Mit csinál egy SIEM-rendszer, és miért éri meg használni
Ha több rendszer és végpont biztonsági eseményeit kell figyelni, hamar kiderül a probléma. A tűzfalak, szerverek és alkalmazások mind küldik az üzeneteket. Ezek nélkül a csapat csak kapkod, és könnyen elmarad egy fontos jelzés.
A SIEM eszközök összegyűjtik ezeket az adatokat, összevetik őket egymással, és akkor jeleznek, ha valami szokatlan minta jelenik meg. A jobb rendszerek ezt valós időben végzik, így a központi biztonsági csapatnak perceken belül van esélye reagálni.
Több tucat megoldást teszteltünk éles környezetben. Most azokat mutatjuk be, amelyek a gyakorlatban is beváltak.
Nagyvállalati megoldások
Splunk Enterprise Security
A Splunk nagy rendszerekben még mindig az egyik legerősebb játékos. Bármilyen forrásból képes adatokat fogadni, másodpercenként millió eseményt dolgoz fel, és a grafikus felülete is áttekinthető. A riasztási szabályok egyszerűen beállíthatók.
Tapasztalat: A jól bevezetett Splunk után a cégek általában 60-70 százalékkal gyorsabban észlelik a problémákat.
Hátrány: Az ár az adatmennyiséggel együtt nő, ezért érdemes előre kalkulálni.
IBM QRadar
A QRadar főleg olyan helyeken erős, ahol szigorú szabályozásoknak kell megfelelni. Az Offense funkció automatikusan csoportosítja az eseményeket, így kevesebb a felesleges zaj.
Erősség: Kiválóan működik a felhasználói viselkedés elemzésében, ezért belső fenyegetések és feltört fiókok esetén is jól teljesít.
Elastic Stack (ELK)
Aki nyitott forráskódú megoldást keres, gyakran az ELK mellett dönt. A Kibana jól mutatja az adatokat, a rendszer pedig vízszintesen bővíthető.
Előny: Saját gépeken futtatható, nincs előfizetési díj.
Valóság: A szabályok finomhangolása és az infrastruktúra karbantartása a saját feladatod.
Középvállalati opciók
Microsoft Sentinel
Ha a cég már Microsoft-alapú (Office 365, Azure, Windows), a Sentinel gyorsan beilleszkedik. A viselkedéselemzés működik, és az automatikus válaszlépések emberi beavatkozás nélkül is elindulhatnak.
Előny: Néhány nap alatt élesíthető.
Sumo Logic
Több felhő egyidejű kezelésére készült. Ha AWS, Azure és helyi rendszerek is vannak, az ügynök-alapú adatgyűjtés jól működik.
Jellemző: A költségek a tényleges használat alapján alakulnak.
ArcSight (Micro Focus)
Nagy adatforgalom kezelésére alkalmas. Távközlési és kritikus infrastruktúrákban gyakran találkozni vele.
Speciális eszközök
Exabeam
Belső fenyegetések és lassú támadások felderítésére készült. A viselkedéselemzés hetekre visszamenően is képes mintákat találni.
Rapid7 InsightIDR
SIEM mellett sebezhetőség-kezelést és fenyegetés-információkat is ad. Középvállalatoknak jó választás, ha nem akarnak több külön eszközt üzemeltetni.
AlienVault USM Anywhere
Egy csomagban tartalmazza a SIEM-et, a sebezhetőség-ellenőrzést és a fenyegetés-információkat.
SolarWinds Security Event Manager
Kisebb IT-részlegeknek készült. Könnyű telepíteni, kiszámítható az ára, és Windows valamint hálózati eszközök esetén erős.
Nyílt forráskódú lehetőségek
ELK Stack
Ezer szervezet használja anélkül, hogy licencdíjat fizetne.
Graylog
Könnyebb telepíteni, mint az ELK-et, de nagyon nagy rendszerekben már kevesebb az ereje.
Wazuh
Ügynök-alapú gyűjtés, beépített fenyegetés-információkkal. Linux és Unix környezetekben egyre népszerűbb.
Prémium vállalati szint
Splunk SOAR integrációval
A SOAR kiegészítéssel a válaszlépések teljesen automatizálhatók.
LogRhythm
Erős a fenyegetés-információk integrációjában és a detektálási szabályok gyors fejlesztésében.
ArcSight Enterprise
Több ezer adatforrást kezel globális szinten.
Döntési szempontok
Érdemes ezeket a kérdéseket feltenni:
- Mekkora az adatmennyiség? A licenc gyakran az adatbeviteli sebesség alapján drágul.
- Mennyi infrastruktúrát tudnak fenntartani? A saját gépes megoldások folyamatos karbantartást igényelnek.
- Milyen szabályozások vonatkoznak rájuk? PCI-DSS, HIPAA, SOC 2 vagy GDPR esetén előnyös, ha a rendszerben vannak kész megfelelőségi modulok.
- Van-e belső biztonsági szakember? A nagyvállalati rendszerek képzett operátorokat igényelnek.
- Mennyi a teljes költségvetés? Nemcsak a szoftver, hanem az üzemeltetők munkaideje is számít.
Gyakorlati tanács
Sok szervezet telepít SIEM-et, de nem hangolja finoman. Néhány hét után a riasztások zajjá válnak. Érdemes 5-10 kritikus szabálysal kezdeni, és csak ezek alapján bővíteni. Jobb három megbízható jelzés, mint háromszáz hamis.
A SIEM védelme
A SIEM maga is célponttá válik, ha a támadók tudomást szereznek róla. Logokat próbálnak ellopni, riasztásokat kikapcsolni, vagy adatokat meghamisítani.
Ha a rendszer felhős konzolon keresztül érhető el, a forgalom elfogható. Ilyenkor az adminisztrátorok IP-címe is láthatóvá válik az internetszolgáltató számára.
Az UnblockMaster VPN ebben segít. A biztonsági csapat bárhonnan elérheti a SIEM felületeit anélkül, hogy az IP-címük kiszűrhető lenne. Teszteltük Splunk, Elastic és QRadar rendszereken – a titkosítás stabil, és a nagy adatmennyiségű lekérdezések sebessége sem romlik jelentősen.
Korlátozott joghatóságú országokban a fenyegetés-információk és frissítések is elérhetőek maradnak, még ha az internetszolgáltató szelektív blokkolást is alkalmaz.
Összefoglaló
SIEM nélkül ma már nehéz hatékonyan védeni egy rendszert. A kérdés csak az, melyik eszköz illik a szervezet méretéhez és költségvetéséhez.
- Nagyvállalat: Splunk vagy IBM QRadar
- Microsoft-környezet: Microsoft Sentinel
- Több felhő egyidejűleg: Sumo Logic
- Költségérzékeny: Elastic Stack vagy Wazuh
- Belső fenyegetések: Exabeam
- Nyílt forráskód: Graylog
A saját használati eset alapján érdemes választani, nem az ár alapján. A jó eszköz gyorsabban fedezi fel a támadásokat, és megelőzheti a komolyabb károkat.
