क्लाउड सुरक्षा निगरानी

क्लाउडमा डाटा र एप्लिकेसनहरू सार्नु कर्पोरेट SOCs को लागि नयाँ चुनौती प्रस्तुत गर्दछ, जुन सधैं अन्य व्यक्तिको पूर्वाधार निगरानी गर्न तयार हुँदैनन्। नेटोस्कोपका अनुसार, औसत उद्यम (स्पष्ट रूपमा अमेरिकामा) ले 1246 विभिन्न क्लाउड सेवाहरू प्रयोग गर्दछ, जुन एक वर्ष अघिको तुलनामा 22% बढी हो। 1246 क्लाउड सेवाहरू !!! जसमध्ये १७५ एचआर सेवा, १७० मार्केटिङ, ११० सञ्चार क्षेत्र र ७६ फाइनान्स र सीआरएमसँग सम्बन्धित छन्। Cisco ले "केवल" 175 बाह्य क्लाउड सेवाहरू प्रयोग गर्दछ। त्यसोभए म यी संख्याहरूबाट अलि अलमलमा छु। तर कुनै पनि अवस्थामा, समस्या तिनीहरूसँग होइन, तर तथ्यको साथ कि क्लाउड कम्पनीहरूको बढ्दो संख्याले सक्रिय रूपमा प्रयोग गर्न थालेको छ जुन उनीहरूको आफ्नै नेटवर्कमा क्लाउड पूर्वाधारको निगरानीको लागि समान क्षमताहरू हुन चाहन्छ। र यो प्रवृत्ति बढ्दै गएको छ - अनुसार अमेरिकी चेम्बर अफ अकाउंट्सका अनुसार 2023 सम्म, संयुक्त राज्यमा 1200 डाटा सेन्टरहरू बन्द हुने छन् (6250 पहिले नै बन्द भइसकेका छन्)। तर क्लाउडमा संक्रमण भनेको "हाम्रो सर्भरहरूलाई बाह्य प्रदायकमा सारौं" मात्र होइन। नयाँ IT संरचना, नयाँ सफ्टवेयर, नयाँ प्रक्रियाहरू, नयाँ प्रतिबन्धहरू... यी सबैले IT को काम मात्र होइन, सूचना सुरक्षामा पनि महत्त्वपूर्ण परिवर्तनहरू ल्याउँछ। र यदि प्रदायकहरूले कुनै न कुनै रूपमा क्लाउडको सुरक्षा सुनिश्चित गर्न सिकेका छन् (भाग्यवश त्यहाँ धेरै सिफारिसहरू छन्), तब क्लाउड सूचना सुरक्षा निगरानीको साथ, विशेष गरी SaaS प्लेटफर्महरूमा, त्यहाँ महत्त्वपूर्ण कठिनाइहरू छन्, जसको बारेमा हामी कुरा गर्नेछौं।

मानौं तपाईंको कम्पनीले आफ्नो पूर्वाधारको केही अंश क्लाउडमा सारियो... रोक्नुहोस्। यसरी होइन। यदि पूर्वाधार हस्तान्तरण गरिएको छ, र तपाईं अब यसलाई कसरी निगरानी गर्ने भनेर सोच्दै हुनुहुन्छ, तब तपाईंले पहिले नै गुमाइसक्नु भएको छ। यो अमेजन, गुगल, वा माइक्रोसफ्ट (र त्यसपछि रिजर्भेसनको साथ) नभएसम्म, तपाइँसँग तपाइँको डाटा र अनुप्रयोगहरू निगरानी गर्न धेरै क्षमता हुनेछैन। यदि तपाईंलाई लगहरूसँग काम गर्ने अवसर दिइयो भने यो राम्रो छ। कहिलेकाहीँ सुरक्षा घटना डेटा उपलब्ध हुनेछ, तर तपाईं यसमा पहुँच हुनेछैन। उदाहरणका लागि, Office 365। यदि तपाईंसँग सस्तो E1 इजाजतपत्र छ भने, सुरक्षा घटनाहरू तपाईंका लागि उपलब्ध छैनन्। यदि तपाईंसँग E3 इजाजतपत्र छ भने, तपाईंको डाटा केवल 90 दिनको लागि भण्डारण गरिन्छ, र यदि तपाईंसँग E5 इजाजतपत्र छ भने मात्र, लगहरूको अवधि एक वर्षको लागि उपलब्ध छ (यद्यपि, यसको पनि छुट्टै आवश्यकतासँग सम्बन्धित यसको आफ्नै सूक्ष्मताहरू छन्। Microsoft समर्थनबाट लगहरूसँग काम गर्नका लागि धेरै प्रकार्यहरू अनुरोध गर्नुहोस्)। वैसे, E3 इजाजतपत्र कर्पोरेट एक्सचेन्ज भन्दा निगरानी कार्यहरु को मामला मा धेरै कमजोर छ। समान स्तर हासिल गर्न, तपाईंलाई E5 इजाजतपत्र वा एक अतिरिक्त उन्नत अनुपालन इजाजतपत्र चाहिन्छ, जसलाई क्लाउड पूर्वाधारमा सार्नको लागि तपाईंको वित्तीय मोडेलमा फ्याक्टर नगरिएको अतिरिक्त पैसा चाहिन्छ। र यो क्लाउड सूचना सुरक्षा निगरानी संग सम्बन्धित मुद्दाहरु को कम आकलन को एक उदाहरण हो। यस लेखमा, पूर्ण नभएको बहाना नगरी, म सुरक्षा दृष्टिकोणबाट क्लाउड प्रदायक छनौट गर्दा ध्यानमा राख्नु पर्ने केही सूक्ष्मताहरूमा ध्यान आकर्षित गर्न चाहन्छु। र लेखको अन्त्यमा, क्लाउड सूचना सुरक्षा निगरानीको समस्या समाधान भएको छ भनेर विचार गर्नु अघि पूरा गर्न लायकको चेकलिस्ट दिइनेछ।

त्यहाँ धेरै सामान्य समस्याहरू छन् जसले क्लाउड वातावरणमा घटनाहरू निम्त्याउँछ, जसमा सूचना सुरक्षा सेवाहरूसँग प्रतिक्रिया दिन समय छैन वा तिनीहरूलाई देख्नुहुन्न:

• सुरक्षा लगहरू अवस्थित छैनन्। यो एकदम सामान्य अवस्था हो, विशेष गरी क्लाउड समाधान बजारमा नौसिखिया खेलाडीहरू बीच। तर तपाईंले तिनीहरूलाई तुरुन्तै छोड्नु हुँदैन। साना खेलाडीहरू, विशेष गरी घरेलु खेलाडीहरू, ग्राहक आवश्यकताहरूप्रति बढी संवेदनशील हुन्छन् र उनीहरूले आफ्ना उत्पादनहरूका लागि स्वीकृत रोडम्याप परिवर्तन गरेर केही आवश्यक कार्यहरू द्रुत रूपमा कार्यान्वयन गर्न सक्छन्। हो, यो Amazon बाट GuardDuty को एक एनालग वा Bitrix बाट "प्रोएक्टिभ संरक्षण" मोड्युल हुनेछैन, तर कम्तिमा केहि।
• सूचना सुरक्षालाई थाहा छैन कि लगहरू कहाँ भण्डार गरिएको छ वा त्यहाँ पहुँच छैन। यहाँ क्लाउड सेवा प्रदायकसँग वार्तालापमा प्रवेश गर्न आवश्यक छ - यदि उसले ग्राहकलाई महत्त्वपूर्ण ठान्छ भने उसले यस्तो जानकारी प्रदान गर्नेछ। तर सामान्यतया, लगहरूमा पहुँच "विशेष निर्णयद्वारा" प्रदान गर्दा यो धेरै राम्रो हुँदैन।
• यो पनि हुन्छ कि क्लाउड प्रदायकसँग लगहरू छन्, तर तिनीहरूले सीमित निगरानी र घटना रेकर्डिङ प्रदान गर्छन्, जुन सबै घटनाहरू पत्ता लगाउन पर्याप्त छैनन्। उदाहरणका लागि, तपाईंले वेबसाइटमा भएका परिवर्तनहरूको लगहरू वा प्रयोगकर्ता प्रमाणीकरण प्रयासहरूको लगहरू मात्र प्राप्त गर्न सक्नुहुन्छ, तर अन्य घटनाहरू होइन, जस्तै नेटवर्क ट्राफिक, जसले तपाईंको क्लाउड पूर्वाधार ह्याक गर्ने प्रयासहरूलाई चित्रण गर्ने घटनाहरूको सम्पूर्ण तह लुकाउनेछ।
• त्यहाँ लगहरू छन्, तर तिनीहरूमा पहुँच स्वचालित गर्न गाह्रो छ, जसले तिनीहरूलाई निरन्तर रूपमा होइन, तर तालिकामा अनुगमन गर्न बाध्य पार्छ। र यदि तपाइँ लगहरू स्वचालित रूपमा डाउनलोड गर्न सक्नुहुन्न भने, लगहरू डाउनलोड गर्दा, उदाहरणका लागि, एक्सेल ढाँचामा (जस्तै धेरै घरेलु क्लाउड समाधान प्रदायकहरूको रूपमा), उनीहरूसँग टिंकर गर्न कर्पोरेट सूचना सुरक्षा सेवाको पक्षमा अनिच्छा हुन सक्छ।
• लग अनुगमन छैन। क्लाउड वातावरणमा सूचना सुरक्षा घटनाहरूको घटनाको लागि यो सायद सबैभन्दा अस्पष्ट कारण हो। यस्तो देखिन्छ कि त्यहाँ लगहरू छन्, र तिनीहरूलाई पहुँच स्वचालित गर्न सम्भव छ, तर कसैले यो गर्दैन। किन?

साझा क्लाउड सुरक्षा अवधारणा

क्लाउडमा संक्रमण सधैं पूर्वाधारमा नियन्त्रण कायम राख्ने इच्छा र यसलाई कायम राख्न विशेषज्ञ क्लाउड प्रदायकको थप व्यावसायिक हातहरूमा हस्तान्तरण गर्ने इच्छा बीचको सन्तुलनको खोजी हो। र क्लाउड सुरक्षाको क्षेत्रमा, यो सन्तुलन पनि खोज्नुपर्छ। यसबाहेक, प्रयोग गरिएको क्लाउड सेवा डेलिभरी मोडेल (IaaS, PaaS, SaaS) को आधारमा, यो ब्यालेन्स सधैं फरक हुनेछ। जे भए पनि, हामीले सम्झनु पर्छ कि आज सबै क्लाउड प्रदायकहरूले तथाकथित साझा जिम्मेवारी र साझा सूचना सुरक्षा मोडेलको पालना गर्छन्। क्लाउड केही चीजहरूको लागि जिम्मेवार छ, र अरूको लागि क्लाइन्ट जिम्मेवार छ, क्लाउडमा आफ्नो डेटा, उसको अनुप्रयोगहरू, भर्चुअल मेसिनहरू र अन्य स्रोतहरू राख्ने। क्लाउडमा गएर हामी सबै जिम्मेवारी प्रदायकमा सार्नेछौं भन्ने आशा गर्नु लापरवाह हुनेछ। तर क्लाउडमा सर्दा सबै सुरक्षा आफैं निर्माण गर्नु मूर्खतापूर्ण छ। एक सन्तुलन आवश्यक छ, जुन धेरै कारकहरूमा निर्भर हुनेछ: - जोखिम व्यवस्थापन रणनीति, खतरा मोडेल, क्लाउड प्रदायकलाई उपलब्ध सुरक्षा संयन्त्र, कानून, आदि।

उदाहरणका लागि, क्लाउडमा होस्ट गरिएको डेटाको वर्गीकरण सधैं ग्राहकको जिम्मेवारी हो। क्लाउड प्रदायक वा बाह्य सेवा प्रदायकले क्लाउडमा डाटा चिन्ह लगाउन, उल्लङ्घनहरू पहिचान गर्न, कानून उल्लङ्घन गर्ने डाटा मेटाउन, वा एक वा अर्को विधि प्रयोग गरेर यसलाई मास्क गर्न मद्दत गर्ने उपकरणहरूसँग मात्र मद्दत गर्न सक्छ। अर्कोतर्फ, भौतिक सुरक्षा सधैं क्लाउड प्रदायकको जिम्मेवारी हो, जुन यसले ग्राहकहरूसँग साझेदारी गर्न सक्दैन। तर तथ्याङ्क र भौतिक पूर्वाधार बीचको सबै कुरा यस लेखमा छलफलको विषय हो। उदाहरणका लागि, क्लाउडको उपलब्धता प्रदायकको जिम्मेवारी हो, र फायरवाल नियमहरू सेट अप गर्ने वा इन्क्रिप्सन सक्षम गर्ने जिम्मेवारी ग्राहकको हो। यस लेखमा हामी आज रूसका विभिन्न लोकप्रिय क्लाउड प्रदायकहरूद्वारा उपलब्ध गराइएका सूचना सुरक्षा निगरानी संयन्त्रहरू, तिनीहरूको प्रयोगका विशेषताहरू के हुन्, र बाह्य ओभरले समाधानहरू (उदाहरणका लागि, सिस्को ई- मेल सेक्युरिटी) जसले साइबर सुरक्षाको सन्दर्भमा तपाईको क्लाउडको क्षमताहरू विस्तार गर्दछ। केही अवस्थामा, विशेष गरी यदि तपाइँ बहु-क्लाउड रणनीति अनुसरण गर्दै हुनुहुन्छ भने, तपाइँसँग एकै पटक धेरै क्लाउड वातावरणहरूमा बाह्य जानकारी सुरक्षा निगरानी समाधानहरू प्रयोग गर्न बाहेक अर्को विकल्प छैन (उदाहरणका लागि, Cisco CloudLock वा Cisco Stealthwatch Cloud)। ठिक छ, केहि अवस्थामा तपाईले महसुस गर्नुहुनेछ कि क्लाउड प्रदायक तपाईले रोज्नु भएको छ (वा तपाईलाई लगाइएको) कुनै पनि जानकारी सुरक्षा निगरानी क्षमताहरू प्रस्ताव गर्दैन। यो अप्रिय छ, तर थोरै पनि होइन, किनकि यसले तपाईंलाई यो क्लाउडसँग काम गर्न सम्बन्धित जोखिमको स्तरको पर्याप्त मूल्याङ्कन गर्न अनुमति दिन्छ।

क्लाउड सुरक्षा निगरानी जीवनचक्र

तपाईंले प्रयोग गर्नुहुने क्लाउडहरूको सुरक्षा निगरानी गर्न, तपाईंसँग केवल तीन विकल्पहरू छन्:

• तपाइँको क्लाउड प्रदायक द्वारा प्रदान गरिएको उपकरणहरूमा भर पर्नुहोस्,
• तेस्रो पक्षहरूबाट समाधानहरू प्रयोग गर्नुहोस् जुन तपाईंले प्रयोग गर्नुहुने IaaS, PaaS वा SaaS प्लेटफर्महरू निगरानी गर्नेछ,
• तपाईंको आफ्नै क्लाउड निगरानी पूर्वाधार निर्माण गर्नुहोस् (केवल IaaS/PaaS प्लेटफर्महरूको लागि)।

यी प्रत्येक विकल्पहरूमा के सुविधाहरू छन् हेरौं। तर पहिले, हामीले क्लाउड प्लेटफर्महरू निगरानी गर्दा प्रयोग गरिने सामान्य फ्रेमवर्क बुझ्न आवश्यक छ। म क्लाउडमा सूचना सुरक्षा निगरानी प्रक्रियाको 6 मुख्य घटकहरू हाइलाइट गर्नेछु:

• पूर्वाधारको तयारी। भण्डारणमा सूचना सुरक्षाको लागि महत्त्वपूर्ण घटनाहरू सङ्कलन गर्न आवश्यक अनुप्रयोगहरू र पूर्वाधारहरू निर्धारण गर्दै।
• सङ्कलन। यस चरणमा, सुरक्षा घटनाहरू प्रशोधन, भण्डारण र विश्लेषणको लागि पछिल्लो प्रसारणको लागि विभिन्न स्रोतहरूबाट एकत्रित हुन्छन्।
• उपचार। यस चरणमा, डेटालाई रूपान्तरण गरिन्छ र पछिको विश्लेषणलाई सहज बनाउन समृद्ध हुन्छ।
• भण्डारण। यो कम्पोनेन्ट संकलित प्रशोधित र कच्चा डाटाको छोटो अवधि र दीर्घकालीन भण्डारणको लागि जिम्मेवार छ।
• विश्लेषण। यस चरणमा, तपाईंसँग घटनाहरू पत्ता लगाउने र तिनीहरूलाई स्वचालित वा म्यानुअल रूपमा प्रतिक्रिया दिन सक्ने क्षमता छ।
• रिपोर्टिङ। यस चरणले सरोकारवालाहरू (व्यवस्थापन, लेखा परीक्षकहरू, क्लाउड प्रदायकहरू, ग्राहकहरू, इत्यादि) को लागि मुख्य सूचकहरू तयार गर्न मद्दत गर्दछ जसले हामीलाई निश्चित निर्णयहरू गर्न मद्दत गर्दछ, उदाहरणका लागि, प्रदायक परिवर्तन गर्ने वा सूचना सुरक्षा सुदृढ गर्ने।

यी कम्पोनेन्टहरू बुझ्दा तपाईंलाई भविष्यमा तपाईंले आफ्नो प्रदायकबाट के लिन सक्नुहुन्छ र तपाईंले आफैंले वा बाह्य सल्लाहकारहरूको संलग्नतामा के गर्नुपर्छ भन्ने निर्णय गर्न सक्नुहुन्छ।

निर्मित क्लाउड सेवाहरू

मैले पहिले नै माथि लेखेको छु कि आज धेरै क्लाउड सेवाहरूले कुनै पनि सूचना सुरक्षा निगरानी क्षमताहरू प्रदान गर्दैनन्। सामान्यतया, तिनीहरू सूचना सुरक्षाको विषयमा धेरै ध्यान दिँदैनन्। उदाहरणका लागि, इन्टरनेट मार्फत सरकारी एजेन्सीहरूलाई रिपोर्टहरू पठाउनको लागि लोकप्रिय रूसी सेवाहरू मध्ये एक (म विशेष रूपमा यसको नाम उल्लेख गर्दैन)। यस सेवाको सुरक्षाको बारेमा सम्पूर्ण खण्ड प्रमाणित CIPF को प्रयोगको वरिपरि घुम्छ। इलेक्ट्रोनिक कागजात व्यवस्थापनको लागि अर्को घरेलु क्लाउड सेवाको सूचना सुरक्षा खण्ड फरक छैन। यसले सार्वजनिक कुञ्जी प्रमाणपत्रहरू, प्रमाणित क्रिप्टोग्राफी, वेब कमजोरीहरू हटाउने, DDoS आक्रमणहरू विरुद्ध सुरक्षा, फायरवालहरू, ब्याकअपहरू, र नियमित सूचना सुरक्षा अडिटहरू प्रयोग गर्ने बारे कुरा गर्छ। तर त्यहाँ निगरानी को बारे मा एक शब्द छैन, न त यो सेवा प्रदायक को ग्राहकहरु को लागी रुचि हुन सक्छ कि जानकारी सुरक्षा घटनाहरु को लागी पहुँच प्राप्त गर्ने सम्भावना को बारे मा।

सामान्यतया, क्लाउड प्रदायकले आफ्नो वेबसाइट र यसको कागजातमा जानकारी सुरक्षा समस्याहरू वर्णन गर्ने तरिकाबाट, तपाईंले यो मुद्दालाई कत्तिको गम्भीरतापूर्वक लिन्छ भनेर बुझ्न सक्नुहुन्छ। उदाहरणका लागि, यदि तपाईंले "My Office" उत्पादनहरूका लागि म्यानुअलहरू पढ्नुभयो भने, त्यहाँ सुरक्षाको बारेमा कुनै शब्द छैन, तर अलग उत्पादनको लागि कागजातमा "My Office"। KS3", अनाधिकृत पहुँचबाट जोगाउन डिजाइन गरिएको, त्यहाँ FSTEC को 17 औं क्रमको बिन्दुहरूको सामान्य सूची छ, जुन "My Office.KS3" ले लागू गर्छ, तर यसले यसलाई कसरी लागू गर्छ र सबैभन्दा महत्त्वपूर्ण कुरा, कसरी गर्ने भन्ने वर्णन गरिएको छैन। यी संयन्त्रहरूलाई कर्पोरेट सूचना सुरक्षासँग एकीकृत गर्नुहोस्। सायद त्यस्ता कागजातहरू अवस्थित छन्, तर मैले यसलाई "मेरो कार्यालय" वेबसाइटमा सार्वजनिक डोमेनमा फेला पारेन। यद्यपि मसँग यो गोप्य जानकारीमा पहुँच छैन? ..

Bitrix को लागि, स्थिति धेरै राम्रो छ। कागजातले घटना लगहरूको ढाँचाहरू वर्णन गर्दछ र, चाखलाग्दो रूपमा, घुसपैठ लग, जसमा क्लाउड प्लेटफर्ममा सम्भावित खतराहरूसँग सम्बन्धित घटनाहरू समावेश छन्। त्यहाँबाट तपाईले IP, प्रयोगकर्ता वा अतिथिको नाम, घटना स्रोत, समय, प्रयोगकर्ता एजेन्ट, घटना प्रकार, आदि तान्न सक्नुहुन्छ। साँचो, तपाईले यी घटनाहरूसँग क्लाउडको नियन्त्रण प्यानलबाट काम गर्न सक्नुहुन्छ, वा MS Excel ढाँचामा डेटा अपलोड गर्न सक्नुहुन्छ। अब Bitrix लगहरूसँग काम स्वचालित गर्न गाह्रो छ र तपाईंले केही काम म्यानुअल रूपमा गर्नुपर्नेछ (रिपोर्ट अपलोड गरी तपाईंको SIEM मा लोड गर्ने)। तर यदि हामी सम्झन्छौं कि अपेक्षाकृत हाल सम्म यस्तो अवसर अवस्थित थिएन, तब यो ठूलो प्रगति हो। एकै समयमा, म यो नोट गर्न चाहन्छु कि धेरै विदेशी क्लाउड प्रदायकहरूले "शुरुआतीहरूको लागि" समान प्रकार्यता प्रदान गर्छन् - या त नियन्त्रण प्यानल मार्फत आफ्नो आँखाले लगहरू हेर्नुहोस्, वा आफैंमा डाटा अपलोड गर्नुहोस् (यद्यपि, धेरै जसो डाटा अपलोड गर्नुहोस्। csv ढाँचा, Excel होइन)।

नो-लग विकल्पलाई विचार नगरिकन, क्लाउड प्रदायकहरूले तपाईंलाई सुरक्षा घटनाहरू - ड्यासबोर्डहरू, डाटा अपलोड र API पहुँच अनुगमनका लागि तीनवटा विकल्पहरू प्रस्ताव गर्छन्। पहिलोले तपाईंको लागि धेरै समस्याहरू समाधान गरेको देखिन्छ, तर यो पूर्ण रूपमा सत्य होइन - यदि तपाईंसँग धेरै पत्रिकाहरू छन् भने, तपाईंले तिनीहरूलाई प्रदर्शन गर्ने स्क्रिनहरू बीच स्विच गर्नुपर्नेछ, समग्र तस्वीर गुमाउनु पर्छ। थप रूपमा, क्लाउड प्रदायकले तपाईंलाई सुरक्षा घटनाहरू सहसम्बन्धित गर्ने क्षमता प्रदान गर्ने र सामान्यतया सुरक्षा दृष्टिकोणबाट तिनीहरूलाई विश्लेषण गर्ने सम्भावना छैन (सामान्यतया तपाईं कच्चा डाटासँग व्यवहार गर्दै हुनुहुन्छ, जुन तपाईंले आफैंलाई बुझ्न आवश्यक छ)। त्यहाँ अपवादहरू छन् र हामी तिनीहरूको बारेमा थप कुरा गर्नेछौं। अन्तमा, तपाइँको क्लाउड प्रदायक द्वारा कुन घटनाहरू रेकर्ड गरिएको छ, कुन ढाँचामा, र तिनीहरू तपाइँको सूचना सुरक्षा अनुगमन प्रक्रियासँग कसरी मेल खान्छ भनेर सोध्न लायक छ? उदाहरणका लागि, प्रयोगकर्ता र अतिथिहरूको पहिचान र प्रमाणीकरण। उही Bitrix ले तपाईंलाई अनुमति दिन्छ, यी घटनाहरूको आधारमा, घटनाको मिति र समय रेकर्ड गर्न, प्रयोगकर्ता वा अतिथिको नाम (यदि तपाईंसँग "वेब एनालिटिक्स" मोड्युल छ), पहुँच गरिएको वस्तु र वेबसाइटको लागि विशिष्ट अन्य तत्वहरू। । तर कर्पोरेट सूचना सुरक्षा सेवाहरूलाई प्रयोगकर्ताले विश्वसनीय यन्त्रबाट क्लाउड पहुँच गरेको छ कि छैन भन्ने बारे जानकारी चाहिन्छ (उदाहरणका लागि, कर्पोरेट नेटवर्कमा यो कार्य Cisco ISE द्वारा लागू गरिएको छ)। क्लाउड सेवा प्रयोगकर्ता खाता चोरी भएको छ कि भनेर निर्धारण गर्न मद्दत गर्ने geo-IP प्रकार्य जस्ता साधारण कार्यको बारेमा के हुन्छ? र यदि क्लाउड प्रदायकले तपाईंलाई यो प्रदान गर्दछ भने, यो पर्याप्त छैन। उही Cisco CloudLock ले भौगोलिक स्थान मात्र विश्लेषण गर्दैन, तर यसका लागि मेसिन लर्निङ प्रयोग गर्दछ र प्रत्येक प्रयोगकर्ताको लागि ऐतिहासिक डेटा विश्लेषण गर्दछ र पहिचान र प्रमाणीकरण प्रयासहरूमा विभिन्न विसंगतिहरू निगरानी गर्दछ। केवल MS Azure सँग समान प्रकार्यता छ (यदि तपाईंसँग उपयुक्त सदस्यता छ भने)।

त्यहाँ अर्को कठिनाई छ - किनकि धेरै क्लाउड प्रदायकहरूको लागि सूचना सुरक्षा अनुगमन एउटा नयाँ विषय हो जुन तिनीहरूले भर्खरै सम्झौता गर्न थालेका छन्, तिनीहरू लगातार तिनीहरूको समाधानहरूमा केहि परिवर्तन गर्दैछन्। आज तिनीहरूसँग API को एउटा संस्करण छ, भोलि अर्को, भोलि एक तेस्रो संस्करण। यसका लागि पनि तयार हुनुपर्छ । कार्यक्षमताको साथमा पनि यो सत्य हो, जुन परिवर्तन हुन सक्छ, जुन तपाईंको सूचना सुरक्षा निगरानी प्रणालीमा ध्यानमा राख्नुपर्छ। उदाहरणका लागि, अमेजनसँग सुरुमा छुट्टै क्लाउड घटना निगरानी सेवाहरू थिए — AWS CloudTrail र AWS CloudWatch। त्यसपछि सूचना सुरक्षा घटनाहरूको निगरानीको लागि छुट्टै सेवा देखा पर्यो - AWS GuardDuty। केही समय पछि, Amazon ले एउटा नयाँ व्यवस्थापन प्रणाली, Amazon Security Hub, शुरू गर्‍यो, जसमा GuardDuty, Amazon Inspector, Amazon Macie र अन्य धेरैबाट प्राप्त डाटाको विश्लेषण समावेश छ। अर्को उदाहरण SIEM - AzLog सँग Azure लग एकीकरण उपकरण हो। यो सक्रिय रूपमा धेरै SIEM विक्रेताहरू द्वारा प्रयोग गरिएको थियो, 2018 मा माइक्रोसफ्टले यसको विकास र समर्थन बन्द गर्ने घोषणा नगरेसम्म, जसले समस्याको साथ यो उपकरण प्रयोग गर्ने धेरै ग्राहकहरूको सामना गर्‍यो (हामी यसलाई पछि कसरी समाधान गरियो भनेर कुरा गर्नेछौं)।

त्यसकारण, तपाइँको क्लाउड प्रदायकले तपाइँलाई प्रदान गर्ने सबै निगरानी सुविधाहरू ध्यानपूर्वक निगरानी गर्नुहोस्। वा बाह्य समाधान प्रदायकहरूमा भर पर्नुहोस् जसले तपाईंको SOC र तपाईंले निगरानी गर्न चाहनुभएको क्लाउड बीच मध्यस्थकर्ताको रूपमा काम गर्नेछ। हो, यो धेरै महँगो हुनेछ (यद्यपि सधैं होइन), तर तपाईंले सबै जिम्मेवारी अरू कसैको काँधमा सार्नुहुनेछ। वा यो सबै होइन?... साझा सुरक्षाको अवधारणालाई सम्झौं र बुझौं कि हामी केहि पनि परिवर्तन गर्न सक्दैनौं - हामीले स्वतन्त्र रूपमा बुझ्नुपर्छ कि कसरी विभिन्न क्लाउड प्रदायकहरूले तपाइँको डेटा, अनुप्रयोग, भर्चुअल मेसिन र अन्य स्रोतहरूको सूचना सुरक्षाको निगरानी प्रदान गर्दछ। क्लाउडमा होस्ट गरियो। र हामी यस भागमा अमेजनले के प्रस्ताव गर्दछ भनेर सुरु गर्नेछौं।

उदाहरण: AWS मा आधारित IaaS मा सूचना सुरक्षा निगरानी

हो, हो, म बुझ्छु कि अमेजन यो एक अमेरिकी सेवा हो र यसलाई अतिवाद विरुद्धको लडाई र रूसमा प्रतिबन्धित जानकारीको प्रसारको भागको रूपमा अवरुद्ध गर्न सकिन्छ भन्ने तथ्यको कारणले गर्दा अमेजन उत्तम उदाहरण होइन। तर यस प्रकाशनमा म देखाउन चाहन्छु कि कसरी विभिन्न क्लाउड प्लेटफर्महरू तिनीहरूको सूचना सुरक्षा निगरानी क्षमताहरूमा भिन्न छन् र तपाईंले आफ्नो मुख्य प्रक्रियाहरूलाई सुरक्षा दृष्टिकोणबाट क्लाउडहरूमा स्थानान्तरण गर्दा केमा ध्यान दिनुपर्छ। ठिक छ, यदि क्लाउड समाधानका केही रूसी विकासकर्ताहरूले आफ्नो लागि उपयोगी केहि सिक्छन् भने, त्यो ठूलो हुनेछ।

भन्न को लागी पहिलो कुरा यो हो कि अमेजन एक अभेद्य किल्ला होइन। उनका ग्राहकहरुसँग नियमित रुपमा विभिन्न घटनाहरु भइरहेका छन् । उदाहरणका लागि, डीप रुट एनालिटिक्सबाट १९ करोड ८० लाख मतदाताको नाम, ठेगाना, जन्म मिति र टेलिफोन नम्बर चोरी भएको थियो। इजरायली कम्पनी नाइस सिस्टम्सले भेरिजोन सदस्यहरूको 198 मिलियन रेकर्ड चोरी गरेको छ। यद्यपि, AWS को निर्मित क्षमताहरूले तपाईंलाई घटनाहरूको विस्तृत दायरा पत्ता लगाउन अनुमति दिन्छ। उदाहरणका लागि:

• पूर्वाधारमा प्रभाव (DDoS)
• नोड सम्झौता (कमांड इंजेक्शन)
• खाता सम्झौता र अनाधिकृत पहुँच
• गलत कन्फिगरेसन र कमजोरीहरू
• असुरक्षित इन्टरफेस र API हरू।

यो विसंगति यस तथ्यको कारणले हो कि, हामीले माथि पत्ता लगाएझैं, ग्राहक आफैं ग्राहक डेटाको सुरक्षाको लागि जिम्मेवार छ। र यदि उसले सुरक्षात्मक संयन्त्रहरू खोल्न चिन्ता गरेन र अनुगमन उपकरणहरू खोलेन भने, उसले मिडिया वा आफ्ना ग्राहकहरूबाट मात्र घटनाको बारेमा सिक्नेछ।

घटनाहरू पहिचान गर्न, तपाईंले Amazon द्वारा विकसित विभिन्न निगरानी सेवाहरूको विस्तृत दायरा प्रयोग गर्न सक्नुहुन्छ (यद्यपि यी प्रायः बाह्य उपकरणहरू जस्तै osquery द्वारा पूरक हुन्छन्)। त्यसोभए, AWS मा, सबै प्रयोगकर्ता कार्यहरू अनुगमन गरिन्छ, तिनीहरू कसरी सञ्चालन गरिन्छ - व्यवस्थापन कन्सोल, कमाण्ड लाइन, SDK वा अन्य AWS सेवाहरू मार्फत। प्रत्येक AWS खाताको गतिविधिका सबै रेकर्डहरू (प्रयोगकर्ता नाम, कार्य, सेवा, गतिविधि प्यारामिटरहरू, र परिणामहरू सहित) र API प्रयोग AWS CloudTrail मार्फत उपलब्ध छन्। तपाईंले CloudTrail कन्सोलबाट यी घटनाहरू (जस्तै AWS IAM कन्सोल लगइनहरू) हेर्न सक्नुहुन्छ, Amazon Athena प्रयोग गरेर विश्लेषण गर्न सक्नुहुन्छ, वा Splunk, AlienVault, आदि जस्ता बाह्य समाधानहरूमा "आउटसोर्स" गर्न सक्नुहुन्छ। AWS CloudTrail लगहरू आफैंलाई तपाइँको AWS S3 बाल्टीमा राखिएको छ।

दुई अन्य AWS सेवाहरूले अन्य महत्त्वपूर्ण निगरानी क्षमताहरू प्रदान गर्दछ। पहिलो, Amazon CloudWatch AWS स्रोतहरू र अनुप्रयोगहरूको लागि एक निगरानी सेवा हो जुन, अन्य चीजहरू बीच, तपाईंलाई आफ्नो क्लाउडमा विभिन्न विसंगतिहरू पहिचान गर्न अनुमति दिन्छ। सबै निर्मित AWS सेवाहरू, जस्तै Amazon Elastic Compute Cloud (सर्भरहरू), Amazon Relational Database Service (databases), Amazon Elastic MapReduce (डेटा विश्लेषण), र 30 अन्य Amazon सेवाहरू, Amazon CloudWatch प्रयोग गर्छन् तिनीहरूको लगहरू भण्डारण गर्न। विकासकर्ताहरूले अनुकूलन अनुप्रयोगहरू र सेवाहरूमा लग निगरानी कार्यक्षमता थप्न Amazon CloudWatch बाट खुला API प्रयोग गर्न सक्छन्, तिनीहरूलाई सुरक्षा सन्दर्भ भित्र घटना विश्लेषणको दायरा विस्तार गर्न अनुमति दिँदै।

दोस्रो, VPC फ्लो लग सेवाले तपाइँलाई तपाइँको AWS सर्भरहरू (बाह्य वा आन्तरिक) द्वारा पठाइएको वा प्राप्त गरेको नेटवर्क ट्राफिक विश्लेषण गर्न अनुमति दिन्छ, साथै माइक्रो सेवाहरू बीच। जब तपाइँको कुनै पनि AWS VPC स्रोतहरू नेटवर्कसँग अन्तर्क्रिया गर्दछ, VPC प्रवाह लगहरूले नेटवर्क ट्राफिकको बारेमा विवरणहरू रेकर्ड गर्दछ, स्रोत र गन्तव्य नेटवर्क इन्टरफेस सहित, साथै IP ठेगानाहरू, पोर्टहरू, प्रोटोकल, बाइटहरूको संख्या, र प्याकेटहरूको संख्या। देखियो। स्थानीय सञ्जाल सुरक्षाको साथ अनुभव भएकाहरूले यसलाई थ्रेडहरूसँग समान रूपमा पहिचान गर्नेछन् नेटफ्लो, जुन स्विचहरू, राउटरहरू र इन्टरप्राइज-ग्रेड फायरवालहरूद्वारा सिर्जना गर्न सकिन्छ। यी लगहरू सूचना सुरक्षा निगरानी उद्देश्यका लागि महत्त्वपूर्ण छन् किनभने, प्रयोगकर्ताहरू र अनुप्रयोगहरूको कार्यहरूका बारेमा घटनाहरू विपरीत, तिनीहरूले तपाईंलाई AWS भर्चुअल निजी क्लाउड वातावरणमा नेटवर्क अन्तरक्रियाहरू नछुटाउन पनि अनुमति दिन्छ।

संक्षेपमा, यी तीन AWS सेवाहरू - AWS CloudTrail, Amazon CloudWatch, र VPC फ्लो लगहरू - सँगसँगै तपाईंको खाता प्रयोग, प्रयोगकर्ता व्यवहार, पूर्वाधार व्यवस्थापन, अनुप्रयोग र सेवा गतिविधि, र नेटवर्क गतिविधिमा पर्याप्त शक्तिशाली अन्तरदृष्टि प्रदान गर्दछ। उदाहरणका लागि, तिनीहरू निम्न विसंगतिहरू पत्ता लगाउन प्रयोग गर्न सकिन्छ:

• साइट स्क्यान गर्ने प्रयासहरू, ब्याकडोरहरू खोज्नुहोस्, "404 त्रुटिहरू" को फटहरू मार्फत कमजोरीहरू खोज्नुहोस्।
• "500 त्रुटिहरू" को फट मार्फत इंजेक्शन आक्रमणहरू (उदाहरणका लागि, SQL इंजेक्शन)।
• ज्ञात आक्रमण उपकरणहरू sqlmap, nikto, w3af, nmap, आदि हुन्। प्रयोगकर्ता एजेन्ट क्षेत्र को विश्लेषण मार्फत।

Amazon Web Services ले साइबर सुरक्षा उद्देश्यका लागि अन्य सेवाहरू पनि विकास गरेको छ जसले तपाईंलाई अन्य धेरै समस्याहरू समाधान गर्न अनुमति दिन्छ। उदाहरणका लागि, AWS सँग अडिटिङ नीतिहरू र कन्फिगरेसनहरूको लागि निर्मित सेवा छ - AWS कन्फिगरेसन। यो सेवाले तपाईंको AWS स्रोतहरू र तिनीहरूको कन्फिगरेसनहरूको निरन्तर अडिटिङ प्रदान गर्दछ। एक साधारण उदाहरण लिनुहोस्: मानौं कि तपाइँ तपाइँको सबै सर्भरहरूमा प्रयोगकर्ता पासवर्डहरू असक्षम गरिएको छ भनेर सुनिश्चित गर्न चाहनुहुन्छ र त्यो पहुँच प्रमाणपत्रहरूमा आधारित मात्र सम्भव छ। AWS कन्फिगले तपाइँका सबै सर्भरहरूको लागि यो जाँच गर्न सजिलो बनाउँछ। त्यहाँ अन्य नीतिहरू छन् जुन तपाइँको क्लाउड सर्भरहरूमा लागू गर्न सकिन्छ: "कुनै सर्भरले पोर्ट 22 प्रयोग गर्न सक्दैन", "प्रशासकहरूले मात्र फायरवाल नियमहरू परिवर्तन गर्न सक्छन्" वा "केवल प्रयोगकर्ता इभास्कोले नयाँ प्रयोगकर्ता खाताहरू सिर्जना गर्न सक्छन्, र उसले यो मंगलबार मात्र गर्न सक्छ। " 2016 को गर्मीमा, AWS कन्फिग सेवालाई विकसित नीतिहरूको उल्लङ्घनहरू पत्ता लगाउन स्वचालित रूपमा विस्तार गरिएको थियो। AWS कन्फिगरेसन नियमहरू अनिवार्य रूपमा तपाईले प्रयोग गर्नुहुने Amazon सेवाहरूको लागि निरन्तर कन्फिगरेसन अनुरोधहरू हुन्, जसले सम्बन्धित नीतिहरू उल्लङ्घन भएमा घटनाहरू उत्पन्न गर्दछ। उदाहरणका लागि, भर्चुअल सर्भरमा सबै डिस्कहरू इन्क्रिप्टेड छन् भनी प्रमाणित गर्न आवधिक रूपमा AWS कन्फिग क्वेरीहरू चलाउनुको सट्टा, AWS कन्फिग नियमहरू यो अवस्था पूरा भएको सुनिश्चित गर्न सर्भर डिस्कहरू निरन्तर जाँच गर्न प्रयोग गर्न सकिन्छ। र, सबैभन्दा महत्त्वपूर्ण कुरा, यस प्रकाशनको सन्दर्भमा, कुनै पनि उल्लङ्घनहरूले घटनाहरू उत्पन्न गर्दछ जुन तपाईंको सूचना सुरक्षा सेवाद्वारा विश्लेषण गर्न सकिन्छ।

AWS सँग पनि परम्परागत कर्पोरेट सूचना सुरक्षा समाधानहरूको बराबर छ, जसले सुरक्षा घटनाहरू उत्पन्न गर्दछ जुन तपाईंले विश्लेषण गर्न सक्नुहुन्छ र गर्नुपर्छ:

• घुसपैठ पत्ता लगाउने - AWS GuardDuty
• सूचना चुहावट नियन्त्रण - AWS Macie
• EDR (यद्यपि यसले क्लाउडमा अन्तिम बिन्दुहरूको बारेमा अलि अनौठो रूपमा कुरा गर्छ) - AWS Cloudwatch + खुला स्रोत ओस्क्वेरी वा GRR समाधानहरू
• नेटफ्लो विश्लेषण - AWS Cloudwatch + AWS VPC प्रवाह
• DNS विश्लेषण - AWS Cloudwatch + AWS Route53
• AD - AWS निर्देशिका सेवा
• खाता व्यवस्थापन - AWS IAM
• SSO - AWS SSO
• सुरक्षा विश्लेषण - AWS निरीक्षक
• कन्फिगरेसन व्यवस्थापन - AWS कन्फिगरेसन
• WAF - AWS WAF।

सूचना सुरक्षाको सन्दर्भमा उपयोगी हुनसक्ने सबै अमेजन सेवाहरू म विस्तृत रूपमा वर्णन गर्ने छैन। मुख्य कुरा यो बुझ्नु हो कि ती सबैले घटनाहरू उत्पन्न गर्न सक्दछन् जुन हामीले सूचना सुरक्षाको सन्दर्भमा विश्लेषण गर्न सक्छौं, यस उद्देश्यका लागि Amazon आफैं र बाह्य समाधानहरू दुबै निर्मित क्षमताहरू प्रयोग गरेर, उदाहरणका लागि, SIEM, जसले गर्न सक्छ। सुरक्षा घटनाहरूलाई तपाईंको निगरानी केन्द्रमा लैजानुहोस् र अन्य क्लाउड सेवाहरू वा आन्तरिक पूर्वाधार, परिधि वा मोबाइल उपकरणहरूबाट घटनाहरूसँगै त्यहाँ विश्लेषण गर्नुहोस्।

कुनै पनि अवस्थामा, यो सबै डाटा स्रोतहरूसँग सुरु हुन्छ जसले तपाईंलाई जानकारी सुरक्षा घटनाहरू प्रदान गर्दछ। यी स्रोतहरू समावेश छन्, तर सीमित छैनन्:

• CloudTrail - API प्रयोग र प्रयोगकर्ता कार्यहरू
• विश्वसनीय सल्लाहकार - उत्तम अभ्यासहरू विरुद्ध सुरक्षा जाँच
• कन्फिग - सूची र खाता र सेवा सेटिङहरूको कन्फिगरेसन
• VPC फ्लो लगहरू - भर्चुअल इन्टरफेसहरूमा जडानहरू
• IAM - पहिचान र प्रमाणीकरण सेवा
• ELB पहुँच लगहरू - लोड ब्यालेन्सर
• निरीक्षक - आवेदन कमजोरीहरू
• S3 - फाइल भण्डारण
• CloudWatch - अनुप्रयोग गतिविधि
• SNS एक सूचना सेवा हो।

Amazon, उनीहरूको पुस्ताको लागि घटना स्रोत र उपकरणहरूको यस्तो दायरा प्रस्ताव गर्दा, सूचना सुरक्षाको सन्दर्भमा सङ्कलन डाटा विश्लेषण गर्ने क्षमतामा धेरै सीमित छ। तपाईंले उपलब्ध लगहरू स्वतन्त्र रूपमा अध्ययन गर्नुपर्नेछ, तिनीहरूमा सम्झौताका सान्दर्भिक संकेतकहरू खोज्दै। AWS सुरक्षा हब, जुन Amazon ले भर्खरै सुरु गर्यो, AWS को लागि क्लाउड SIEM बनेर यो समस्या समाधान गर्ने लक्ष्य राखेको छ। तर अहिलेसम्म यो केवल आफ्नो यात्राको शुरुवातमा छ र यसले काम गर्ने स्रोतहरूको संख्या र वास्तुकला र Amazon को सदस्यता द्वारा स्थापित अन्य प्रतिबन्धहरू द्वारा सीमित छ।

उदाहरण: Azure मा आधारित IaaS मा सूचना सुरक्षा निगरानी

म तीन क्लाउड प्रदायकहरू (अमेजन, माइक्रोसफ्ट वा गुगल) मध्ये कुन राम्रो छ भन्ने बारे लामो बहसमा जान चाहन्न (विशेष गरी तिनीहरूमध्ये प्रत्येकको अझै पनि आफ्नै विशिष्ट विशिष्टताहरू छन् र आफ्नै समस्याहरू समाधान गर्न उपयुक्त छ); यी खेलाडीहरूले प्रदान गर्ने सूचना सुरक्षा निगरानी क्षमताहरूमा ध्यान केन्द्रित गरौं। यो स्वीकार गर्नै पर्छ कि Amazon AWS यस खण्डमा पहिलो मध्ये एक थियो र त्यसैले यसको सूचना सुरक्षा प्रकार्यहरूको सन्दर्भमा सबैभन्दा टाढाको उन्नत भएको छ (यद्यपि धेरैले स्वीकार्छन् कि तिनीहरू प्रयोग गर्न गाह्रो छन्)। तर यसको मतलब यो होइन कि हामीले Microsoft र Google ले हामीलाई प्रदान गर्ने अवसरहरूलाई बेवास्ता गर्नेछौं।

माइक्रोसफ्ट उत्पादनहरू सधैं तिनीहरूको "खुलापन" द्वारा प्रतिष्ठित छन् र Azure मा स्थिति समान छ। उदाहरणका लागि, यदि AWS र GCP सधैं "के अनुमति छैन निषेधित छ" को अवधारणाबाट अगाडि बढ्छ भने, Azure सँग ठीक उल्टो दृष्टिकोण छ। उदाहरणका लागि, क्लाउडमा भर्चुअल नेटवर्क र यसमा भर्चुअल मेसिन सिर्जना गर्दा, सबै पोर्टहरू र प्रोटोकलहरू पूर्वनिर्धारित रूपमा खुला र अनुमति दिइन्छ। तसर्थ, तपाईंले Microsoft बाट क्लाउडमा पहुँच नियन्त्रण प्रणालीको प्रारम्भिक सेटअपमा अलि बढी प्रयास खर्च गर्नुपर्नेछ। र यसले Azure क्लाउडमा निगरानी गतिविधिको सन्दर्भमा तपाईलाई थप कडा आवश्यकताहरू पनि लगाउँछ।

AWS सँग यस तथ्यसँग सम्बन्धित एक विशेषता छ कि जब तपाइँ तपाइँको भर्चुअल स्रोतहरू निगरानी गर्नुहुन्छ, यदि तिनीहरू विभिन्न क्षेत्रहरूमा अवस्थित छन् भने, तपाइँलाई सबै घटनाहरू र तिनीहरूको एकीकृत विश्लेषण संयोजन गर्न कठिनाइहरू छन्, जसलाई हटाउनको लागि तपाइँले विभिन्न चालहरू प्रयोग गर्न आवश्यक छ, जस्तै। AWS Lambda को लागी तपाईको आफ्नै कोड बनाउनुहोस् जसले क्षेत्रहरू बीच घटनाहरू ढुवानी गर्नेछ। Azure सँग यो समस्या छैन - यसको गतिविधि लग मेकानिजमले सम्पूर्ण संगठनमा कुनै प्रतिबन्ध बिना सबै गतिविधिहरू ट्र्याक गर्दछ। उही AWS सुरक्षा हबमा लागू हुन्छ, जुन हालै अमेजन द्वारा एकल सुरक्षा केन्द्र भित्र धेरै सुरक्षा प्रकार्यहरू समेकित गर्न विकसित गरिएको थियो, तर यसको क्षेत्र भित्र मात्र, जुन रूसको लागि सान्दर्भिक छैन। Azure को आफ्नै सुरक्षा केन्द्र छ, जो क्षेत्रीय प्रतिबन्धहरु द्वारा बाध्य छैन, क्लाउड प्लेटफर्म को सबै सुरक्षा सुविधाहरू पहुँच प्रदान गर्दै। यसबाहेक, विभिन्न स्थानीय टोलीहरूको लागि यसले तिनीहरूद्वारा व्यवस्थित सुरक्षा घटनाहरू सहित आफ्नै सुरक्षात्मक क्षमताहरूको सेट प्रदान गर्न सक्छ। AWS सुरक्षा हब अझै पनि Azure सुरक्षा केन्द्र जस्तै बन्ने बाटोमा छ। तर यो मलममा फ्लाई थप्न लायक छ - तपाईले Azure बाट धेरै निचोर्न सक्नुहुन्छ जुन पहिले AWS मा वर्णन गरिएको थियो, तर यो सबैभन्दा सुविधाजनक रूपमा Azure AD, Azure Monitor र Azure सुरक्षा केन्द्रको लागि मात्र गरिन्छ। सुरक्षा घटना विश्लेषण सहित अन्य सबै Azure सुरक्षा संयन्त्रहरू, अझै पनि सबैभन्दा सुविधाजनक तरिकामा व्यवस्थित गरिएको छैन। समस्या आंशिक रूपमा API द्वारा हल गरिएको छ, जसले सबै Microsoft Azure सेवाहरू पार गर्दछ, तर यसले तपाईंको क्लाउडलाई तपाईंको SOC र योग्य विशेषज्ञहरूको उपस्थिति (वास्तवमा, क्लाउडसँग काम गर्ने कुनै पनि अन्य SIEM सँग जस्तै) सँग जोड्न थप प्रयासको आवश्यकता पर्दछ। APIs)। केही SIEMs, जुन पछि छलफल गरिनेछ, पहिले नै Azure लाई समर्थन गर्दछ र यसलाई निगरानी गर्ने कार्यलाई स्वचालित गर्न सक्छ, तर यसको आफ्नै कठिनाइहरू पनि छन् - ती सबैले Azure सँग भएका सबै लगहरू सङ्कलन गर्न सक्दैनन्।

Azure मा घटना सङ्कलन र अनुगमन Azure मनिटर सेवा प्रयोग गरी प्रदान गरिएको छ, जुन Microsoft क्लाउड र यसका स्रोतहरू - Git भण्डारहरू, कन्टेनरहरू, भर्चुअल मेसिनहरू, अनुप्रयोगहरू, इत्यादिमा डेटा सङ्कलन, भण्डारण र विश्लेषण गर्ने मुख्य उपकरण हो। Azure Monitor द्वारा सङ्कलन गरिएका सबै डेटालाई दुई कोटीहरूमा विभाजन गरिएको छ - मेट्रिक्स, वास्तविक समयमा सङ्कलन गरिएको र Azure क्लाउडको मुख्य कार्यसम्पादन सूचकहरू र लगहरू, Azure स्रोतहरू र सेवाहरूको गतिविधिका केही पक्षहरूलाई चित्रण गर्ने रेकर्डहरूमा संगठित डेटा समावेश गर्ने। थप रूपमा, डाटा कलेक्टर एपीआई प्रयोग गरेर, Azure मनिटर सेवाले कुनै पनि REST स्रोतबाट डेटा सङ्कलन गर्न सक्छ आफ्नै निगरानी परिदृश्यहरू निर्माण गर्न।

यहाँ केहि सुरक्षा घटना स्रोतहरू छन् जुन Azure ले तपाईंलाई प्रदान गर्दछ र तपाईं Azure पोर्टल, CLI, PowerShell, वा REST API मार्फत पहुँच गर्न सक्नुहुन्छ (र केहि Azure Monitor/Insight API मार्फत मात्र):

• गतिविधि लगहरू - यो लगले क्लाउड स्रोतहरूमा कुनै पनि लेखन कार्य (PUT, POST, DELETE) को सम्बन्धमा "कसले," "के," र "कहिले" को क्लासिक प्रश्नहरूको जवाफ दिन्छ। पढ्न पहुँच (GET) सँग सम्बन्धित घटनाहरू अन्य धेरैजस्तै यस लगमा समावेश गरिएका छैनन्।
• डायग्नोस्टिक लगहरू - तपाईंको सदस्यतामा समावेश गरिएको विशेष स्रोतको साथ सञ्चालनहरूमा डेटा समावेश गर्दछ।
• Azure AD रिपोर्टिङ - प्रयोगकर्ता गतिविधि र समूह र प्रयोगकर्ता व्यवस्थापन सम्बन्धित प्रणाली गतिविधि दुवै समावेश गर्दछ।
• Windows घटना लग र Linux Syslog - क्लाउडमा होस्ट गरिएका भर्चुअल मेसिनहरूबाट घटनाहरू समावेश गर्दछ।
• मेट्रिक्स - तपाईंको क्लाउड सेवाहरू र स्रोतहरूको प्रदर्शन र स्वास्थ्य स्थिति बारे टेलिमेट्री समावेश गर्दछ। प्रत्येक मिनेट मापन र भण्डारण। 30 दिन भित्र।
• नेटवर्क सुरक्षा समूह प्रवाह लगहरू - नेटवर्क सुरक्षा घटनाहरूमा नेटवर्क वाचर सेवा र नेटवर्क स्तरमा संसाधन निगरानी प्रयोग गरेर सङ्कलन गरिएको डेटा समावेश गर्दछ।
• भण्डारण लगहरू - भण्डारण सुविधाहरूमा पहुँचसँग सम्बन्धित घटनाहरू समावेश गर्दछ।

निगरानीको लागि, तपाइँ बाह्य SIEMs वा निर्मित Azure मनिटर र यसको विस्तारहरू प्रयोग गर्न सक्नुहुन्छ। हामी सूचना सुरक्षा घटना व्यवस्थापन प्रणालीहरूको बारेमा पछि कुरा गर्नेछौं, तर अहिलेको लागि Azure ले हामीलाई सुरक्षाको सन्दर्भमा डेटा विश्लेषणको लागि के प्रस्ताव गर्दछ हेरौं। Azure मोनिटरमा सुरक्षा-सम्बन्धित सबै चीजहरूको लागि मुख्य स्क्रिन लग एनालिटिक्स सुरक्षा र अडिट ड्यासबोर्ड हो (नि:शुल्क संस्करणले एक हप्ताको लागि सीमित मात्रामा घटना भण्डारणलाई समर्थन गर्दछ)। यो ड्यासबोर्डलाई 5 मुख्य क्षेत्रहरूमा विभाजित गरिएको छ जुन तपाईंले प्रयोग गरिरहनुभएको क्लाउड वातावरणमा के भइरहेको छ भन्ने सारांश तथ्याङ्कहरू कल्पना गर्दछ:

• सुरक्षा डोमेनहरू - सूचना सुरक्षासँग सम्बन्धित मुख्य मात्रात्मक सूचकहरू - घटनाहरूको संख्या, सम्झौता नोडहरूको संख्या, अनप्याच नोडहरू, नेटवर्क सुरक्षा घटनाहरू, आदि।
• उल्लेखनीय मुद्दाहरू - सक्रिय जानकारी सुरक्षा मुद्दाहरूको संख्या र महत्त्व प्रदर्शन गर्दछ
• पत्ता लगाउने - तपाईं विरुद्ध प्रयोग गरिएका आक्रमणहरूको ढाँचाहरू प्रदर्शन गर्दछ
• थ्रेट इन्टेलिजेन्स - बाह्य नोडहरूमा भौगोलिक जानकारी प्रदर्शित गर्दछ जुन तपाइँलाई आक्रमण गर्दैछ
• सामान्य सुरक्षा प्रश्नहरू - सामान्य प्रश्नहरू जसले तपाईंलाई आफ्नो जानकारी सुरक्षालाई राम्रोसँग निगरानी गर्न मद्दत गर्नेछ।

Azure मनिटर विस्तारहरूमा Azure Key Vault (क्लाउडमा क्रिप्टोग्राफिक कुञ्जीहरूको सुरक्षा), मालवेयर मूल्याङ्कन (भर्चुअल मेसिनहरूमा मालिसियस कोड विरुद्ध सुरक्षाको विश्लेषण), Azure अनुप्रयोग गेटवे एनालिटिक्स (विश्लेषण, अन्य चीजहरू बीच, क्लाउड फायरवाल लगहरू), आदि समावेश छन्। । यी उपकरणहरू, घटनाहरू प्रशोधनका लागि निश्चित नियमहरूसँग समृद्ध, तपाईंलाई क्लाउड सेवाहरूको गतिविधिका विभिन्न पक्षहरू, सुरक्षा सहित, र सञ्चालनबाट केही विचलनहरू पहिचान गर्न अनुमति दिन्छ। तर, प्राय जसो हुन्छ, कुनै पनि अतिरिक्त कार्यक्षमतालाई सम्बन्धित सशुल्क सदस्यता चाहिन्छ, जसको लागि तपाईंबाट सम्बन्धित वित्तीय लगानीहरू आवश्यक पर्दछ, जुन तपाईंले अग्रिम योजना बनाउनुपर्छ।

Azure सँग धेरै बिल्ट-इन खतरा निगरानी क्षमताहरू छन् जुन Azure AD, Azure Monitor, र Azure सुरक्षा केन्द्रमा एकीकृत छन्। तिनीहरूमध्ये, उदाहरणका लागि, ज्ञात मालिसियस आईपीहरूसँग भर्चुअल मेसिनहरूको अन्तरक्रिया पत्ता लगाउने (माइक्रोसफ्टबाट थ्रेट इन्टेलिजेन्स सेवाहरूसँग एकीकरणको उपस्थितिको कारण), क्लाउडमा होस्ट गरिएका भर्चुअल मेसिनहरूबाट अलार्महरू प्राप्त गरेर क्लाउड पूर्वाधारमा मालवेयर पत्ता लगाउने, पासवर्ड। अनुमान लगाउने हमलाहरू "भर्चुअल मेसिनहरूमा, प्रयोगकर्ता पहिचान प्रणालीको कन्फिगरेसनमा कमजोरीहरू, अज्ञात वा संक्रमित नोडहरूबाट प्रणालीमा लग इन गर्ने, खाता चुहावट, असामान्य स्थानहरूबाट प्रणालीमा लग इन गर्ने, आदि। Azure आज केहि क्लाउड प्रदायकहरू मध्ये एक हो जसले तपाईंलाई संकलित जानकारी सुरक्षा घटनाहरूलाई समृद्ध बनाउन निर्मित थ्रेट इन्टेलिजेन्स क्षमताहरू प्रदान गर्दछ।

माथि उल्लेख गरिए अनुसार, सुरक्षा कार्यक्षमता र यसको परिणाम स्वरूप, यसले उत्पन्न गरेको सुरक्षा घटनाहरू सबै प्रयोगकर्ताहरूलाई समान रूपमा उपलब्ध हुँदैन, तर तपाईंलाई आवश्यक कार्यक्षमता समावेश गर्ने निश्चित सदस्यता चाहिन्छ, जसले सूचना सुरक्षा निगरानीको लागि उपयुक्त घटनाहरू उत्पन्न गर्दछ। उदाहरणका लागि, खाताहरूमा विसंगतिहरू निगरानी गर्नको लागि अघिल्लो अनुच्छेदमा वर्णन गरिएका केही कार्यहरू Azure AD सेवाको लागि P2 प्रिमियम इजाजतपत्रमा मात्र उपलब्ध छन्। यो बिना, तपाईंले, AWS को मामलामा जस्तै, सङ्कलन गरिएका सुरक्षा घटनाहरू "म्यानुअल रूपमा" विश्लेषण गर्नुपर्नेछ। र, पनि, Azure AD लाइसेन्सको प्रकारमा निर्भर गर्दै, सबै घटनाहरू विश्लेषणको लागि उपलब्ध हुनेछैनन्।

Azure पोर्टलमा, तपाइँ तपाइँको रुचि को लग को लागी खोज प्रश्नहरु को व्यवस्थापन गर्न र प्रमुख जानकारी सुरक्षा सूचकहरु को कल्पना गर्न ड्यासबोर्ड सेट अप गर्न सक्नुहुन्छ। थप रूपमा, त्यहाँ तपाईं Azure मोनिटर विस्तारहरू चयन गर्न सक्नुहुन्छ, जसले तपाईंलाई Azure मनिटर लगहरूको कार्यक्षमता विस्तार गर्न र सुरक्षा दृष्टिकोणबाट घटनाहरूको गहिरो विश्लेषण प्राप्त गर्न अनुमति दिन्छ।

यदि तपाइँलाई लगहरूसँग काम गर्ने क्षमता मात्र होइन, तर तपाइँको Azure क्लाउड प्लेटफर्मको लागि सूचना सुरक्षा नीति व्यवस्थापन सहित एक व्यापक सुरक्षा केन्द्र चाहिन्छ भने, तपाइँ Azure सुरक्षा केन्द्रसँग काम गर्ने आवश्यकताको बारेमा कुरा गर्न सक्नुहुन्छ, जसका धेरै उपयोगी कार्यहरू। केही पैसाको लागि उपलब्ध छन्, उदाहरणका लागि, खतरा पत्ता लगाउने, Azure बाहिर निगरानी, ​​अनुपालन मूल्याङ्कन, आदि। (नि:शुल्क संस्करणमा, तपाइँसँग केवल सुरक्षा मूल्याङ्कन र पहिचान गरिएका समस्याहरू हटाउनका लागि सिफारिसहरूमा पहुँच छ)। यसले सबै सुरक्षा मुद्दाहरूलाई एकै ठाउँमा समेट्छ। वास्तवमा, हामी Azure मोनिटरले तपाईंलाई प्रदान गर्ने भन्दा उच्च स्तरको सूचना सुरक्षाको बारेमा कुरा गर्न सक्छौं, किनकि यस अवस्थामा तपाईंको क्लाउड फ्याक्ट्री भरि सङ्कलन गरिएको डाटा Azure, Office 365, Microsoft CRM अनलाइन, Microsoft Dynamics AX जस्ता धेरै स्रोतहरू प्रयोग गरेर समृद्ध हुन्छ। , outlook .com, MSN.com, Microsoft डिजिटल अपराध इकाई (DCU) र Microsoft सुरक्षा प्रतिक्रिया केन्द्र (MSRC), जसमा विभिन्न परिष्कृत मेसिन लर्निङ र व्यवहार विश्लेषण एल्गोरिदमहरू सुपरइम्पोज गरिएका छन्, जसले अन्ततः खतराहरू पत्ता लगाउने र प्रतिक्रिया दिने क्षमतामा सुधार गर्नुपर्छ। ।

Azure को पनि आफ्नै SIEM छ - यो 2019 को सुरुमा देखा पर्‍यो। यो Azure Sentinel हो, जुन Azure Monitor बाट डाटामा भर पर्छ र यसमा एकीकृत हुन सक्छ। बाह्य सुरक्षा समाधानहरू (उदाहरणका लागि, NGFW वा WAF), जसको सूची निरन्तर बढिरहेको छ। थप रूपमा, Microsoft ग्राफ सेक्युरिटी API को एकीकरण मार्फत, तपाइँसँग तपाइँको आफ्नै थ्रेट इन्टेलिजेन्स फिडहरू सेन्टिनेलमा जडान गर्ने क्षमता छ, जसले तपाइँको Azure क्लाउडमा घटनाहरूको विश्लेषण गर्ने क्षमताहरूलाई समृद्ध बनाउँछ। यो तर्क गर्न सकिन्छ कि Azure Sentinel पहिलो "नेटिभ" SIEM हो जुन क्लाउड प्रदायकहरूबाट देखा पर्‍यो (उस्तै Splunk वा ELK, जुन क्लाउडमा होस्ट गर्न सकिन्छ, उदाहरणका लागि, AWS, अझै पनि परम्परागत क्लाउड सेवा प्रदायकहरूद्वारा विकसित गरिएको छैन)। Azure Sentinel र सुरक्षा केन्द्रलाई Azure क्लाउडको लागि SOC भनिन्छ र यदि तपाईंसँग अब कुनै पूर्वाधार छैन र तपाईंले आफ्नो सबै कम्प्युटिङ स्रोतहरू क्लाउडमा स्थानान्तरण गर्नुभयो र यो Microsoft क्लाउड Azure हुनेछ भने तिनीहरूमा सीमित हुन सक्छ (केही आरक्षणहरू सहित)।

तर Azure को बिल्ट-इन क्षमताहरू (तपाईंसँग सेन्टिनेलको सदस्यता छ भने पनि) सूचना सुरक्षा निगरानी र यस प्रक्रियालाई सुरक्षा घटनाहरूको अन्य स्रोतहरू (दुवै क्लाउड र आन्तरिक) संग एकीकृत गर्ने उद्देश्यका लागि प्रायः पर्याप्त हुँदैन, त्यहाँ एक छ। सङ्कलन गरिएको डाटा बाह्य प्रणालीहरूमा निर्यात गर्न आवश्यक छ, जसमा SIEM समावेश हुन सक्छ। यो दुबै API प्रयोग गरेर र विशेष विस्तारहरू प्रयोग गरी गरिन्छ, जुन हाल आधिकारिक रूपमा निम्न SIEM हरूका लागि मात्र उपलब्ध छ - Splunk (Azure Monitor Add-on for Splunk), IBM QRadar (Microsoft Azure DSM), SumoLogic, ArcSight र ELK। हाल सम्म, त्यहाँ धेरै SIEM हरू थिए, तर जुन 1, 2019 बाट, Microsoft ले Azure Log Integration Tool (AzLog) लाई समर्थन गर्न बन्द गर्‍यो, जुन Azure को अस्तित्वको सुरुवातमा र लगहरूसँग काम गर्ने सामान्य मानकीकरणको अभावमा (Azure) मोनिटर अझै अवस्थित थिएन) यसलाई माइक्रोसफ्ट क्लाउडसँग बाह्य SIEM एकीकृत गर्न सजिलो बनायो। अब स्थिति परिवर्तन भएको छ र Microsoft ले Azure Event Hub प्लेटफर्मलाई अन्य SIEMs को लागि मुख्य एकीकरण उपकरणको रूपमा सिफारिस गर्दछ। धेरैले पहिले नै यस्तो एकीकरण लागू गरिसकेका छन्, तर सावधान रहनुहोस् - तिनीहरूले सबै Azure लगहरू कब्जा नगर्न सक्छन्, तर केही मात्र (तपाईंको SIEM को लागि कागजातमा हेर्नुहोस्)।

Azure मा छोटो भ्रमणको समापन गर्दै, म यो क्लाउड सेवाको बारेमा सामान्य सिफारिस दिन चाहन्छु - Azure मा सूचना सुरक्षा निगरानी कार्यहरू बारे केहि भन्नु अघि, तपाईंले तिनीहरूलाई धेरै सावधानीपूर्वक कन्फिगर गर्नुपर्छ र परीक्षण गर्नुहोस् कि तिनीहरू कागजातमा लेखिए अनुसार काम गर्छन्। सल्लाहकारहरूले तपाईंलाई Microsoft भनेका थिए (र तिनीहरूको Azure प्रकार्यहरूको कार्यक्षमतामा फरक विचार हुन सक्छ)। यदि तपाईंसँग वित्तीय स्रोतहरू छन् भने, तपाईं Azure बाट सूचना सुरक्षा निगरानीको सन्दर्भमा धेरै उपयोगी जानकारी निचोड गर्न सक्नुहुन्छ। यदि तपाइँका स्रोतहरू सीमित छन् भने, AWS को मामलामा, तपाइँले मात्र तपाइँको आफ्नै बल र Azure मनिटरले तपाइँलाई प्रदान गर्ने कच्चा डाटामा भर पर्नु पर्नेछ। र याद गर्नुहोस् कि धेरै निगरानी कार्यहरू पैसा खर्च गर्छन् र मूल्य निर्धारण नीतिको साथ आफैलाई परिचित गर्नु राम्रो हुन्छ। उदाहरण को लागी, तपाईले प्रति ग्राहक अधिकतम 31 GB सम्मको 5 दिनको डेटा भण्डारण गर्न सक्नुहुन्छ - यी मानहरू भन्दा बढि तपाईले अतिरिक्त पैसा (लगभग $ 2+ ग्राहकबाट प्रत्येक अतिरिक्त GB भण्डारण गर्नको लागि र $ 0,1) को लागी आवश्यक पर्दछ। प्रत्येक अतिरिक्त महिना 1 GB भण्डारण गर्दै)। एप्लिकेसन टेलीमेट्री र मेट्रिक्ससँग काम गर्नको लागि अतिरिक्त कोषको आवश्यकता पर्न सक्छ, साथै अलर्ट र सूचनाहरूसँग काम गर्ने (एक निश्चित सीमा नि:शुल्क उपलब्ध छ, जुन तपाईंको आवश्यकताहरूको लागि पर्याप्त नहुन सक्छ)।

उदाहरण: Google क्लाउड प्लेटफर्ममा आधारित IaaS मा सूचना सुरक्षा निगरानी

Google क्लाउड प्लेटफर्म AWS र Azure को तुलनामा जवान जस्तो देखिन्छ, तर यो आंशिक रूपमा राम्रो छ। AWS को विपरीत, जसले सुरक्षा सहित यसको क्षमताहरू बढायो, बिस्तारै, केन्द्रीकरणको साथ समस्याहरू; GCP, Azure जस्तै, धेरै राम्रो केन्द्रीय रूपमा व्यवस्थित छ, जसले त्रुटिहरू र उद्यम भर कार्यान्वयन समय कम गर्छ। सुरक्षा दृष्टिकोणबाट, GCP, AWS र Azure को बीचमा, अनौठो रूपमा पर्याप्त छ। उहाँसँग सम्पूर्ण संस्थाको लागि एउटै घटना दर्ता छ, तर यो अपूर्ण छ। केही प्रकार्यहरू अझै पनि बिटा मोडमा छन्, तर बिस्तारै यो कमीलाई हटाउनु पर्छ र GCP सूचना सुरक्षा निगरानीको सन्दर्भमा अझ परिपक्व प्लेटफर्म बन्नेछ।

GCP मा घटनाहरू लग गर्ने मुख्य उपकरण Stackdriver Logging (Azure Monitor जस्तै) हो, जसले तपाईंलाई आफ्नो सम्पूर्ण क्लाउड पूर्वाधारमा (साथै AWS बाट) घटनाहरू सङ्कलन गर्न अनुमति दिन्छ। GCP मा सुरक्षा दृष्टिकोणबाट, प्रत्येक संगठन, परियोजना वा फोल्डरमा चार लगहरू छन्:

• प्रशासनिक गतिविधि - प्रशासनिक पहुँचसँग सम्बन्धित सबै घटनाहरू समावेश गर्दछ, उदाहरणका लागि, भर्चुअल मेसिन सिर्जना गर्ने, पहुँच अधिकारहरू परिवर्तन गर्ने, आदि। यो लग सँधै लेखिएको छ, तपाईको इच्छालाई ध्यान नदिई, र यसको डाटा 400 दिनको लागि भण्डारण गर्दछ।
• डाटा पहुँच - क्लाउड प्रयोगकर्ताहरू (सृष्टि, परिमार्जन, पढाइ, आदि) द्वारा डाटासँग काम गर्न सम्बन्धित सबै घटनाहरू समावेश गर्दछ। पूर्वनिर्धारित रूपमा, यो लग लेखिएको छैन, किनकि यसको भोल्युम धेरै चाँडै फुल्छ। यस कारणको लागि, यसको शेल्फ जीवन मात्र 30 दिन हो। साथै, यो पत्रिकामा सबै कुरा लेखिएको छैन। उदाहरणका लागि, सबै प्रयोगकर्ताहरूलाई सार्वजनिक रूपमा पहुँचयोग्य वा GCP मा लगइन नगरी पहुँचयोग्य स्रोतहरूसँग सम्बन्धित घटनाहरू यसमा लेखिएका छैनन्।
• प्रणाली घटना - प्रयोगकर्ताहरूसँग सम्बन्धित नभएका प्रणाली घटनाहरू, वा क्लाउड स्रोतहरूको कन्फिगरेसन परिवर्तन गर्ने प्रशासकको कार्यहरू समावेश गर्दछ। यो सधैं 400 दिनको लागि लेखिएको र भण्डारण गरिन्छ।
• पहुँच पारदर्शिता एक लग को एक अद्वितीय उदाहरण हो जसले गुगल कर्मचारीहरु (तर सबै GCP सेवाहरु को लागी अझै सम्म छैन) को सबै कार्यहरु लाई कैद गर्दछ जसले आफ्नो कार्य कर्तव्य को भाग को रूप मा आफ्नो पूर्वाधार को उपयोग गर्दछ। यो लग 400 दिनको लागि भण्डारण गरिएको छ र प्रत्येक GCP ग्राहकको लागि उपलब्ध छैन, तर धेरै सर्तहरू पूरा भएमा मात्र (कि त गोल्ड वा प्लेटिनम स्तर समर्थन, वा कर्पोरेट समर्थनको भागको रूपमा एक निश्चित प्रकारको 4 भूमिकाहरूको उपस्थिति)। एक समान प्रकार्य पनि उपलब्ध छ, उदाहरणका लागि, Office 365 - Lockbox मा।

लग उदाहरण: पहुँच पारदर्शिता

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/[BUCKET_NAME]/objects/foo123"
    }
  ]
 }
 logName:  "projects/[PROJECT_NAME]/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

लग भ्युअर इन्टरफेस मार्फत, एपीआई मार्फत, Google क्लाउड SDK मार्फत, वा तपाइँको परियोजनाको गतिविधि पृष्ठ मार्फत - यी लगहरूमा पहुँच धेरै तरिकामा सम्भव छ (पहिले छलफल गरिएको Azure र AWS जस्तै) घटनाहरूमा रुचि छ। त्यसै गरी, तिनीहरू अतिरिक्त विश्लेषणको लागि बाह्य समाधानहरूमा निर्यात गर्न सकिन्छ। पछिल्लो BigQuery वा Cloud Pub/Sub भण्डारणमा लगहरू निर्यात गरेर गरिन्छ।

Stackdriver Logging को अतिरिक्त, GCP प्लेटफर्मले Stackdriver मोनिटरिङ कार्यक्षमता पनि प्रदान गर्दछ, जसले तपाईंलाई क्लाउड सेवाहरू र अनुप्रयोगहरूको मुख्य मेट्रिक्स (कार्यसम्पादन, MTBF, समग्र स्वास्थ्य, आदि) को निगरानी गर्न अनुमति दिन्छ। प्रशोधन गरिएको र भिजुअलाइज गरिएको डेटाले तपाईंको क्लाउड पूर्वाधारमा सुरक्षाको सन्दर्भमा समस्याहरू फेला पार्न सजिलो बनाउन सक्छ। तर यो ध्यान दिनुपर्छ कि यो कार्यक्षमता सूचना सुरक्षाको सन्दर्भमा धेरै समृद्ध हुनेछैन, किनकि आज GCP सँग समान AWS GuardDuty को एक एनालग छैन र सबै दर्ता गरिएका घटनाहरू मध्ये खराबहरू पहिचान गर्न सक्दैन (गुगलले घटना खतरा पत्ता लगाउने विकास गरेको छ, तर यो अझै बिटामा विकास अन्तर्गत छ र यसको उपयोगिताको बारेमा कुरा गर्न धेरै चाँडो छ)। Stackdriver Monitoring लाई विसंगतिहरू पत्ता लगाउनको लागि प्रणालीको रूपमा प्रयोग गर्न सकिन्छ, जुन त्यसपछि तिनीहरूको घटनाको कारणहरू पत्ता लगाउन अनुसन्धान गरिनेछ। तर बजारमा GCP सूचना सुरक्षाको क्षेत्रमा योग्य कर्मचारीहरूको कमीलाई ध्यानमा राख्दै, यो कार्य हाल गाह्रो देखिन्छ।

तपाइँको GCP क्लाउड भित्र प्रयोग गर्न सकिने केहि जानकारी सुरक्षा मोड्युलहरूको सूची दिनु पनि लायक छ, र जुन AWS ले प्रस्ताव गरेको जस्तै हो:

• क्लाउड सुरक्षा कमाण्ड केन्द्र AWS सुरक्षा हब र Azure सुरक्षा केन्द्र को एक एनालग हो।
• क्लाउड DLP - ९० भन्दा बढी पूर्वनिर्धारित वर्गीकरण नीतिहरू प्रयोग गरेर क्लाउडमा होस्ट गरिएको डेटाको स्वचालित खोज र सम्पादन (जस्तै मास्किङ)।
• क्लाउड स्क्यानर एप इन्जिन, कम्प्युट इन्जिन र गुगल कुबर्नेट्समा ज्ञात कमजोरीहरू (XSS, फ्ल्यास इंजेक्शन, अनप्याच गरिएको पुस्तकालयहरू, आदि) को लागि स्क्यानर हो।
• क्लाउड IAM - सबै GCP स्रोतहरूमा पहुँच नियन्त्रण गर्नुहोस्।
• क्लाउड पहिचान - एकल कन्सोलबाट GCP प्रयोगकर्ता, उपकरण र अनुप्रयोग खाताहरू प्रबन्ध गर्नुहोस्।
• क्लाउड HSM - क्रिप्टोग्राफिक कुञ्जीहरूको सुरक्षा।
• क्लाउड कुञ्जी व्यवस्थापन सेवा - GCP मा क्रिप्टोग्राफिक कुञ्जीहरूको व्यवस्थापन।
• VPC सेवा नियन्त्रण - तपाईंको GCP स्रोतहरूलाई चुहावटबाट जोगाउन सुरक्षित परिधि बनाउनुहोस्।
• Titan सुरक्षा कुञ्जी - फिसिङ विरुद्ध सुरक्षा।

यी धेरै मोड्युलहरूले सुरक्षा घटनाहरू उत्पन्न गर्छन् जुन विश्लेषणको लागि BigQuery भण्डारणमा पठाउन सकिन्छ वा SIEM लगायत अन्य प्रणालीहरूमा निर्यात गर्न सकिन्छ। माथि उल्लेख गरिए अनुसार, GCP एक सक्रिय रूपमा विकासशील प्लेटफर्म हो र Google ले अब यसको प्लेटफर्मको लागि धेरै नयाँ सूचना सुरक्षा मोड्युलहरू विकास गरिरहेको छ। ती मध्ये घटना खतरा पत्ता लगाउने (अब बिटामा उपलब्ध छ), जसले स्ट्याकड्राइभर लगहरू अनाधिकृत गतिविधिको ट्रेसहरूको खोजीमा स्क्यान गर्छ (AWS मा GuardDuty सँग मिल्दोजुल्दो), वा नीति खुफिया (अल्फामा उपलब्ध), जसले तपाईंलाई बौद्धिक नीतिहरू विकास गर्न अनुमति दिनेछ। GCP स्रोतहरूमा पहुँच।

मैले लोकप्रिय क्लाउड प्लेटफर्महरूमा निर्मित अनुगमन क्षमताहरूको छोटो सिंहावलोकन गरें। तर के तपाइँसँग "कच्चा" IaaS प्रदायक लगहरूसँग काम गर्न सक्षम विशेषज्ञहरू छन् (सबैजना AWS वा Azure वा Google को उन्नत क्षमताहरू किन्न तयार छैनन्)? थप रूपमा, धेरैलाई "विश्वास गर्नुहोस्, तर प्रमाणित गर्नुहोस्" भनाइसँग परिचित छन् जुन सुरक्षाको क्षेत्रमा पहिले भन्दा सत्य हो। तपाईंलाई जानकारी सुरक्षा घटनाहरू पठाउने क्लाउड प्रदायकको निर्मित क्षमताहरूमा तपाईं कत्तिको भरोसा गर्नुहुन्छ? उनीहरूले सूचना सुरक्षामा कत्तिको ध्यान दिन्छन्?

कहिलेकाँही यो ओभरले क्लाउड पूर्वाधार निगरानी समाधानहरू हेर्न लायक छ जुन निर्मित क्लाउड सुरक्षालाई पूरक बनाउन सक्छ, र कहिलेकाँही त्यस्ता समाधानहरू क्लाउडमा होस्ट गरिएका तपाईंको डेटा र अनुप्रयोगहरूको सुरक्षामा अन्तरदृष्टि प्राप्त गर्ने एकमात्र विकल्प हो। थप रूपमा, तिनीहरू केवल अधिक सुविधाजनक छन्, किनकि तिनीहरूले विभिन्न क्लाउड प्रदायकहरूबाट विभिन्न क्लाउड सेवाहरूद्वारा उत्पन्न आवश्यक लगहरू विश्लेषण गर्ने सबै कार्यहरू लिन्छन्। यस्तो ओभरले समाधानको एक उदाहरण सिस्को स्टेल्थवाच क्लाउड हो, जुन एकल कार्यमा केन्द्रित छ - क्लाउड वातावरणमा सूचना सुरक्षा विसंगतिहरू निगरानी गर्ने, Amazon AWS, Microsoft Azure र Google क्लाउड प्लेटफर्म मात्र होइन, निजी क्लाउडहरू पनि।

उदाहरण: Stealthwatch Cloud प्रयोग गरेर सूचना सुरक्षा निगरानी

AWS ले एक लचिलो कम्प्युटिङ प्लेटफर्म प्रदान गर्दछ, तर यो लचिलोपनले कम्पनीहरूलाई सुरक्षा समस्याहरू निम्त्याउने गल्तीहरू गर्न सजिलो बनाउँछ। र साझा सूचना सुरक्षा मोडेल मात्र यो योगदान गर्दछ। अज्ञात कमजोरीहरूका साथ क्लाउडमा सफ्टवेयर चलिरहेको छ (ज्ञातहरूलाई लड्न सकिन्छ, उदाहरणका लागि, AWS इन्स्पेक्टर वा GCP क्लाउड स्क्यानरद्वारा), कमजोर पासवर्डहरू, गलत कन्फिगरेसनहरू, भित्रीहरू, आदि। र यो सबै क्लाउड स्रोतहरूको व्यवहारमा प्रतिबिम्बित हुन्छ, जुन सिस्को स्टेल्थवाच क्लाउड द्वारा निगरानी गर्न सकिन्छ, जुन एक सूचना सुरक्षा निगरानी र आक्रमण पत्ता लगाउने प्रणाली हो। सार्वजनिक र निजी बादल।

सिस्को स्टेल्थवाच क्लाउडको मुख्य विशेषताहरू मध्ये एक संस्थाहरू मोडेल गर्ने क्षमता हो। यसको साथ, तपाइँ तपाइँको प्रत्येक क्लाउड स्रोत को एक सफ्टवेयर मोडेल (त्यो, एक नजिकैको वास्तविक समय सिमुलेशन) सिर्जना गर्न सक्नुहुन्छ (यसले AWS, Azure, GCP, वा केहि फरक पर्दैन)। यसमा सर्भरहरू र प्रयोगकर्ताहरू, साथै तपाईंको क्लाउड वातावरणमा निर्दिष्ट संसाधन प्रकारहरू, जस्तै सुरक्षा समूहहरू र स्वत: मापन समूहहरू समावेश हुन सक्छन्। यी मोडेलहरूले क्लाउड सेवाहरूद्वारा उपलब्ध गराइएका संरचित डेटा स्ट्रिमहरू इनपुटको रूपमा प्रयोग गर्छन्। उदाहरण को लागी, AWS को लागी यी VPC फ्लो लग, AWS CloudTrail, AWS CloudWatch, AWS कन्फिग, AWS इन्स्पेक्टर, AWS Lambda, र AWS IAM हुनेछन्। संस्था मोडलिङले स्वचालित रूपमा तपाईंको कुनै पनि स्रोतको भूमिका र व्यवहार पत्ता लगाउँदछ (तपाईं सबै क्लाउड गतिविधि प्रोफाइलिङको बारेमा कुरा गर्न सक्नुहुन्छ)। यी भूमिकाहरूमा एन्ड्रोइड वा एप्पल मोबाइल उपकरण, Citrix PVS सर्भर, RDP सर्भर, मेल गेटवे, VoIP क्लाइन्ट, टर्मिनल सर्भर, डोमेन नियन्त्रक, आदि समावेश छन्। त्यसपछि जोखिमपूर्ण वा सुरक्षा-धम्कीपूर्ण व्यवहार कहिले हुन्छ भनेर निर्धारण गर्न यसले उनीहरूको व्यवहारलाई निरन्तर निगरानी गर्दछ। तपाईंले पासवर्ड अनुमान, DDoS आक्रमणहरू, डाटा चुहावट, अवैध रिमोट पहुँच, मालिसियस कोड गतिविधि, भेद्यता स्क्यानिङ र अन्य खतराहरू पहिचान गर्न सक्नुहुन्छ। उदाहरणका लागि, SSH मार्फत कुबेरनेट क्लस्टरमा तपाईंको संगठन (दक्षिण कोरिया) को लागि असामान्य देशबाट रिमोट पहुँच प्रयास पत्ता लगाउने कुरा यस्तो देखिन्छ:

र पोष्टग्रेस डाटाबेसबाट हामीले पहिले अन्तर्क्रियाको सामना नगरेको देशमा जानकारीको कथित चुहावट यस्तो देखिन्छ:

अन्तमा, यो बाहिरी रिमोट उपकरणबाट चीन र इन्डोनेसियाबाट धेरै असफल SSH प्रयासहरू जस्तै देखिन्छ:

वा, मान्नुहोस् कि VPC मा सर्भर उदाहरण, नीति द्वारा, टाढाको लगइन गन्तव्य कहिल्यै हुनु हुँदैन। यस कम्प्युटरले फायरवाल नियम नीतिमा त्रुटिपूर्ण परिवर्तनको कारणले रिमोट लगइनको अनुभव गरेको छ भनी मानौं। Entity Modeling सुविधाले यस गतिविधि ("असामान्य रिमोट एक्सेस") लाई नजिकैको वास्तविक समयमा पत्ता लगाउनेछ र रिपोर्ट गर्नेछ र विशिष्ट AWS CloudTrail, Azure Monitor, वा GCP Stackdriver Logging API कल (प्रयोगकर्ता नाम, मिति र समय सहित, अन्य विवरणहरू बीचमा देखाउँछ। जसले ITU नियममा परिवर्तन गर्न प्रेरित गर्‍यो। र त्यसपछि यो जानकारी विश्लेषणको लागि SIEM मा पठाउन सकिन्छ।

समान क्षमताहरू Cisco Stealthwatch Cloud द्वारा समर्थित कुनै पनि क्लाउड वातावरणको लागि लागू गरिएको छ:

संस्था मोडलिङ सुरक्षा स्वचालन को एक अद्वितीय रूप हो जसले तपाइँको मान्छे, प्रक्रिया वा प्रविधि संग पहिले नै अज्ञात समस्या उजागर गर्न सक्छ। उदाहरणका लागि, यसले तपाईंलाई अन्य चीजहरू बीचमा सुरक्षा समस्याहरू पत्ता लगाउन अनुमति दिन्छ जस्तै:

• हामीले प्रयोग गर्ने सफ्टवेयरमा कसैले ब्याकडोर पत्ता लगाएको छ?
• हाम्रो क्लाउडमा कुनै तेस्रो पक्ष सफ्टवेयर वा उपकरण छ?
• के अधिकृत प्रयोगकर्ताले विशेषाधिकारको दुरुपयोग गरिरहेको छ?
• के त्यहाँ कुनै कन्फिगरेसन त्रुटि थियो जसले रिमोट पहुँच वा स्रोतहरूको अन्य अनावश्यक प्रयोगलाई अनुमति दियो?
• हाम्रो सर्भरबाट डाटा चुहावट छ?
• के कसैले हामीलाई एक असामान्य भौगोलिक स्थानबाट जडान गर्न खोज्दै थियो?
• के हाम्रो क्लाउड खराब कोडबाट संक्रमित छ?

पत्ता लगाइएको जानकारी सुरक्षा घटना Slack, Cisco Spark, PagerDuty घटना व्यवस्थापन प्रणालीमा सम्बन्धित टिकटको रूपमा पठाउन सकिन्छ, र Splunk वा ELK लगायत विभिन्न SIEM मा पठाउन सकिन्छ। संक्षेपमा, हामी भन्न सक्छौं कि यदि तपाईंको कम्पनीले बहु-क्लाउड रणनीति प्रयोग गर्दछ र कुनै एक क्लाउड प्रदायकमा सीमित छैन भने, माथि वर्णन गरिएको सूचना सुरक्षा निगरानी क्षमताहरू, त्यसपछि सिस्को स्टेल्थवाच क्लाउड प्रयोग गरेर निगरानीको एकीकृत सेट प्राप्त गर्न राम्रो विकल्प हो। प्रमुख क्लाउड प्लेयरहरूको लागि क्षमताहरू - Amazon, Microsoft र Google। सबैभन्दा चाखलाग्दो कुरा यो हो कि यदि तपाइँ AWS, Azure वा GCP मा सूचना सुरक्षा निगरानीको लागि उन्नत इजाजतपत्रहरूसँग Stealthwatch Cloud को मूल्यहरू तुलना गर्नुहुन्छ भने, यो बाहिर आउन सक्छ कि Cisco समाधान Amazon, Microsoft को निर्मित क्षमताहरू भन्दा पनि सस्तो हुनेछ। र गुगल समाधानहरू। यो विरोधाभासपूर्ण छ, तर यो सत्य हो। र तपाईंले जति धेरै क्लाउडहरू र तिनीहरूको क्षमताहरू प्रयोग गर्नुहुन्छ, एक समेकित समाधानको अधिक स्पष्ट फाइदा हुनेछ।

थप रूपमा, Stealthwatch Cloud ले तपाइँको संगठनमा तैनात निजी क्लाउडहरू निगरानी गर्न सक्छ, उदाहरणका लागि, Kubernetes कन्टेनरहरूमा आधारित वा नेटफ्लो प्रवाह वा नेटवर्क उपकरणहरूमा मिररिङ मार्फत प्राप्त नेटवर्क ट्राफिक (घरेलु रूपमा उत्पादित पनि), AD डाटा वा DNS सर्भरहरू र यस्तै अन्य। यो सबै डाटा साइबर सुरक्षा खतरा अनुसन्धानकर्ताहरूको संसारको सबैभन्दा ठूलो गैर-सरकारी समूह Cisco Talos द्वारा संकलित खतरा खुफिया जानकारी संग समृद्ध हुनेछ।

यसले तपाइँलाई तपाइँको कम्पनीले प्रयोग गर्न सक्ने सार्वजनिक र हाइब्रिड क्लाउड दुवैको लागि एक एकीकृत निगरानी प्रणाली लागू गर्न अनुमति दिन्छ। संकलित जानकारी त्यसपछि Stealthwatch Cloud को निर्मित क्षमताहरू प्रयोग गरेर विश्लेषण गर्न सकिन्छ वा तपाईंको SIEM (Splunk, ELK, SumoLogic र अन्य धेरै पूर्वनिर्धारित रूपमा समर्थित छन्) मा पठाउन सकिन्छ।

यससँग, हामी लेखको पहिलो भाग पूरा गर्नेछौं, जसमा मैले IaaS/PaaS प्लेटफर्महरूको सूचना सुरक्षा निगरानीको लागि निर्मित र बाह्य उपकरणहरूको समीक्षा गरें, जसले हामीलाई क्लाउड वातावरणमा हुने घटनाहरूलाई द्रुत रूपमा पत्ता लगाउन र प्रतिक्रिया दिन अनुमति दिन्छ। हाम्रो उद्यम रोजेको छ। दोस्रो भागमा, हामी विषयलाई जारी राख्नेछौं र Salesforce र Dropbox को उदाहरण प्रयोग गरेर SaaS प्लेटफर्महरू अनुगमनका लागि विकल्पहरू हेर्नेछौं, र हामी विभिन्न क्लाउड प्रदायकहरूको लागि एकीकृत सूचना सुरक्षा निगरानी प्रणाली सिर्जना गरेर सबै कुरालाई संक्षेपमा राख्ने प्रयास गर्नेछौं।

स्रोत: www.habr.com