하세요. 이 예에서는 로그가 Check Point 방화벽의 IPS 블레이드에서 복제됩니다.

filter {
    if [product] == "SmartDefense" {
        clone {
	    clones => ["CloneSmartDefense"]
	    add_field => {"system" => "checkpoint"}
	}
    }
}

예를 들어 대상 IP 공격 서명과 같은 로그 필드에 따라 이러한 이벤트를 별도의 인덱스에 저장합니다. 비슷한 구성을 사용할 수 있습니다.

output {
    if [type] == "CloneSmartDefense"{
    {
         elasticsearch {
    	 hosts => [",<IP_address_elasticsearch>:9200"]
    	 index => "smartdefense-%{dst}"
    	 user => "admin"
    	 password => "password"
  	 }
    }
}

이러한 방식으로 모든 인시던트를 IP 주소 또는 시스템의 도메인 이름 등의 인덱스에 저장할 수 있습니다. 이 경우에는 인덱스에 저장합니다. "smartdefense-%{dst}", 서명 대상의 IP 주소로.

그러나 제품마다 로그 필드가 다르기 때문에 혼란과 불필요한 메모리 소비가 발생합니다. 그리고 여기에서 Logstash 구성 설정의 필드를 사전 설계된 필드로 조심스럽게 교체해야 하며 이는 모든 유형의 사고에 대해 동일하며 어려운 작업이기도 합니다.

두 번째 구현 옵션 - 탄력적 데이터베이스에 실시간으로 액세스하고, 필요한 인시던트를 꺼내어 새 인덱스에 저장하는 스크립트 또는 프로세스를 작성하는 것입니다. 어려운 작업이지만 원하는 대로 로그 작업을 수행할 수 있습니다. 다른 보안 장비의 사고와 직접적으로 연관됩니다. 이 옵션을 사용하면 최대한의 유연성으로 귀하의 사례에 가장 유용하도록 로그 작업을 구성할 수 있지만 여기서는 이를 구현할 수 있는 전문가를 찾는 데 문제가 발생합니다.

그리고 물론 가장 중요한 질문은, 그리고 무엇을 연관시키고 탐지할 수 있나요??

여기에는 여러 가지 옵션이 있을 수 있으며 인프라에서 사용되는 보안 도구에 따라 달라집니다. 몇 가지 예는 다음과 같습니다.

1. 내 관점에서는 NGFW 솔루션과 취약점 스캐너를 보유한 사람들에게 가장 분명하고 흥미로운 옵션입니다. IPS 로그와 취약점 검사 결과를 비교한 것입니다. IPS 시스템에 의해 공격이 감지(차단되지 않음)되고 검사 결과에 따라 최종 시스템에서 이 취약점이 해결되지 않은 경우 해당 취약점이 악용될 가능성이 높으므로 고발할 필요가 있습니다. .
2. 한 컴퓨터에서 다른 장소로 로그인을 많이 시도하면 악의적인 활동을 상징할 수 있습니다.
3. 잠재적으로 위험한 수많은 사이트를 방문하여 사용자가 바이러스 파일을 다운로드합니다.

통계 및 시각화

ELK Stack이 필요한 가장 분명하고 이해하기 쉬운 것은 로그 저장 및 시각화입니다. 이전 기사에서 Logstash를 사용하여 다양한 장치에서 로그를 생성하는 방법을 보여주었습니다. 로그가 Elasticsearch로 이동한 후 앞서 언급한 대시보드를 설정할 수 있습니다. 이전 기사에서, 시각화를 통해 필요한 정보와 통계를 제공합니다.

예 :

1. 가장 중요한 이벤트가 포함된 위협 예방 이벤트 대시보드입니다. 여기서는 어떤 IPS 서명이 감지되었는지, 지리적으로 어디에서 왔는지를 반영할 수 있습니다.

   

2. 정보가 유출될 수 있는 가장 중요한 애플리케이션의 사용에 대한 대시보드입니다.

   

3. 모든 보안 스캐너에서 결과를 스캔하세요.

   

4. 사용자별 Active Directory 로그입니다.

   

5. VPN 연결 대시보드.

이런 경우 대시보드를 몇 초 간격으로 업데이트하도록 구성하면 이벤트를 실시간으로 모니터링하는 매우 편리한 시스템을 얻을 수 있으며, 대시보드를 배치하면 정보 보안 사고에 최대한 빠르게 대응할 수 있습니다. 별도의 화면.

사고 우선순위

대규모 인프라 조건에서는 사고 수가 규모를 벗어날 수 있으며 전문가가 모든 사고를 적시에 처리할 시간이 없습니다. 이 경우 우선 큰 위협이 되는 사건만을 부각시키는 것이 필요하다. 따라서 시스템은 인프라와 관련된 심각도를 기준으로 사고의 우선순위를 지정해야 합니다. 이러한 이벤트에 대해 이메일이나 전보 알림을 설정하는 것이 좋습니다. 시각화를 설정하면 표준 Kibana 도구를 사용하여 우선순위 지정을 구현할 수 있습니다. 그러나 알림을 사용하면 더 어렵습니다. 기본적으로 이 기능은 Elasticsearch 기본 버전에는 포함되지 않고 유료 버전에만 포함됩니다. 따라서 유료 버전을 구매하거나 이메일이나 전보로 전문가에게 실시간으로 알리는 프로세스를 직접 작성하세요.

정보 보안 프로세스 자동화

그리고 가장 흥미로운 부분 중 하나는 정보 보안 사고에 대한 조치의 자동화입니다. 이전에는 Splunk에 대해 이 기능을 구현했습니다. 자세한 내용은 여기에서 확인할 수 있습니다. 기사. 주요 아이디어는 IPS 정책이 어떤 경우에는 정보 보안 프로세스의 중요한 부분이기는 하지만 결코 테스트되거나 최적화되지 않는다는 것입니다. 예를 들어, NGFW를 구현한 지 1년이 지났고 IPS를 최적화하기 위한 조치가 없으면 차단되지 않는 탐지 조치를 통해 많은 수의 서명이 축적되어 조직의 정보 보안 상태가 크게 저하됩니다. 다음은 자동화할 수 있는 항목의 몇 가지 예입니다.

1. IPS 시그니처를 탐지에서 방지로 전송합니다. Prevent가 중요한 서명에 대해 작동하지 않는 경우 이는 순서가 잘못된 것이며 보호 시스템에 심각한 공백이 있는 것입니다. 우리는 정책의 조치를 그러한 서명으로 변경합니다. NGFW 장치에 REST API 기능이 있는 경우 이 기능을 구현할 수 있습니다. 이는 프로그래밍 기술이 있는 경우에만 가능하며, Elastcisearch에서 필요한 정보를 추출하고 NGFW 관리 서버에 API 요청을 해야 합니다.
2. 하나의 IP 주소의 네트워크 트래픽에서 여러 서명이 감지되거나 차단된 경우 방화벽 정책에서 잠시 동안 이 IP 주소를 차단하는 것이 좋습니다. 또한 구현은 REST API를 사용하여 구성됩니다.
3. 이 호스트에 다수의 IPS 서명 또는 기타 보안 도구가 있는 경우 취약성 스캐너로 호스트 스캔을 실행하고, OpenVas인 경우 SSH를 통해 보안 스캐너에 연결하고 스캔을 시작하는 스크립트를 작성할 수 있습니다.

TS 토탈사이트

전체적으로 모든 기능을 구현하는 것은 매우 크고 어려운 작업입니다. 프로그래밍 기술이 없어도 프로덕션에 사용하기에 충분한 최소 기능을 구성할 수 있습니다. 그러나 모든 기능에 관심이 있다면 TS Total Sight에 주목할 수 있습니다. 자세한 내용은 당사에서 확인할 수 있습니다. 온라인으로. 결과적으로 전체 운영 체계와 아키텍처는 다음과 같습니다.

결론

ELK Stack을 이용하여 구현할 수 있는 것이 무엇인지 살펴보았습니다. 후속 기사에서는 TS Total Sight의 기능을 별도로 자세히 살펴볼 것입니다!

그러니 계속 지켜봐 주시기 바랍니다(텔레그램, 페이스북, VK, TS 솔루션 블로그), Yandex.Dzena.

출처 : habr.com