För de oerfarna verkar arbetet som sÀkerhetsadministratör vara en spÀnnande duell mellan en antihacker och de onda hackarna som stÀndigt infiltrerar företagsnÀtverket. VÄr hjÀlte avvÀrjer med snabba och skickliga kommandon i realtid och stÄr till slut som en strÄlande segrare.
En riktig musketör med ett tangentbord istÀllet för svÀrd och pistol.
I verkligheten ser det dĂ€remot ut som allting annat â vardagligt, enkelt och stundtals till och med trĂ„kigt.
En av de viktigaste metoderna för analys Àr fortfarande att lÀsa loggar över hÀndelser. En noggrann granskning av följande:
- vem som försökte logga in varifrÄn, vilket resurs de försökte fÄ Ätkomst till och hur de bevisade sina rÀttigheter till den resursen;
- vilka problem, fel och helt enkelt misstÀnksamma överensstÀmmelser som intrÀffade;
- vem och hur de testade systemet, skannade portar, försökte knÀcka lösenord;
- och sĂ„ vidare och sĂ„ vidare âŠ
Varför skulle det hÀr överhuvudtaget vara romantiskt? Det gÀller att inte somna vid ratten.
För att vÄra specialister inte ska tappa kÀrleken till konsten, utvecklas verktyg som underlÀttar deras liv. Dessa inkluderar olika typer av analysatorer (logganalysatorer), övervakningssystem med meddelanden om kritiska hÀndelser och mycket mer.
Men om man tar ett bra verktyg och börjar koppla det manuellt till varje enhet, till exempel en internetgateway, Ă€r det inte sĂ„ enkelt, inte sĂ„ bekvĂ€mt, och man behöver dessutom ha extra kunskaper frĂ„n helt olika omrĂ„den. Till exempel, var ska man installera programvaran för sĂ„dan övervakning? PĂ„ en fysisk server, en virtuell maskin eller en speciell enhet? I vilken form ska data lagras? Om en databas anvĂ€nds, vilken? Hur gör man sĂ€kerhetskopiering och Ă€r det nödvĂ€ndigt? Hur ska hanteringen utföras? Vilket grĂ€nssnitt ska anvĂ€ndas? Hur skyddar man systemet? Vilken krypteringsmetod ska anvĂ€ndas â och mycket mer.
Det Àr mycket enklare nÀr det finns en enhetlig mekanism som tar pÄ sig att lösa alla ovanstÄende frÄgor och ger administratören arbete helt inom sitt specifika omrÄde.
Som traditionen föreskriver, kallas termen "moln" allt som inte finns pÄ denna vÀrd. MolntjÀnsten Zyxel CNM SecuReporter löser inte bara mÄnga problem utan erbjuder ocksÄ praktiska verktyg.
Vad Àr Zyxel CNM SecuReporter?
Detta Àr en intelligent analys tjÀnst med funktioner för datainsamling, statistisk analys (korrelation) och rapportering för Zyxel-utrustning i ZyWALL-serien. Den ger nÀtverksadministratören en centraliserad översikt över olika aktiviteter i nÀtverket.
Till exempel kan illvilliga aktörer försöka hacka försvarssystemet genom att anvÀnda attacker av typen smygande, riktade och bestÀndiga. SecuReporter berÀknar misstÀnkt beteende, vilket ger administratören möjlighet att vidta nödvÀndiga skyddsÄtgÀrder genom att konfigurera ZyWALL.
SjÀlvklart Àr sÀkerhet otÀnkbar utan stÀndig dataanalys som ger varningar i realtid. Man kan rita hur mÄnga vackra diagram som helst, men om administratören inte Àr medveten om vad som pÄgÄr... Nej, sÄ kan det verkligen inte vara med SecuReporter!
NÄgra frÄgor om anvÀndning av SecuReporter
Analytik
Egen analys av det som sker Àr kÀrnan i att bygga informationssÀkerhet. Genom att analysera hÀndelser kan sÀkerhetsspecialisten förhindra eller i tid stoppa en attack, samt fÄ detaljerad information för rekonstruktion med syfte att samla bevis.
Vad ger "molnarkitektur"?
Denna tjÀnst Àr byggd enligt modellen Software as a Service (SaaS), vilket förenklar skalning genom att anvÀnda resurser frÄn fjÀrrservrar, distribuerade datalagringssystem och sÄ vidare. AnvÀndningen av molnmodellen gör det möjligt att abstrahera frÄn hÄrdvaru- och programvarunyanser, genom att fokusera allt pÄ att skapa och förbÀttra skyddstjÀnsten.
Detta gör att anvÀndaren kan avsevÀrt minska kostnaderna för inköp av utrustning för lagring, analys och Ätkomst, och det finns inget behov av att hantera servicefrÄgor som backup, uppdatering, felprevention och sÄ vidare. Det rÀcker att ha en enhet som stöder arbetet med SecuReporter och motsvarande licens.
VIKTIGT! Tack vare den molnbaserade arkitekturen kan sÀkerhetsadministratörer proaktivt övervaka nÀtverksstatus nÀr som helst och var som helst. Detta löser Àven problem relaterade till frÄnvaro, sjukskrivningar med mera. à tkomst till utrustning, till exempel stöld av en laptop som anvÀndes för att fÄ tillgÄng till webgrÀnssnittet SecuReporter, kommer inte att ge nÄgot resultat, förutsatt att Àgaren inte har brutit mot sÀkerhetsreglerna, inte har lagrat lösenord lokalt och sÄ vidare.
Molnhanteringsalternativet passar bra bÄde för monoföretag i en stad och för organisationer med filialer. Denna oberoende av plats behövs inom mÄnga olika branscher, till exempel för tjÀnsteleverantörer eller programvaruutvecklare vars verksamhet Àr spridd över flera stÀder.
Vi pratar mycket om analysmöjligheter, men vad innebÀr det egentligen?
Det handlar om olika analysverktyg, till exempel sammanstÀllningar av hÀndelsefrekvenser, listor över de 100 mest aktuella (bÄde verkliga och antagna) offren för en viss hÀndelse, loggar som angiven specifika mÄl för attacker och sÄ vidare. Allt som hjÀlper administratören att identifiera dolda trender och berÀkna misstÀnkt beteende hos anvÀndare eller tjÀnster.
Men vad sÀgs om rapportering?
I SecuReporter finns möjligheten att anpassa rapportformatet och fÄ resultatet i PDF-format. Naturligtvis kan man, om sÄ önskas, inkludera sin egen logotyp i rapporten, titel pÄ rapporten, referenser eller rekommendationer. Det finns möjlighet att skapa rapporter vid förfrÄgan eller enligt schema, till exempel en gÄng per dag, vecka eller mÄnad.
Det Àr möjligt att stÀlla in varningar med hÀnsyn till trafikens specifikhet inom nÀtverksinfrastrukturen.
Kan man minska risken frÄn insiderhot eller bara slarviga anvÀndare?
Det speciella verktyget User Partially Quotient gör det möjligt för administratören att snabbt identifiera riskabla anvÀndare utan extra anstrÀngning och med hÀnsyn till sambandet mellan olika nÀtverksloggar eller hÀndelser.
Det innebÀr att en djupgÄende analys av alla hÀndelser och trafik kopplad till anvÀndare som upptrÀtt misstÀnkt utförs.
Vilka andra punkter Àr karakteristiska för SecuReporter?
LÀttanpassad konfiguration för slutanvÀndare (sÀkerhetsadministratörer).
Aktivering av SecuReporter i molnet sker genom en enkel instÀllningsprocedur. Efter detta fÄr administratörer omedelbar tillgÄng till all data, analysverktyg och rapportering.
Multi-Tenants pĂ„ en gemensam molnplattform â du kan anpassa din analys för varje kund. Ă terigen, vid ökning av kundbasen tack vare molnarkitekturen kan systemet lĂ€tt anpassas utan att pĂ„verka effektiviteten.
Lagstiftning om dataskydd
VIKTIGT! Zyxel Ă€r mycket noga med internationella och lokala lagar samt andra regelverk för skydd av personuppgifter, inklusive GDPR och OECD:s principer för personuppgifter. Stöder den federala lagen "Om personuppgifter" frĂ„n 27.07.2006 â 152-Đ€Đ.
För att sÀkerstÀlla efterlevnad av kraven har SecuReporter tre alternativ för skydd av personuppgifter:
- inte anonyma data â personuppgifter identifieras helt i Analyzer, Rapport och nedladdade Arkivloggar;
- delvis anonyma â personuppgifter ersĂ€tts med deras artificiella identifierare i Arkivloggar;
- helt anonyma â personuppgifter anonymiseras helt i Analyzer, Rapport och nedladdade Arkivloggar.
Hur aktiverar man anvÀndningen av SecuReporter pÄ enhet?
LĂ„t oss ta ett exempel med ZyWall-enheten (i detta fall har vi ZyWall 1100). GĂ„ in i instĂ€llningsavsnittet (fliken till höger med en ikon av tvĂ„ kugghjul). Ăppna sedan avsnittet Cloud CNM och vĂ€lj delavsnittet SecuReporter.
För att tillÄta anvÀndningen av tjÀnsten mÄste du aktivera elementet Aktivera SecuReporter. Dessutom bör alternativet Inkludera trafiklogg aktiveras för insamling och analys av trafikloggar.
Bild 1. Aktivera SecuReporter.
Det andra steget Ă€r att tillĂ„ta insamling av statistik. Detta görs i avsnittet Ăvervakning (fliken till höger med en ikon av en monitor).
GÄ sedan till avsnittet UTM-statistik, delavsnittet App Patrol. HÀr mÄste du aktivera alternativet Samla statistik.
Bild 2. Aktivering av statistikinsamling.
Det Àr klart, du kan nu ansluta till webgrÀnssnittet SecuReporter och aktivera molntjÀnsten.
VIKTIGT! För SecuReporter finns det utmÀrkt dokumentation i PDF-format. Du kan ladda ner den pÄ .
Beskrivning av webgrÀnssnittet SecuReporter
Det Ă€r inte möjligt att ge en detaljerad berĂ€ttelse om alla funktioner som SecuReporter tillhandahĂ„ller sĂ€kerhetsadministratören â det finns tillrĂ€ckligt mĂ„nga för en artikel.
DÀrför begrÀnsar vi oss till en kort beskrivning av de tjÀnster som administratören ser och som hen kontinuerligt arbetar med. LÄt oss dÀrför bekanta oss med vad webbkonsolen SecuReporter bestÄr av.
Karta
I detta avsnitt visas registrerad utrustning med angivande av stad, enhetsnamn och IP-adress. Information om huruvida enheten Àr aktiverad och vilken varningsstatus som gÀller visas. PÄ Threat Map kan man se kÀllan till paket som anvÀnds av angripare och frekvensen av attacker.
Dashboard
Kort information om de huvudsakliga ÄtgÀrderna och en komprimerad analytisk översikt för den angivna perioden. Man kan ange en tidsram frÄn 7 dagar ned till 1 timme.
Bild 3. Exempel pÄ utseendet för avsnittet Dashboard.
Analyzer
Namnet sÀger allt. Det Àr konsolen för det namngivna verktyget som diagnostiserar misstÀnkt trafik under den valda perioden, identifierar trender i hotens uppkomst och samlar information om misstÀnkta paket. Analyzer kan spÄra den vanligaste skadliga koden och ge ytterligare information om sÀkerhetsproblem.
Bild 4. Exempel pÄ utseendet för avsnittet Analyzer.
Rapport
I detta avsnitt har anvÀndaren tillgÄng till anpassningsbara rapporter med grafiskt grÀnssnitt. Den information som krÀvs kan omedelbart samlas och presenteras i ett anvÀndbart format, eller enligt en uppgjord schema.
Varningar
HÀr stÀlls systemet för varningar in. GrÀnsvÀrden och olika viktighetsnivÄer kan stÀllas in, vilket förenklar processen att identifiera avvikelser och potentiella attacker.
InstÀllningar
Ja, instÀllningar Àr faktiskt instÀllningar.
Det bör ocksÄ noteras att SecuReporter kan stödja olika skyddspolicys vid hantering av personuppgifter.
Slutsats
Lokala metoder för att analysera statistik relaterad till sÀkerhet har visat sig vara ganska effektiva.
Men omfattningen och allvaret av hot ökar för varje dag. Den skyddsnivÄ som tidigare var acceptabel blir efter en tid otillrÀcklig.
Förutom de nĂ€mnda problemen krĂ€ver anvĂ€ndning av lokala resurser vissa anstrĂ€ngningar för att upprĂ€tthĂ„lla funktionaliteten (underhĂ„ll av hĂ„rdvara, sĂ€kerhetskopiering och sĂ„ vidare). Det finns ocksĂ„ problemet med avlĂ€gsen placering â det gĂ„r inte alltid att ha en sĂ€kerhetsadministratör pĂ„ kontoret dygnet runt. DĂ€rför mĂ„ste man pĂ„ nĂ„got sĂ€tt organisera sĂ€ker Ă„tkomst till det lokala systemet utifrĂ„n och sköta detta sjĂ€lv.
AnvÀndningen av molntjÀnster gör det möjligt att undvika sÄdana problem och istÀllet fokusera pÄ att upprÀtthÄlla en önskad sÀkerhetsnivÄ och skydd mot intrÄng samt regelövertrÀdelser frÄn anvÀndare.
SecuReporter Àr verkligen ett exempel pÄ lyckad implementering av en sÄdan tjÀnst.
Erbjudande
FrÄn och med idag finns det en gemensam kampanj för köpare av brandvÀggar som stöder Secureporter, i samarbete mellan Zyxel och vÄr Guldpartner X-Com:
Nyttiga lÀnkar
[1] .
[2] pÄ den officiella webbplatsen Zyxel.
[3] .
KĂ€lla: habr.com
