13 टीबी रैम और वितरित स्टोरेज के 0.6 पीटी के साथ 33 दो-यूनिट सर्वर - यह सक्रिय यूबीए के लिए न्यूनतम क्यों है

एकत्र किए गए डेटा का स्क्रीनशॉट:



आधुनिक सुरक्षा प्रणालियाँ संसाधनों के लिए बहुत आकर्षक हैं। क्यों? क्योंकि वे कई उत्पादन सर्वर और व्यावसायिक खुफिया प्रणालियों से अधिक की गणना करते हैं।

वे क्या सोचते हैं? मैं अब समझाता हूँ। चलो एक साधारण से शुरू करते हैं: सम्मेलन द्वारा, सुरक्षात्मक उपकरणों की पहली पीढ़ी बहुत सरल थी - "स्टार्ट अप" और "स्टार्ट अप" के स्तर पर। उदाहरण के लिए, एक फ़ायरवॉल ने कुछ नियमों के अनुसार यातायात की अनुमति दी और दूसरों के अनुसार यातायात की अनुमति नहीं दी। स्वाभाविक रूप से, इसके लिए विशेष कंप्यूटिंग शक्ति की आवश्यकता नहीं है।

अगली पीढ़ी ने अधिक जटिल नियमों का अधिग्रहण किया है। इसलिए, ऐसी प्रतिष्ठित प्रणालियाँ दिखाई दीं जो अजीब उपयोगकर्ता क्रियाओं और व्यावसायिक प्रक्रियाओं में बदलाव के आधार पर, उन्हें पूर्वनिर्धारित टेम्पलेट्स के अनुसार विश्वसनीयता रेटिंग प्रदान करती हैं और ऑपरेशन के लिए मैन्युअल रूप से थ्रेसहोल्ड सेट करती हैं।

अब यूबीए (यूजर बिहेवियर एनालिटिक्स) सिस्टम उपयोगकर्ता व्यवहार का विश्लेषण करते हैं, अन्य कंपनी कर्मचारियों के साथ उनकी तुलना करते हैं, और प्रत्येक कर्मचारी की कार्रवाई की स्थिरता और शुद्धता का मूल्यांकन करते हैं। यह डेटा लेक के तरीकों और काफी संसाधन-गहन होने के कारण किया जाता है, लेकिन मशीन लर्निंग एल्गोरिदम द्वारा स्वचालित प्रसंस्करण - मुख्य रूप से क्योंकि यह आपके हाथों से सभी संभावित परिदृश्यों को लिखने के लिए कई हजार मानव-दिन लेता है।

क्लासिक सिएम

लगभग 2016 तक, दृष्टिकोण को प्रगतिशील माना जाता था जब सभी नेटवर्क नोड्स से सभी घटनाओं को एक जगह इकट्ठा किया जाता है जहां एनालिटिक्स सर्वर स्थित होता है। एनालिटिक्स सर्वर ईवेंट्स को एकत्र कर सकता है, फ़िल्टर कर सकता है और उन्हें सहसंबंध नियमों के अनुसार मैप कर सकता है। उदाहरण के लिए, यदि किसी कार्य केंद्र पर बड़े पैमाने पर फ़ाइल रिकॉर्डिंग शुरू होती है, तो यह एक एन्क्रिप्शन वायरस का संकेत हो सकता है, या यह नहीं हो सकता है। लेकिन सिर्फ मामले में, सिस्टम व्यवस्थापक को एक अधिसूचना भेजेगा। यदि कई स्टेशन हैं, तो मैलवेयर की तैनाती की संभावना बढ़ जाती है। हमें अलार्म उठाना चाहिए।

यदि किसी उपयोगकर्ता ने कुछ अजीब डोमेन पर दस्तक दी है, तो कुछ हफ़्ते पहले पंजीकृत किया गया था, और कुछ मिनटों के बाद यह सभी रंगीन संगीत चला गया, तो यह लगभग निश्चित रूप से एक एन्क्रिप्शन वायरस है। व्यवस्थापकों को सूचित करते हुए, वर्कस्टेशन को बुझाने और नेटवर्क सेगमेंट को अलग करना आवश्यक है।

डीएलपी, फ़ायरवॉल, एंटीस्पैम और इसी तरह के डेटा की तुलना में सिएम ने तुलना की और इससे विभिन्न खतरों के लिए बहुत अच्छी तरह से प्रतिक्रिया करना संभव हो गया। कमजोर बिंदु ये पैटर्न और ट्रिगर्स थे - एक खतरनाक स्थिति पर विचार करने के लिए और क्या नहीं। इसके अलावा, जैसा कि वायरस और विभिन्न पेचीदा DDoS के मामले में, SOC- केंद्र के विशेषज्ञों ने हमले के संकेतों के अपने ठिकानों का निर्माण करना शुरू कर दिया। प्रत्येक प्रकार के हमले के लिए, एक परिदृश्य पर विचार किया गया था, लक्षण बाहर खड़े थे, अतिरिक्त क्रियाएं उन्हें सौंपी गई थीं। यह सब 24-बाय -7 मोड में निरंतर शोधन और समायोजन की आवश्यकता है।

यह काम करता है - इसे स्पर्श न करें, लेकिन सब कुछ अच्छी तरह से काम करता है!

यही कारण है कि यूबीए के बिना करना असंभव है? पहली समस्या यह है कि आपके हाथों से निर्धारित करना असंभव है। क्योंकि विभिन्न सेवाएं अलग-अलग व्यवहार करती हैं - और विभिन्न उपयोगकर्ता भी। यदि आप कंपनी के भीतर औसत उपयोगकर्ता के लिए घटनाओं को पंजीकृत करते हैं, तो समर्थन, लेखांकन, निविदा विभाग और व्यवस्थापक बहुत प्रतिष्ठित होंगे। ऐसी प्रणाली के दृष्टिकोण से व्यवस्थापक स्पष्ट रूप से एक दुर्भावनापूर्ण उपयोगकर्ता है, क्योंकि वह बहुत कुछ करता है और सक्रिय रूप से इसमें क्रॉल करता है। समर्थन दुर्भावनापूर्ण है क्योंकि यह सभी को जोड़ता है। बहीखाता एन्क्रिप्टेड सुरंगों के माध्यम से डेटा प्रसारित करता है। और निविदा विभाग प्रलेखन प्रकाशित करते समय कंपनी के डेटा को लगातार विलय करता है।

निष्कर्ष - प्रत्येक के लिए संसाधन उपयोग परिदृश्यों को निर्धारित करना आवश्यक है। फिर और गहरा। फिर और भी गहरा। फिर प्रक्रियाओं में कुछ परिवर्तन होता है (और यह हर दिन होता है) और फिर से निर्धारित किया जाना चाहिए।

उपयोगकर्ता के लिए आदर्श स्वचालित रूप से निर्धारित होने पर "चलती औसत" जैसी किसी चीज़ का उपयोग करना तर्कसंगत होगा। हम इस पर वापस आएंगे।

दूसरी समस्या यह थी कि हमलावर बहुत अधिक सटीक हो गए थे। इससे पहले, डेटा ड्रेनिंग, भले ही आप हैकिंग के क्षण से चूक गए थे, पकड़ने में काफी आसान था - उदाहरण के लिए, हैकर्स मेल या फ़ाइल होस्टिंग द्वारा खुद के लिए ब्याज की एक फ़ाइल अपलोड कर सकते हैं और, सबसे अच्छा, डीएलपी प्रणाली द्वारा पता लगाने से बचने के लिए इसे एक संग्रह में एन्क्रिप्ट किया गया।

अब सब कुछ और दिलचस्प है। यह हमने पिछले साल के दौरान अपने एसओसी केंद्रों में देखा है।

• फेसबुक पर फोटो भेजने के माध्यम से स्टेनोग्राफी। मैलवेयर को एफबी के साथ पंजीकृत किया गया और समूह को सदस्यता दी गई। समूह में प्रकाशित प्रत्येक तस्वीर एक अंतर्निहित डेटा चंक से सुसज्जित थी जिसमें मैलवेयर के लिए निर्देश थे। जेपीईजी-संपीड़न के दौरान खाते के नुकसान को ध्यान में रखते हुए, यह प्रति चित्र लगभग 100 बाइट्स को स्थानांतरित करने के लिए निकला। इसके अलावा, मैलवेयर ने सोशल नेटवर्क पर एक दिन में 2-3 तस्वीरें पोस्ट कीं, जो कि mimikatz के माध्यम से मर्ज किए गए लॉगिन / पासवर्ड को स्थानांतरित करने के लिए पर्याप्त थीं।
• साइटों पर फॉर्म भरना। मैलवेयर ने एक उपयोगकर्ता एक्शन सिम्युलेटर चलाया, कुछ साइटों पर गया, वहां "फीडबैक" फॉर्म मिले और उनके माध्यम से डेटा भेजा, BASE64 में बाइनरी डेटा एन्कोडिंग। यह हमने नई पीढ़ी के सिस्टम पर पहले ही पकड़ लिया है। क्लासिक सिएम पर, इस तरह की भेजने की विधि के बारे में नहीं पता, सबसे अधिक संभावना है, वे कुछ भी नोटिस नहीं करेंगे।
• एक मानक तरीके से - अफसोस, एक मानक तरीके से - उन्होंने DNS ट्रैफ़िक में डेटा मिलाया। DNS में स्टेग्नोग्राफ़ी के लिए बहुत सारी प्रौद्योगिकियाँ हैं और आम तौर पर DNS के माध्यम से सुरंगों का निर्माण किया जाता है, यहाँ जोर कुछ डोमेन के सर्वेक्षण पर नहीं था, बल्कि अनुरोध के प्रकारों पर था। सिस्टम ने उपयोगकर्ता के लिए DNS ट्रैफ़िक के विकास के बारे में एक मामूली अलार्म उठाया। डेटा को धीरे-धीरे और अलग-अलग अंतराल पर भेजा गया ताकि सुरक्षा सुविधाओं के साथ विश्लेषण करना मुश्किल हो।

पैठ के लिए, वे आमतौर पर कड़ाई से कस्टम वायरस का उपयोग सीधे लक्षित कंपनी के उपयोगकर्ताओं के तहत करते हैं। इसके अलावा, हमले अक्सर एक मध्यवर्ती लिंक से गुजरते हैं। उदाहरण के लिए, पहले ठेकेदार से समझौता किया जाता है, और फिर इसके माध्यम से मैलवेयर को मुख्य कंपनी में दर्ज किया जाता है।

हाल के वर्षों के वायरस लगभग हमेशा रैम में सख्ती से बैठते हैं और बहुत पहले दृष्टिकोण पर हटा दिए जाते हैं - निशान की अनुपस्थिति पर जोर। ऐसी स्थितियों में फोरेंसिक बहुत मुश्किल है।

कुल मिलाकर नतीजा - एसईएम खराब काम करता है। बहुत कुछ जो दृष्टि से बाहर हो जाता है। कुछ इस तरह, एक खाली जगह बाजार पर दिखाई दी: ताकि सिस्टम को हमले के प्रकार के लिए ट्यून न करना पड़े, लेकिन वह खुद समझ गई कि क्या गलत था।

उसने खुद को कैसे "समझा"?

बैंकों में मनी लॉन्ड्रिंग के खिलाफ सुरक्षा के लिए पहले प्रतिष्ठित सुरक्षा प्रणालियां एंटीफ्रॉड मॉड्यूल थीं। बैंक के लिए, मुख्य बात सभी धोखाधड़ी लेनदेन की पहचान करना है। यही है, यह थोड़ा भी पीछे हटने के लिए दया नहीं है, मुख्य बात यह है कि मानव ऑपरेटर समझता है कि पहले क्या देखना है। और वह बहुत छोटे अलार्म से अभिभूत नहीं था।

सिस्टम इस तरह काम करते हैं:

1. वे कई मापदंडों के आधार पर एक उपयोगकर्ता प्रोफ़ाइल का निर्माण करते हैं। उदाहरण के लिए, वह आम तौर पर पैसे कैसे खर्च करता है: वह क्या खरीदता है, कैसे खरीदता है, कितनी जल्दी वह एक पुष्टिकरण कोड में प्रवेश करता है, किस उपकरण से वह करता है, आदि।
2. तर्क परत यह जांचती है कि लेनदेन के बीच की अवधि के लिए परिवहन के किसी अन्य बिंदु पर भुगतान उस बिंदु से समय पर प्राप्त करना संभव है या नहीं। यदि खरीद किसी अन्य शहर में है, तो यह जांचा जाता है कि क्या उपयोगकर्ता अक्सर दूसरे शहरों में यात्रा करता है, यदि किसी अन्य देश में - चाहे उपयोगकर्ता अक्सर अन्य देशों का दौरा करता है, और हाल ही में खरीदा गया एयरलाइन टिकट एक मौका जोड़ता है कि अलार्म की आवश्यकता नहीं है।
3. प्रतिष्ठा मॉड्यूल - यदि उपयोगकर्ता अपने सामान्य व्यवहार के ढांचे के भीतर सब कुछ करता है, तो उसके कार्यों के लिए सकारात्मक अंक (बहुत धीरे) से सम्मानित किया जाता है, और यदि atypical - नकारात्मक के ढांचे में।

आइए बाद के बारे में अधिक विस्तार से बात करते हैं।

उदाहरण 1. आपका सारा जीवन आपने अपने आप को मैकडॉनल्ड्स में शुक्रवार को पाई और कोला खरीदा, और फिर मंगलवार सुबह अचानक 500 रूबल खरीदा। एक गैर-मानक समय के लिए माइनस 2 अंक, एक गैर-मानक खरीद के लिए शून्य से 3 अंक। आपके लिए अलार्म सीमा -20 पर सेट है। कुछ भी नहीं हो रहा है।

लगभग 5-6 ऐसी खरीदारी के लिए, आप इन बिंदुओं को शून्य पर वापस ले लेंगे, क्योंकि सिस्टम यह याद रखेगा कि मंगलवार की सुबह मैकडॉनल्ड्स जाना आपके लिए सामान्य है। बेशक, मैं बहुत सरल करता हूं, लेकिन काम का तर्क लगभग समान है।

उदाहरण 2. आपका सारा जीवन आपने एक नियमित उपयोगकर्ता के रूप में अपने आप को विभिन्न छोटी चीजों को खरीदा। आप किराने का भुगतान करेंगे (सिस्टम पहले से ही "जानता है" कि आप आमतौर पर कितना खाते हैं और जहां आप सबसे अधिक बार खरीदते हैं, या इसके बजाय, यह नहीं जानता, लेकिन बस अपने प्रोफ़ाइल में लिखता है), फिर एक महीने के लिए मेट्रो के लिए टिकट खरीदें, या कुछ छोटा ऑर्डर करें। ऑनलाइन स्टोर के माध्यम से। और अब आप हांगकांग में 8 हजार डॉलर में एक पियानो खरीदते हैं। सकता है? सका। आइए अंक देखें: -15 यह एक मानक धोखाधड़ी की तरह दिखता है, -10 एक गैर-मानक राशि के लिए, -5 एक गैर-मानक स्थान और समय के लिए, -5 किसी अन्य देश के लिए एक टिकट खरीदने के बिना, -7 पहले कुछ भी उपयोग नहीं करने के लिए वे विदेश में ले गए, अपने मानक उपकरण के लिए +5, बैंक के अन्य उपयोगकर्ताओं ने वहां क्या खरीदा।

आपके लिए अलार्म सीमा -20 पर सेट है। लेन-देन "निलंबित" है, बैंक के आईबी का एक कर्मचारी स्थिति को समझने लगता है। यह बहुत ही साधारण मामला है। सबसे अधिक संभावना है, 5 मिनट के बाद, वह आपको कॉल करेगा और कहेगा: "क्या आपने वास्तव में हांगकांग में एक म्यूजिक स्टोर पर सुबह 4 बजे 8 हजार डॉलर में कुछ खरीदने का फैसला किया है?" यदि आप हां में जवाब देते हैं, तो वे लेनदेन को छोड़ देंगे। डेटा एक बार पूर्ण क्रिया के रूप में प्रोफ़ाइल में आ जाएगा, फिर समान क्रियाओं के लिए कम नकारात्मक बिंदु दिए जाएंगे जब तक कि वे बिल्कुल आदर्श नहीं बन जाते।

जैसा कि मैंने कहा, मैं वास्तव में, वास्तव में सरल करता हूं। बैंक वर्षों से प्रतिष्ठा प्रणाली में निवेश कर रहे हैं और उन्हें वर्षों से सम्मानित कर रहे हैं। अन्यथा, खच्चरों का एक झुंड वास्तव में तेजी से पैसा निकालता है।

इसे उद्यम सूचना सुरक्षा में कैसे स्थानांतरित किया जाता है?

धोखाधड़ी और एंटी-मनी लॉन्ड्रिंग एल्गोरिदम के आधार पर, व्यवहार विश्लेषण प्रणाली दिखाई देती है। एक पूर्ण उपयोगकर्ता प्रोफ़ाइल एकत्र की जाती है: यह कितनी जल्दी प्रिंट करता है, यह किन संसाधनों तक पहुंचता है, यह किसके साथ सहभागिता करता है, यह कौन सा सॉफ़्टवेयर लॉन्च करता है - सामान्य तौर पर, वह सब कुछ जो उपयोगकर्ता हर दिन करता है।

एक उदाहरण है। उपयोगकर्ता अक्सर 1 सी के साथ बातचीत करता है और अक्सर वहां डेटा दर्ज करता है, और फिर अचानक दर्जनों छोटी रिपोर्टों में पूरे डेटाबेस को अनलोड करना शुरू कर देता है। उनका व्यवहार ऐसे उपयोगकर्ता के लिए मानक व्यवहार से परे है, लेकिन उनकी तुलना टाइप (सबसे अधिक संभावना है, ये अन्य एकाउंटेंट होंगे) के समान प्रोफाइल के व्यवहार से की जा सकती है - यह स्पष्ट है कि उनके पास निश्चित समय पर आने वाली रिपोर्ट के एक सप्ताह हैं और वे सभी ऐसा करते हैं। संख्याएँ समान हैं, कोई अन्य अंतर नहीं हैं, अलार्म नहीं उठता है।

एक और उदाहरण। एक उपयोगकर्ता ने अपने पूरे जीवन में एक फ़ाइल बॉल के साथ काम किया है, एक दिन में दर्जनों दस्तावेजों की एक जोड़ी की रिकॉर्डिंग की, और फिर अचानक उसने सैकड़ों और हजारों फाइलों को लेना शुरू कर दिया। और एक अन्य डीएलपी का कहना है कि यह कुछ महत्वपूर्ण बाहर भेजता है। शायद निविदा विभाग ने प्रतियोगिता के लिए तैयारी शुरू कर दी है, हो सकता है कि "चूहा" प्रतियोगियों को डेटा लीक कर रहा हो। प्रणाली, निश्चित रूप से, यह नहीं जानती है, लेकिन बस इसके व्यवहार का वर्णन करती है और सुरक्षा गार्डों को सचेत करती है। मूल रूप से, एक नए कर्मचारी, तकनीकी सहायता या सीईओ का व्यवहार, "गलत तरीके से किए गए कोसैक" के व्यवहार से अलग हो सकता है और सुरक्षा कर्मियों का कार्य सिस्टम को यह बताना है कि यह सामान्य व्यवहार है। वैसे भी प्रोफ़ाइल का पालन किया जाएगा, और अगर सामान्य निर्देशक के खाते से छेड़छाड़ की जाती है और प्रतिष्ठा अंक पर गिर जाती है, तो अलार्म उठ जाएगा।

उपयोगकर्ता प्रोफ़ाइल यूबीए प्रणाली के लिए नियमों को जन्म देती है। अधिक सटीक रूप से, हजारों आंकड़े जो नियमित रूप से बदलते हैं। प्रत्येक उपयोगकर्ता समूह के अपने सिद्धांत हैं। उदाहरण के लिए, इस प्रकार के उपयोगकर्ता प्रति दिन 100 एमबी भेजते हैं, दूसरे के उपयोगकर्ता प्रति दिन 1 जीबी भेजते हैं, अगर यह सप्ताहांत नहीं है। और इसी तरह। यदि पहले वाला 5 जीबी भेजता है, तो यह संदेहास्पद है। और अगर दूसरा - तो नकारात्मक बिंदु होंगे, लेकिन वे अलार्म थ्रेसहोल्ड नहीं तोड़ेंगे। लेकिन अगर पास में वह नए डोमेन पर संदेह करने के लिए DNS को चालू करता है, तो कुछ और नकारात्मक बिंदु होंगे और अलार्म पहले से ही होगा।

दृष्टिकोण यह है कि यह नियम नहीं है "यदि अजीब डीएनएस प्रश्न थे और फिर ट्रैफिक कूद गया, तो ...", और नियम "यदि प्रतिष्ठा -20 तक पहुंच गई, तो ..." - उपयोगकर्ता या प्रक्रिया की प्रतिष्ठा के लिए अंकों का प्रत्येक व्यक्तिगत स्रोत स्वतंत्र और निर्धारित है। विशेष रूप से उसके व्यवहार का आदर्श। स्वचालित रूप से।

उसी समय, सबसे पहले, सूचना सुरक्षा विभाग सिस्टम को प्रशिक्षित करने और यह निर्धारित करने में मदद करता है कि क्या आदर्श है और क्या नहीं है, और फिर सिस्टम को एडाप्ट करता है, वास्तविक ट्रैफ़िक और उपयोगकर्ता गतिविधि लॉग पर खुद को फिर से रखता है।

हम क्या डालते हैं

एक सिस्टम इंटीग्रेटर के रूप में, हम अपने ग्राहकों को सूचना सुरक्षा के संचालन प्रबंधन ( एसओसी सीआरओसी सेवा प्रबंधित) के लिए एक सेवा प्रदान करते हैं। एसेट मैनेजमेंट, वल्नरेबिलिटी मैनेजमेंट, सिक्योरिटी टेस्टिंग और थ्रेट इंटेलिजेंस जैसी प्रणालियों के साथ एक प्रमुख घटक, जो हमारे क्लाउड इन्फ्रास्ट्रक्चर से उपलब्ध है, क्लासिक एमएमबी और प्रोएक्टिव यूबीए के बीच की कड़ी है। इसी समय, ग्राहक की इच्छा के आधार पर, यूबीए के लिए हम Hadoop + Hive + Redis + Splunk Analytics पर आधारित Hadoop (हंक) बंडल के लिए बड़े विक्रेताओं और हमारे अपने विश्लेषणात्मक प्रणाली के दोनों औद्योगिक समाधानों का उपयोग कर सकते हैं।

निम्नलिखित समाधान हमारे क्लाउड एसओसी सीआरओ से या आधार मॉडल के अनुसार व्यवहार विश्लेषण के लिए उपलब्ध हैं:

• एक्साबेम: शायद सबसे उपयोगकर्ता के अनुकूल यूबीए-प्रणाली जो आपको उपयोगकर्ता ट्रैकिंग तकनीक के माध्यम से एक घटना की जल्दी से जांच करने की अनुमति देती है, जो एक वास्तविक उपयोगकर्ता के साथ आईटी बुनियादी ढांचे (उदाहरण के लिए, एसए खाते के तहत स्थानीय डेटाबेस लॉगिन) में गतिविधि को जोड़ती है। लगभग 400 जोखिम-स्कोरिंग मॉडल शामिल हैं जो हर अजीब या संदिग्ध कार्रवाई के लिए उपयोगकर्ता जुर्माना बिंदु जोड़ते हैं;
• Securonix: एक बहुत ही संसाधन-भूख, लेकिन अत्यंत प्रभावी, व्यवहार विश्लेषण प्रणाली। सिस्टम को बिग डेटा प्लेटफॉर्म के शीर्ष पर रखा गया है, लगभग 1000 मॉडल बॉक्स से बाहर उपलब्ध हैं। उनमें से ज्यादातर उपयोगकर्ता गतिविधि के लिए मालिकाना क्लस्टरिंग तकनीक का उपयोग करते हैं। इंजन बहुत लचीला है, आप सीईएफ प्रारूप के किसी भी क्षेत्र को ट्रैक और क्लस्टर कर सकते हैं, वेब सर्वर लॉग द्वारा प्रति दिन अनुरोधों की औसत संख्या से विचलन से शुरू होता है और उपयोगकर्ता ट्रैफ़िक के लिए नए नेटवर्क इंटरैक्शन की पहचान के साथ समाप्त होता है;
• स्पंक यूबीए: स्प्लंक ईएस के लिए एक अच्छा अतिरिक्त है। बॉक्स से बाहर का नियम आधार छोटा है, लेकिन किल चेन के संदर्भ में, जो आपको छोटी घटनाओं से विचलित नहीं होने देता है और वास्तविक हैकर पर ध्यान केंद्रित करने की अनुमति देता है। और हां, हमारे पास स्प्लंक मशीन लर्निंग टूलकिट पर सांख्यिकीय डेटा प्रोसेसिंग की सारी शक्ति और संचित डेटा की संपूर्ण मात्रा का पूर्वव्यापी विश्लेषण है।

और महत्वपूर्ण खंडों के लिए, चाहे वह एक स्वचालित प्रक्रिया नियंत्रण प्रणाली हो या एक प्रमुख व्यावसायिक अनुप्रयोग, हम उत्पादक प्रणाली से हैकर का ध्यान हटाने के लिए उन्नत फोरेंसिक और हैंटटॉप को इकट्ठा करने के लिए अतिरिक्त सेंसर लगाते हैं।

संसाधनों का समुद्र क्यों?

क्योंकि सभी घटनाओं को लिखा जाता है। यह Google Analytics की तरह है, केवल स्थानीय वर्कस्टेशन पर। स्थानीय नेटवर्क पर, आंकड़ों और प्रमुख घटनाओं के बारे में इंटरनेट मेटाडेटा के माध्यम से डेटा झील में सभी घटनाओं को भेजा जाता है, लेकिन अगर एसओसी ऑपरेटर घटना की जांच करना चाहता है, तो एक रिकॉर्ड पूर्ण लॉग भी है। सब कुछ एकत्र किया जाता है: अस्थायी फाइलें, रजिस्ट्री कुंजी, सभी चल रही प्रक्रियाएं और उनके चेकसम, जो स्टार्टअप में लिखे गए हैं, कार्रवाई, स्क्रैन्कास्ट - जो भी हो। नीचे एकत्र आंकड़ों का एक उदाहरण है।

कार्य केंद्र से मापदंडों की सूची:







स्टोरेज और रैम के संदर्भ में सिस्टम बहुत अधिक जटिल हो जाते हैं। क्लासिक कोलम्बिया 64 जीबी रैम, एक दो प्रोसेसर और आधा टेराबाइट स्टोरेज के साथ शुरू होता है। यूबीए रैम और उच्चतर के एक टेराबाइट से है। उदाहरण के लिए, हमारा अंतिम कार्यान्वयन 33 भौतिक सर्वर (डेटा प्रोसेसिंग के लिए 28 कंप्यूटिंग नोड्स (लोड बैलेंसिंग के लिए 5 नियंत्रण नोड्स), 150 टीबी झीलें (हार्डवेयर में 600 टीबी, इंस्टेंस पर फास्ट कैश सहित), और प्रत्येक में 384 जीबी रैम था।

इसकी जरूरत किसे है?

सबसे पहले, जो लोग "जोखिम क्षेत्र" में हैं और उन पर लगातार हमले हो रहे हैं वे हैं बैंक, वित्तीय संस्थान, तेल और गैस क्षेत्र, बड़े खुदरा और कई अन्य।

ऐसी कंपनियों के लिए, डेटा रिसाव या हानि की लागत दसियों या सैकड़ों मिलियन डॉलर तक हो सकती है। लेकिन यूबीए-सिस्टम स्थापित करने में बहुत कम खर्च आएगा। और निश्चित रूप से, राज्य के स्वामित्व वाली कंपनियों और टेलीकॉम, क्योंकि कोई भी किसी बिंदु पर लाखों रोगियों या लाखों लोगों के पत्राचार का उपयोग नहीं करना चाहता है।

संदर्भ

• SOC केंद्र
• एक बड़ी कंपनी जो 5 साल से सूचना सुरक्षा में नहीं लगी है और बच गई है
• मालिकाना यूबीए सिस्टम साइट
• प्रश्नों के लिए मेरा मेल dberezin@croc.ru है