Miroslav Knapovský CISSP, CEH, CCSK Security Solution Architect

Transkript

1 >Důvody, proč se věnovat správě logů 1.února 2017 Miroslav Knapovský CISSP, CEH, CCSK Security Solution Architect

2 Nějak se nám to tady množí Roků k další miliardě Světová populace Rok Miliard obyvatel * 8 *optimistický výhled Zdroj: wikipedia.org 27. ledna 2017 / Strana 2

3 Nějak se nám to tady množí Množství logů ve firmě Zaměstnanců EPS Dní do Miliardy logů Plánování kapacity? > ~ 3000 zaměstnanců > ~ 1000 zdrojů / EPS / 120 GB logů denně > ~ Miliarda logů za týden Zdroj: ČT 09/ ledna 2017 / Strana 3

4 Proč se sběrem/pochopením logů zabývat? >Praktické / provozní důvody Logy uložené na různých zařízeních nebo vůbec Velikost jednotlivých log souborů a jejich rotace Nejde centrálně vyhledávat / Kritický IT incident Whitepaper na logmanager.cz >Bezpečnostní důvody Korelace statistické, bezpečnostní Nebezpečí modifikace logů Přehled o anomáliích, incidentech >Zákonné důvody Zákon o kybernetické bezpečnosti - 23 General Data Protection Regulation od května ledna 2017 / Strana 4

5 LOGmanagement příklady použití

6 LOGmanagement a Kritický IT Incident KRITICKÝ IT INCIDENT VĚTŠINA ORGANIZACÍ ZAŽIJE 1-3 MĚSÍČNĚ Nastane, když je nefunkční business aplikace nebo infrastruktura, na které je kritická aplikace navázaná. Obvyklý čas vyřešení +-6 hodin. Dva důležité pojmy MTTR a RCA pro CIO: čas jsou peníze Snížit MTTR/RCA umožňuje IT Operation Intelligence Základem IT OPS je vhodný nástroj na sběr logů - Viditelnost - Koordinace - Produktivita při řešení incidentu 27. ledna 2017 / Strana 6

7 LOGmanagement příklady použití SHODA S PŘEDPISY Organizace vzhledem ke svému působení potřebuje centrální systém správy, analýzy a reportování výstupů z bezpečnostních zařízení, operačních systémů a aplikací. MONITORING BEZPEČNOSTNÍCH ZAŘÍZENÍ SÍŤOVÁ BEZPEČNOST Sledování a korelace výstupů ze zařízení pro síťovou bezpečnost jako jsou firewally, IDS/IPS systémy, bezdrátové sítě, systémy na vzdálený přístup, proxy a podobně. Statistiky VPN, konfigurace VPN, aktivita připojování. Statistiky a reporty Web Content Filtering. SLEDOVÁNÍ KONFIGURAČNÍCH ZMĚN A PŘÍSTUPŮ Kdo, kdy a s jakým výsledkem provedl nebo se pokoušel provést konfigurační změny v zařízeních. Sledovat přístup k souborům a adresářovým službám na systémech s citlivými daty. 27. ledna 2017 / Strana 7

8 LOGmanagement příklady použití 2 PODKLADY PRO AUDIT Pravidelně vytvářet reporty s definovaným obsahem. Sledovat přístup ke kritickým systémům. Alertovat přihlášení privilegovaných uživatelů. Sledovat, notifikovat, zaznamentat, upozornit dohledový systém INFORMACE SOUVISEJÍCÍ S OVĚŘOVÁNÍM DO SÍTĚ NETWORK LOGIN DLE 802.1X Operační analýza podpory nasazování a provozování ověřování přístupu do sítě. Audit logy úspěšných a neúspěšných přihlášení. DRILL-DOWN V UDÁLOSTECH Možnost z obrovského bloku dat rychle a interaktivně najít hledaná data. Uložit si pohled na vyhledaná data pro pozdější použití. Umožnit přístup k vybraným datům v rámci organizace. 27. ledna 2017 / Strana 8

9 ACT PROCESS COLLECT Blokovaný účet správce AD Síťová Systémy Bezpečnostní Aplikace Přepínače Routery FlowMon FW IPS WLAN Stanice Servery VPN SandBox Anti Web aplikace Databáze Virtualizace AD CRM V grafickém rozhraní dashboard Windows Logon Event najít logon fail příslušného uživatele Identifikovat službu, která používá lokálního uživatele Předat překvapenému administrátorovi informaci, že na serveru XY běží pod lokálním uživatelem danou službu

10 Snímek obrazovky z akce

11 LOGmanager představení

12 Schéma LOGmanager REST-API Syslog -out Prezentační rozhraní Forwarder WAN vzdálený sběr s šifrováním, QoS a bufferem LAN přímý sběr Aplikační engine Syslog Syslog NG WES Windows Event Sender UDP JSON TCP CEF File Buffer Parser 12/40TB Database DB Log4j/XML CheckPoint, VMWARE, SQL LOGmanager 27. ledna 2017 / Strana 12

13 LOGmanager rozhraní 27. ledna 2017 / Strana 13

14 Přehled funkcí >Dashboardy >Alerty >Reporty >Databáze zařízení >Systém oprávnění >Vestavěné i zákaznicky vytvářené parsery logů >Agent pro Windows s filtrací irelevantních událostí 27. ledna 2017 / Strana 14

15 LOGmanager parametry a roadmapa reference

16 Podporovaná zařízení HARDWARE: SOFTWARE: WINDOWS: LINUX: Brocade SAN, Cisco (ASA, WLC), FortiNet (FG, Apache web server, Cisco IOS, CEF, CEF ESET Remote Administrator, Microsoft Windows Freeradius, ISC Bind, ISC DHCP, SSH FML, FA), H3C, HP (ComWare i ProCurve), TippingPoint SMS, Novell edirectory, CompuNet IIS, Microsoft Windows firewall, Windows Avast CheckPoint, Juniper SRX, Kernun, Trapeze wifi, GAMA, HP ilo 4, HP imc, Kerio Connect, SAP, Antivirus, Windows 7, 8, Server 2008, 2012 audit UBNT (Rocket, Unifi) AV (Eset, Avast, AVG), VMware log (WES), Windows any logs from Event Viewer, Windows any text log from file a všechny systémy, co používají CEF (a brzy i LEEF) formát logů 27. ledna 2017 / Strana 16

17 Parametry >Trvalý příjem nebo eventů za sekundu (dle modelu) >Podpora clusteringu. >Neomezený počet zdrojů. >V základu uložení 12/40TB logů se snadným škálováním výkonu i úložné kapacity. >Snadný a přehledný systém licencování. Ž Á D N É >Přímá technická podpora výrobcem v českém jazyce. L I C E N C E 27. ledna 2017 / Strana 17

18 Reference Česká televize možnost návštěvy Česká zemědělská univerzita Ostravská univerzita Městská část Praha 3 Státní zemědělský intervenční fond Krajská zdravotní a.s. Vojenské lesy a.s. 27. ledna 2017 / Strana 19

19 LOGmanager poslední slide ;-) >Řešení Kritických IT Incidentů >Plní požadavky Zákona o kybernetické bezpečnosti, GDPR a ISO/IEC >Uschování logů pro předložení organizacím zabývajících se bezpečností CESNET CERST a CIRST nebo Policii ČR. >Centrální přehled s grafickou prezentací >Intuitivní a rychlé vyhledávání >Forenzní analýza >Alerty, reporty >Sjednocení formátu logů >Dlouhodobé uložení se zálohováním do NFS >Podpora clusteru v základu >Centrální úložiště logů s obrovskou kapacitou A to vše bez licencí, v češtině a na výkonném hardware s výměnou do příštího pracovního dne ledna 2017 / Strana 20

20 Děkuji za pozornost Miroslav Knapovský CISSP, CEH, CCSK Security Solution Architect Vývojář: Sirwisa a. s. Distribuce: Veracomp s. r. o.