SIEM – Security Information and Event Management

Системы мониторинга и управления информационной безопасностью

Задача SIEM — анализировать информацию, поступающую от различных систем, таких как антивирусы, DLP, IDS, маршрутизаторы, межсетевые экраны, операционные системы серверов и пользовательских ПК, и при этом детектировать отклонение от норм по каким-то критериям. Если такое отклонение выявлено — система генерирует инцидент. То есть, среди множества записей в системных журналах SIEM-решение обнаруживает следы неких подозрительных действий. Немаловажно, что с ее помощью можно выявить действия, которые внешне выглядят вполне безобидными, но в совокупности представляют угрозу.

Исторически, технология SIEM получилась из слияния 2-х направлений

SIM – Управление информацией безопасности
SEM – Управление событиями безопасности

SIM — Управление информацией безопасности

Занимается сбором, хранением и анализом данных (взятых из журналов). Составляет отчеты по соответствию нормативным требованиям.

SEM – Управление событиями безопасности

Мониторит события безопасности в реальном времени, выявляет и реагирует на инциденты безопасности.

Основные функции SIEM-систем:

Сбор и объединение данных
Централизованное хранение журналов
Интеллектуальный анализ данных (Корреляция событий)
Оповещение об инцидентах
Оценка соответствия AC требованиям стандартов и регламентов

Компоненты SIEM-систем

Хранилища журналов
Сенсоры
Центр управления SIEM

От кого SIEM получает информацию?

Access Control, Authentication.

Применяются для мониторинга контроля доступа к информационным системам и использования привилегий.

DLP-системы.

Сведения о попытках инсайдерских утечек, нарушении прав доступа.

IDS/IPS-системы.

Несут данные о сетевых атаках, изменениях конфигурации и доступа к устройствам.

Антивирусные приложения.

Генерируют события о работоспособности ПО, базах данных, изменении конфигураций и политик, вредоносном коде.

Журналы событий серверов и рабочих станций.

Применяются для контроля доступа, обеспечения непрерывности, соблюдения политик информационной безопасности.

Межсетевые экраны.

Сведения об атаках, вредоносном ПО и прочем.

Сетевое активное оборудование.

Используется для контроля доступа, учета сетевого трафика.

Сканеры уязвимостей.

Данные об инвентаризации активов, сервисов, ПО, уязвимостей, поставка инвентаризационных данных и топологической структуры.

Системы инвентаризации и asset-management.

Поставляют данные для контроля активов в инфраструктуре и выявления новых.

Системы веб-фильтрации.

Предоставляют данные о посещении сотрудниками подозрительных или запрещенных веб-сайтов.

Основные протоколы и интерфейсы для сбора событий:

Syslog and Syslog-ng
SNMPv2 and SNMPv3
Opsec
HTTP, HTTPS
SQL, ODBC
WMI, WBEM (CIM)
FTP, SFTP
Socket Unix
Plain log
SSH
Rsync
Samba
NFS
SDEE, RDEP
OPSEC, CPMI

Что может делать SIEM система:

Анализировать события и создавать инциденты при каких-то аномалиях: сетевого трафика, действиях пользователя, появлению неопознанных устройств и т.д.
Проверка на соответствие международным стандартам. (PCI DSS, COBIT и т.д.)
Мониторить события от устройств, серверов, критически важных систем используя внешние источники информации (методы как пассивного, так и активного анализа)
Собирать доказательную базу по инцидентам
Создание подробных отчетов

В среднем, компания без SIEM системы выглядит так:

А так выглядит компания с SIEM-системой:

Ключевые характеристики современных SIEM-систем:

Масштабируемость и гибкость развертывания
Сбор событий в реальном времени
Нормализация и категорирование событий
Мониторинг в реальном времени
Профилировка поведения
Расследование угроз
Управление журналами и отчёты по соответствию требованиям
Аналитика
Поддержка управления инцидентами
Мониторинг доступа к данным и активности пользователей
Мониторинг приложений
Простота развертывания и поддержки

Основные этапы внедрения SIEM:

Обследовать инфраструктуру и выбрать способ внедрения (все события обрабатываются в одном месте, или будет распараллеливание?).
Формируем и утверждаем ТЗ.
Разрабатываем руководства администраторов и руководство пользователя.
Устанавливаем и подготавливаем сервер SIEM (интеграция железки, её прописка в сети).
Настройка источников событий. (настраиваем источники на отправку событий SIEM).
Пишем правила реагирования на события. (на данном этапе себя покажут плохо настроенные источники)
Тестовая эксплуатация и накопление статистики. (Один из самых важных этапов)
Корректировка и написание дополнительных правил. (Обучение SIEM)
Завершение тестирования.
Перевод SIEM в полную боевую готовность.

Нужно понимать, что внедрение SIEM – это не дело 1-й недели. В среднем, правильное внедрение SIEM занимает от 6 месяцев.

Преимущества от SIEM ощутимы через 4-6 месяцев его работы в боевом режиме.

Основные вопросы, на которые вы должны дать себе ответ перед внедрением:

Какие повседневные задачи планируете решать с помощью SIEM?
Какое у вас общее число пользователей и сетевых элементов?
Есть ли у вас филиалы, удаленные офисы, события которых нужно учитывать?
Какие системы информационной безопасности у вас есть?
Планируете ли вы анализировать сетевые потоки? (sFlow, netFlow)
Есть ли в вашей инфраструктуре спец. устройства, события которых нужно учитывать?
Как часто происходят инциденты, которые вам необходимо расследовать?
Необходимо ли вас соответствовать каким-либо международным стандартам?

Кому нужен SIEM в первую очередь?