SIEM és naplókezelés
Valós idejű fenyegetésészlelést és irányítópultokat építünk ki, hogy a teljes környezetben lássa, mi történik.
Mikor van értelme
Mikor jön el a SIEM ideje
A SIEM az alapvédelemre épül. Ha a kívülről elérhető szolgáltatásokon nincs MFA, nincs izolált és tesztelt mentés, alapszintű hálózati szegmentálás vagy végpontvédelem, azokkal érdemes kezdeni.
Arra való, hogy észrevegye a támadást, és utólag rekonstruálni lehessen, mi történt. Hogy az észlelés valóban működik-e, azt egy red team gyakorlat méri.
Van, aki reagáljon
A riasztásokat valakinek néznie kell: belső csapatnak vagy szerződött szolgáltatónak.
Megfelelőségi kötelezettség
Jogszabály vagy szabvány írja elő a naplógyűjtést, a részletek a GYIK-ben.
Több forrás összefüggései
Olyan összefüggéseket kell látni több forrásból, amelyeket egyetlen eszköz sem mutat meg.
A folyamat
Hogyan épül fel egy SIEM-bevezetés
A SIEM-bevezetésről szóló cikkünk szerint előbb néhány alapkérdést kell tisztázni, utána három lépésben érdemes haladni, a naplóforrásokat pedig abban a sorrendben bekötni, amely a legkevesebb adatmennyiségért a legtöbb értéket adja. A forrásonkénti részletek a naplózásról szóló cikkünkben olvashatók.
-
Előkészítés
Előre tisztázni kell, meddig legyen a napló azonnal kereshető és meddig archivált. A cikk szerint egy incidensvizsgálatnál gyakran a 90 napnál régebbi napló dönt, mert a támadó hetekkel korábban jött be. Az eszközök óráit NTP-vel kell szinkronizálni, lehetőleg UTC-ben naplózva, különben a korreláció használhatatlan. A naplók személyes adatot is tartalmaznak, ezért a hozzáférést korlátozni kell, és ennek az adatkezelési tájékoztatóban is szerepelnie kell.
-
Indulás három forrással
Az identitás (tartományvezérlő, felhős azonosítás), a végpontvédelem és a tűzfal a VPN-nel együtt a valós incidensek túlnyomó részét lefedi. A naplót a SIEM-be kell másolni, mert az eszközön maradó napló a támadó kezében van.
-
Használati esetek és hangolás
Érdemes kevés szabállyal indulni, a cikk szerint öt-tíz jól hangolt szabály többet ér, mint kétszáz gyári. A téves riasztásokat egyenként kell rendezni szűk kivétellel, finomított szabállyal vagy tudatos elfogadással. Ez a munka maga a bevezetés.
-
Bővítés
Ha az első források megbízhatóan működnek, jönnek a kritikus kiszolgálók (fájlszerver, adatbázis, mentőrendszer), a levelezés és a felhős alkalmazások, végül a hálózati eszközök és a proxy, valamint az EDR, a WAF és a levélszűrő saját naplója.
Kiinduló szabályok
Használati esetek az első szabálykészlethez
A SIEM-bevezetésről szóló cikkünk ezt a hét kiindulópontot ajánlja. Hogy melyik kerül be, az a bekötött forrásoktól függ.
Lehetetlen utazás
Két bejelentkezés olyan távoli helyekről, ami fizikailag kizárt.
Kiemelt csoport tagságának változása
Például bővül a tartományi adminisztrátorok köre.
Sikeres bejelentkezés sok sikertelen után
Jelszópróbálgatás sikeres végére utalhat.
Naplótörlés vagy a naplózás kikapcsolása
A támadó első dolga a nyomok eltüntetése. Normál üzemben senki nem csinál ilyet.
Új szolgáltatás vagy ütemezett feladat
Kiszolgálón létrehozva gyakran a tartós jelenlét kiépítését jelzi.
Sikertelen vagy törölt mentési feladat
A zsarolóvírus-támadások első célpontja a mentés.
Szokatlanul nagy kimenő adatforgalom
Adatkiszivárgás jele lehet.
Referenciák
Központi naplózás a gyakorlatban
Mindkét projektben FortiAnalyzer-VM gyűjti egy helyre a hálózati és biztonsági eszközök naplóit, beépített SIEM- és SOAR-képességgel.
Egyetemi és gimnáziumi hálózat
Az egyetem virtuális környezetében konfiguráltuk a naplógyűjtést, valós idejű rendszerfigyeléssel és előre elkészített jelentésekkel, hogy a hibák visszakereshetők legyenek.
Önkormányzati hálózat
A külső intézmények, óvodák és bölcsődék tűzfalait a Security Fabric segítségével a központi tűzfalba és a FortiAnalyzerbe integráltuk, így a naplózás is központi. A levélszűrő naplózása és riportolása is itt történik.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Naplózási koncepció
- SIEM használati esetek
- Korrelációs szabályok
- Riasztáskezelési eljárásrend
- Üzemeltetési kézikönyv
- Adminisztrátori betanítás és tudásátadás
- Utókövetés: a bevezetett kontrollok hatékonyságának mérése
Gyakori kérdések
Amit a legtöbben kérdeznek
Miért nem érdemes minden naplót begyűjteni?
Mert a licencköltség jellemzően adatmennyiség-alapú, így a felesleges napló pénzbe kerül, és közben elfedi a lényeget. A naplózásról szóló cikkünk becslése szerint egy 200 fős szervezetnél a teljes gyűjtés nagyságrendileg napi 10–25 GB. Az érték nagy részét az identitás és a végpont adja, a nyers hálózati forgalom mentése ritkán éri meg.
Ki nézi a riasztásokat éjjel és hétvégén?
Ezt a bevezetés előtt kell eldönteni: ki nézi a riasztásokat hétfőn reggel kilenckor, és ki vasárnap hajnali háromkor. Ha a második kérdésre nincs válasz, akkor felügyelt szolgáltatás (MDR/SOC) kell, vagy előre el kell fogadni, hogy a hétvégi incidens hétfőig vár. A SIEM-bevezetésről szóló cikkünk szerint egy 24/7 belső csapat legalább öt-hat főt igényel, ez a legtöbb közepes vállalatnál nem éri meg. Egyedi megállapodással munkaidőn túli elérhetőséget és rögzített reagálási időt is vállalunk.
Miben más a SIEM, mint az EDR vagy az XDR?
Az EDR a végponton keres gyanús viselkedést, és lehetővé teszi a beavatkozást, például a gép izolálását. Az XDR ezt terjeszti ki több adatforrásra (végpont, hálózat, levelezés, felhő), hogy az egyes riasztásokból összefüggő támadási lánc rajzolódjon ki. A SIEM naplógyűjtő és korreláló rendszer, amely több forrás eseményeit összefésüli és riasztásokat képez belőlük. A riasztásokra adott válasz automatizálása a SOAR feladata. A fogalmakat a fogalomtárban is összegyűjtöttük.
Mit teljesít a SIEM a NIS2 és az ISO 27001 szerint?
Az ISO 27001-ben a naplózás (A.8.15) és a monitorozás (A.8.16) kontrollját. A NIS2 intézkedései közül a biztonsági intézkedések hatékonyságának mérését (6.) és az incidensészlelést és -kezelést (2.) támogatja. A bejelentési határidőknél is számít: a 24 órás korai előrejelzéshez tudni kell, hogy incidens történt. Naplógyűjtés és riasztás nélkül a szervezet gyakran hetekkel később, külső jelzésből értesül. Az incidens utáni teendőkről az első 24 óráról szóló cikkünkben írtunk.
