5 ລະບົບການຈັດການເຫດການຄວາມປອດໄພແບບເປີດ

ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພດ້ານໄອທີທີ່ດີແຕກຕ່າງຈາກຄົນທົ່ວໄປແນວໃດ? ບໍ່, ບໍ່ແມ່ນຍ້ອນຄວາມຈິງທີ່ວ່າໃນເວລາໃດກໍ່ຕາມ, ລາວສາມາດຕັ້ງຊື່ຈາກຄວາມຊົງຈໍາຂອງຈໍານວນຂໍ້ຄວາມທີ່ຜູ້ຈັດການ Igor ສົ່ງໃນມື້ວານນີ້ໃຫ້ກັບເພື່ອນຮ່ວມງານຂອງລາວ Maria. ຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພທີ່ດີພະຍາຍາມກໍານົດການລະເມີດທີ່ເປັນໄປໄດ້ລ່ວງຫນ້າແລະຈັບພວກເຂົາໃນເວລາທີ່ແທ້ຈິງ, ພະຍາຍາມທຸກໆຢ່າງເພື່ອຮັບປະກັນວ່າເຫດການດັ່ງກ່າວບໍ່ໄດ້ສືບຕໍ່. ລະບົບການຈັດການເຫດການຄວາມປອດໄພ (SIEM, ຈາກຂໍ້ມູນຄວາມປອດໄພແລະການຈັດການເຫດການ) ຢ່າງຫຼວງຫຼາຍເຮັດໃຫ້ວຽກງານຂອງການບັນທຶກຢ່າງໄວວາແລະສະກັດກັ້ນການລ່ວງລະເມີດທີ່ພະຍາຍາມໃດໆ.

ຕາມປະເພນີ, ລະບົບ SIEM ປະສົມປະສານລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂໍ້ມູນຂ່າວສານແລະລະບົບການຄຸ້ມຄອງເຫດການຄວາມປອດໄພ. ລັກສະນະທີ່ສໍາຄັນຂອງລະບົບແມ່ນການວິເຄາະເຫດການຄວາມປອດໄພໃນເວລາທີ່ແທ້ຈິງ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຕອບສະຫນອງຕໍ່ພວກເຂົາກ່ອນທີ່ຄວາມເສຍຫາຍທີ່ມີຢູ່.

ວຽກ​ງານ​ຕົ້ນ​ຕໍ​ຂອງ​ລະ​ບົບ SIEM​:

• ການ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ແລະ​ການ​ປົກ​ກະ​ຕິ​
• ຄວາມສຳພັນຂອງຂໍ້ມູນ
• ແຈ້ງເຕືອນ
• ແຜງສະແດງພາບ
• ການຈັດຕັ້ງການເກັບຮັກສາຂໍ້ມູນ
• ຄົ້ນຫາຂໍ້ມູນ ແລະການວິເຄາະ
• ລາຍງານ

ເຫດຜົນສໍາລັບຄວາມຕ້ອງການສູງສໍາລັບລະບົບ SIEM

ບໍ່ດົນມານີ້, ຄວາມສັບສົນແລະການປະສານງານຂອງການໂຈມຕີລະບົບຂໍ້ມູນຂ່າວສານໄດ້ເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍ. ໃນເວລາດຽວກັນ, ຄວາມຊັບຊ້ອນຂອງເຄື່ອງມືຄວາມປອດໄພຂໍ້ມູນທີ່ໃຊ້ກໍ່ຍັງສັບສົນຫຼາຍ - ລະບົບການກວດສອບການບຸກລຸກຂອງເຄືອຂ່າຍແລະເຈົ້າພາບ, ລະບົບ DLP, ລະບົບຕ້ານເຊື້ອໄວຣັສແລະໄຟວໍ, ເຄື່ອງສະແກນຄວາມສ່ຽງ, ແລະອື່ນໆ. ແຕ່ລະເຄື່ອງມືຄວາມປອດໄພສ້າງກະແສຂອງເຫດການທີ່ມີລະດັບທີ່ແຕກຕ່າງກັນຂອງລາຍລະອຽດ, ແລະເລື້ອຍໆການໂຈມຕີສາມາດເຫັນໄດ້ພຽງແຕ່ເຫດການທີ່ທັບຊ້ອນກັນຈາກລະບົບຕ່າງໆ.

ມີຫຼາຍກ່ຽວກັບທຸກປະເພດຂອງລະບົບ SIEM ການຄ້າ ລາຍລັກອັກສອນ, ແຕ່ພວກເຮົາສະເຫນີພາບລວມໂດຍຫຍໍ້ຂອງລະບົບ SIEM ແຫຼ່ງເປີດເຕັມທີ່ບໍ່ເສຍຄ່າ, ທີ່ບໍ່ມີຂໍ້ຈໍາກັດປອມກ່ຽວກັບຈໍານວນຜູ້ໃຊ້ຫຼືປະລິມານຂອງຂໍ້ມູນທີ່ຍອມຮັບ, ແລະຍັງສາມາດຂະຫຍາຍແລະສະຫນັບສະຫນູນໄດ້ງ່າຍ. ພວກເຮົາຫວັງວ່າອັນນີ້ຈະຊ່ວຍປະເມີນທ່າແຮງຂອງລະບົບດັ່ງກ່າວ ແລະ ຕັດສິນໃຈວ່າວິທີແກ້ໄຂດັ່ງກ່າວມີມູນຄ່າລວມເຂົ້າໃນຂະບວນການທຸລະກິດຂອງບໍລິສັດຫຼືບໍ່.

AlienVault OSSIM

AlienVault OSSIM ເປັນເວີຊັນເປີດຂອງ AlienVault USM, ຫນຶ່ງໃນລະບົບ SIEM ການຄ້າຊັ້ນນໍາ. OSSIM ເປັນກອບທີ່ປະກອບດ້ວຍໂຄງການແຫຼ່ງເປີດຫຼາຍ, ລວມທັງລະບົບການກວດສອບການບຸກລຸກເຄືອຂ່າຍ Snort, ເຄືອຂ່າຍ Nagios ແລະລະບົບການຕິດຕາມແມ່ຂ່າຍ, ລະບົບກວດສອບການບຸກລຸກທີ່ອີງໃສ່ໂຮສ OSSEC ແລະເຄື່ອງສະແກນຊ່ອງໂຫວ່ OpenVAS.

ເພື່ອຕິດຕາມອຸປະກອນ, AlienVault Agent ຖືກນໍາໃຊ້, ເຊິ່ງສົ່ງບັນທຶກຈາກໂຮດໃນຮູບແບບ syslog ໄປຫາແພລະຕະຟອມ GELF, ຫຼື plugin ສາມາດໃຊ້ສໍາລັບການເຊື່ອມໂຍງກັບບໍລິການພາກສ່ວນທີສາມເຊັ່ນ: ບໍລິການ reverse proxy ເວັບໄຊທ໌ Cloudflare ຫຼື Okta multi - ລະ​ບົບ​ການ​ກວດ​ສອບ​ປັດ​ໄຈ​.

ຮຸ່ນ USM ແຕກຕ່າງຈາກ OSSIM ທີ່ມີຫນ້າທີ່ປັບປຸງສໍາລັບການຄຸ້ມຄອງບັນທຶກ, ການຕິດຕາມໂຄງສ້າງພື້ນຖານຂອງຄລາວ, ອັດຕະໂນມັດ, ແລະການປັບປຸງຂໍ້ມູນໄພຂົ່ມຂູ່ແລະການເບິ່ງເຫັນ.

ຜົນ​ປະ​ໂຫຍດ

• ສ້າງຂຶ້ນໃນໂຄງການເປີດແຫຼ່ງທີ່ພິສູດແລ້ວ;
• ຊຸມຊົນຂະຫນາດໃຫຍ່ຂອງຜູ້ໃຊ້ແລະນັກພັດທະນາ.

ຂໍ້ບົກພ່ອງ

• ບໍ່ສະຫນັບສະຫນູນການຕິດຕາມເວທີຟັງ (ຕົວຢ່າງ, AWS ຫຼື Azure);
• ບໍ່ມີການຈັດການບັນທຶກ, ການເບິ່ງເຫັນ, ອັດຕະໂນມັດຫຼືການເຊື່ອມໂຍງກັບການບໍລິການຂອງພາກສ່ວນທີສາມ.

ແຫຼ່ງຂໍ້ມູນ

MozDef (Mozilla Defense Platform)

ລະບົບ MozDef SIEM ພັດທະນາໂດຍ Mozilla ຖືກນໍາໃຊ້ເພື່ອອັດຕະໂນມັດຂະບວນການປະມວນຜົນເຫດການຄວາມປອດໄພ. ລະບົບໄດ້ຖືກອອກແບບຕັ້ງແຕ່ພື້ນດິນຂຶ້ນເພື່ອບັນລຸປະສິດທິພາບສູງສຸດ, ຂະຫນາດແລະຄວາມທົນທານຕໍ່ຄວາມຜິດ, ດ້ວຍສະຖາປັດຕະຍະກໍາ microservice - ແຕ່ລະບໍລິການດໍາເນີນການຢູ່ໃນຖັງ Docker.

ເຊັ່ນດຽວກັນກັບ OSSIM, MozDef ຖືກສ້າງຂຶ້ນໃນໂຄງການ open source ທີ່ໄດ້ຮັບການທົດສອບເວລາ, ລວມທັງການດັດສະນີບັນທຶກ Elasticsearch ແລະໂມດູນຄົ້ນຫາ, ເວທີ Meteor ສໍາລັບການສ້າງການໂຕ້ຕອບເວັບໄຊຕ໌ທີ່ມີຄວາມຍືດຫຍຸ່ນ, ແລະ plugin Kibana ສໍາລັບການເບິ່ງເຫັນແລະການວາງແຜນ.

ການເຊື່ອມໂຍງເຫດການແລະການເຕືອນແມ່ນປະຕິບັດໂດຍໃຊ້ Elasticsearch queries, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຂຽນການປຸງແຕ່ງເຫດການຂອງທ່ານເອງແລະກົດລະບຽບການເຕືອນໂດຍໃຊ້ Python. ອີງຕາມ Mozilla, MozDef ສາມາດປະມວນຜົນຫຼາຍກວ່າ 300 ລ້ານເຫດການຕໍ່ມື້. MozDef ພຽງແຕ່ຍອມຮັບເຫດການໃນຮູບແບບ JSON, ແຕ່ມີການເຊື່ອມໂຍງກັບບໍລິການພາກສ່ວນທີສາມ.

ຜົນ​ປະ​ໂຫຍດ

• ບໍ່ໄດ້ໃຊ້ຕົວແທນ - ເຮັດວຽກກັບບັນທຶກ JSON ມາດຕະຖານ;
• ຂະຫຍາຍຂະໜາດໄດ້ງ່າຍຍ້ອນສະຖາປັດຕະຍະກຳບໍລິການຈຸລະພາກ;
• ຮອງຮັບແຫຼ່ງຂໍ້ມູນການບໍລິການຄລາວລວມທັງ AWS CloudTrail ແລະ GuardDuty.

ຂໍ້ບົກພ່ອງ

• ລະບົບການສ້າງຕັ້ງໃຫມ່ແລະຫນ້ອຍ.

ແຫຼ່ງຂໍ້ມູນ

Wazuh

Wazuh ໄດ້ເລີ່ມຕົ້ນການພັດທະນາເປັນສ້ອມຂອງ OSSEC, ຫນຶ່ງໃນແຫຼ່ງເປີດ SIEM ທີ່ນິຍົມຫຼາຍທີ່ສຸດ. ແລະໃນປັດຈຸບັນມັນເປັນການແກ້ໄຂທີ່ເປັນເອກະລັກຂອງຕົນເອງທີ່ມີຫນ້າທີ່ໃຫມ່, ການແກ້ໄຂຂໍ້ບົກພ່ອງແລະສະຖາປັດຕະຍະກໍາທີ່ດີທີ່ສຸດ.

ລະບົບຖືກສ້າງຂຶ້ນໃນ stack ElasticStack (Elasticsearch, Logstash, Kibana) ແລະສະຫນັບສະຫນູນທັງການເກັບກໍາຂໍ້ມູນໂດຍອີງໃສ່ຕົວແທນແລະການເຂົ້າລະບົບ. ນີ້ເຮັດໃຫ້ມັນມີປະສິດທິພາບໃນການຕິດຕາມອຸປະກອນທີ່ສ້າງບັນທຶກແຕ່ບໍ່ສະຫນັບສະຫນູນການຕິດຕັ້ງຕົວແທນ - ອຸປະກອນເຄືອຂ່າຍ, ເຄື່ອງພິມແລະອຸປະກອນຕໍ່ພ່ວງ.

Wazuh ສະຫນັບສະຫນູນຕົວແທນ OSSEC ທີ່ມີຢູ່ແລ້ວແລະແມ້ກະທັ້ງໃຫ້ຄໍາແນະນໍາກ່ຽວກັບການເຄື່ອນຍ້າຍຈາກ OSSEC ໄປ Wazuh. ເຖິງແມ່ນວ່າ OSSEC ຍັງໄດ້ຮັບການສະຫນັບສະຫນູນຢ່າງຫ້າວຫັນ, Wazuh ໄດ້ຖືກເຫັນວ່າເປັນການສືບຕໍ່ຂອງ OSSEC ເນື່ອງຈາກການເພີ່ມການໂຕ້ຕອບເວັບໃຫມ່, REST API, ກົດລະບຽບທີ່ສົມບູນກວ່າ, ແລະການປັບປຸງອື່ນໆຈໍານວນຫຼາຍ.

ຜົນ​ປະ​ໂຫຍດ

• ອີງໃສ່ແລະເຂົ້າກັນໄດ້ກັບ SIEM OSSEC ທີ່ນິຍົມ;
• ສະຫນັບສະຫນູນທາງເລືອກການຕິດຕັ້ງຕ່າງໆ: Docker, Puppet, Chef, Ansible;
• ສະຫນັບສະຫນູນການກວດສອບການບໍລິການຟັງ, ລວມທັງ AWS ແລະ Azure;
• ລວມມີຊຸດກົດລະບຽບທີ່ສົມບູນແບບເພື່ອກວດຫາການໂຈມຕີຫຼາຍປະເພດ ແລະອະນຸຍາດໃຫ້ທ່ານປຽບທຽບພວກມັນໃຫ້ສອດຄ່ອງກັບ PCI DSS v3.1 ແລະ CIS.
• ປະສົມປະສານກັບລະບົບການເກັບຮັກສາບັນທຶກ Splunk ແລະການວິເຄາະສໍາລັບການເບິ່ງເຫັນເຫດການແລະການສະຫນັບສະຫນູນ API.

ຂໍ້ບົກພ່ອງ

• ສະຖາປັດຕະຍະກໍາທີ່ຊັບຊ້ອນ - ຕ້ອງການການຕິດຕັ້ງ Elastic Stack ເຕັມຮູບແບບນອກຈາກອົງປະກອບຂອງ Wazuh backend.

ແຫຼ່ງຂໍ້ມູນ

Prelude OS

Prelude OSS ເປັນເວີຊັນເປີດຂອງ Prelude SIEM ການຄ້າ, ພັດທະນາໂດຍບໍລິສັດຝຣັ່ງ CS. ການແກ້ໄຂແມ່ນລະບົບ SIEM ທີ່ມີຄວາມຍືດຫຍຸ່ນ, ໂມດູນທີ່ສະຫນັບສະຫນູນຮູບແບບບັນທຶກຫຼາຍ, ການເຊື່ອມໂຍງກັບເຄື່ອງມືຂອງພາກສ່ວນທີສາມເຊັ່ນ OSSEC, Snort ແລະລະບົບການກວດສອບເຄືອຂ່າຍ Suricata.

ແຕ່ລະເຫດການຖືກເຮັດໃຫ້ເປັນຂໍ້ຄວາມປົກກະຕິໂດຍໃຊ້ຮູບແບບ IDMEF, ເຊິ່ງເຮັດໃຫ້ການແລກປ່ຽນຂໍ້ມູນກັບລະບົບອື່ນໆງ່າຍຂຶ້ນ. ແຕ່ມີແມງວັນໃນຢາຂີ້ເຜິ້ງ - Prelude OSS ແມ່ນຈໍາກັດຫຼາຍໃນການປະຕິບັດແລະຫນ້າທີ່ທຽບກັບສະບັບການຄ້າຂອງ Prelude SIEM, ແລະມີຈຸດປະສົງຫຼາຍສໍາລັບໂຄງການຂະຫນາດນ້ອຍຫຼືສໍາລັບການສຶກສາການແກ້ໄຂ SIEM ແລະປະເມີນ Prelude SIEM.

ຜົນ​ປະ​ໂຫຍດ

• ລະບົບເວລາທົດສອບ, ພັດທະນາຕັ້ງແຕ່ປີ 1998;
• ສະຫນັບສະຫນູນຮູບແບບບັນທຶກທີ່ແຕກຕ່າງກັນຫຼາຍ;
• ປັບຂໍ້ມູນໃຫ້ເປັນຮູບແບບ IMDEF, ເຮັດໃຫ້ມັນງ່າຍຕໍ່ການໂອນຂໍ້ມູນໄປຍັງລະບົບຄວາມປອດໄພອື່ນໆ.

ຂໍ້ບົກພ່ອງ

• ມີຄວາມຈໍາກັດຢ່າງຫຼວງຫຼາຍໃນການເຮັດວຽກແລະການປະຕິບັດເມື່ອທຽບກັບລະບົບ SIEM ແຫຼ່ງເປີດອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນ

ຊາແກນ

Sagan ແມ່ນ SIEM ທີ່ມີປະສິດທິພາບສູງທີ່ເນັ້ນຫນັກໃສ່ຄວາມເຂົ້າກັນໄດ້ກັບ Snort. ນອກເຫນືອຈາກການສະຫນັບສະຫນູນກົດລະບຽບທີ່ຂຽນສໍາລັບ Snort, Sagan ສາມາດຂຽນໃສ່ຖານຂໍ້ມູນ Snort ແລະຍັງສາມາດຖືກນໍາໃຊ້ກັບການໂຕ້ຕອບ Shuil. ໂດຍພື້ນຖານແລ້ວ, ມັນເປັນການແກ້ໄຂຫຼາຍກະທູ້ທີ່ມີນ້ໍາຫນັກເບົາທີ່ສະຫນອງຄຸນສົມບັດໃຫມ່ໃນຂະນະທີ່ຍັງເປັນມິດກັບຜູ້ໃຊ້ Snort.

ຜົນ​ປະ​ໂຫຍດ

• ເຂົ້າກັນໄດ້ຢ່າງເຕັມສ່ວນກັບຖານຂໍ້ມູນ Snort, ກົດລະບຽບ, ແລະການໂຕ້ຕອບຜູ້ໃຊ້;
• ສະຖາປັດຕະຍະກໍາຫຼາຍກະທູ້ໃຫ້ປະສິດທິພາບສູງ.

ຂໍ້ບົກພ່ອງ

• ໂຄງການທີ່ຂ້ອນຂ້າງໄວຫນຸ່ມກັບຊຸມຊົນຂະຫນາດນ້ອຍ;
• ຂະບວນການຕິດຕັ້ງທີ່ສັບສົນທີ່ກ່ຽວຂ້ອງກັບການກໍ່ສ້າງ SIEM ທັງຫມົດຈາກແຫຼ່ງ.

ແຫຼ່ງຂໍ້ມູນ

ສະຫລຸບ

ແຕ່ລະລະບົບ SIEM ທີ່ອະທິບາຍມີລັກສະນະແລະຂໍ້ຈໍາກັດຂອງຕົນເອງ, ດັ່ງນັ້ນພວກມັນບໍ່ສາມາດຖືກເອີ້ນວ່າເປັນການແກ້ໄຂທົ່ວໄປສໍາລັບອົງການຈັດຕັ້ງໃດຫນຶ່ງ. ຢ່າງໃດກໍ່ຕາມ, ວິທີແກ້ໄຂເຫຼົ່ານີ້ແມ່ນແຫຼ່ງເປີດ, ອະນຸຍາດໃຫ້ພວກເຂົາຖືກນໍາໄປໃຊ້, ທົດສອບ, ແລະການປະເມີນໂດຍບໍ່ມີຄ່າໃຊ້ຈ່າຍຫຼາຍເກີນໄປ.

ສິ່ງອື່ນທີ່ຫນ້າສົນໃຈທີ່ທ່ານສາມາດອ່ານຢູ່ໃນ blog ໄດ້? Cloud4Y

→ VNIITE ຂອງດາວທັງຫມົດ: ວິທີການ "ເຮືອນ smart" ໄດ້ຖືກ invented ໃນ USSR
→ ການໂຕ້ຕອບທາງ neural ຊ່ວຍມະນຸດແນວໃດ
→ ການປະກັນໄພ Cyber ​​​​ໃນຕະຫຼາດລັດເຊຍ
→ ແສງສະຫວ່າງ, ກ້ອງຖ່າຍຮູບ ... ຟັງ: ຟັງໄດ້ມີການປ່ຽນແປງອຸດສາຫະກໍາຮູບເງົາ
→ ບານ ເຕະ ໃນ ການ ຟັງ - ຄົນ ອັບ ເດດ : ຫຼື ຄວາມ ຈໍາ ເປັນ ?

ຈອງຂອງພວກເຮົາ ໂທລະເລກ-channel, ເພື່ອບໍ່ໃຫ້ພາດບົດຄວາມຕໍ່ໄປ! ພວກເຮົາຂຽນບໍ່ເກີນສອງຄັ້ງຕໍ່ອາທິດແລະພຽງແຕ່ກ່ຽວກັບທຸລະກິດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com