2. चेक प्वाइंट लॉग विश्लेषण: SmartEvent

नमस्कार साथियों! पिछली बार, लेख में "1। चेक प्वाइंट लॉग का विश्लेषण: स्प्लंक के लिए आधिकारिक चेक प्वाइंट एप्लीकेशन » हमने स्प्लंक लॉगिंग सिस्टम में आधिकारिक एप्लिकेशन के आधार पर सुरक्षा गेटवे के लिए लॉग के विश्लेषण पर चर्चा की। निष्कर्ष में, वे इस निष्कर्ष पर पहुंचे कि यद्यपि त्वरित समाधान के रूप में आवेदन बहुत सुविधाजनक है, लेकिन इस स्तर पर यह अधूरा है - बड़ी संख्या में डैशबोर्ड कॉन्फ़िगर नहीं किए गए हैं, जो सूचना सुरक्षा के दृष्टिकोण से संगठन में क्या हो रहा है, यह समझने के लिए सुरक्षा इंजीनियर पर ध्यान देना बहुत महत्वपूर्ण है। इस लेख में हम SmartEvent कार्यक्षमता के साथ लॉग देखने और विश्लेषण करने की संभावनाओं पर चर्चा करेंगे, जो ध्यान देने योग्य है और विचार करें कि इवेंट ऑटोमेशन के लिए कौन से विकल्प उपलब्ध हैं।

SmartEvent संदिग्ध गतिविधि की पहचान करने, रुझानों को ट्रैक करने और सूचना सुरक्षा घटनाओं की जांच करने के लिए सभी चेक प्वाइंट गेटवे से लॉग की तुलना करता है। डेटा विश्लेषण वास्तविक समय में होता है, जो आपको किसी घटना पर तुरंत प्रतिक्रिया करने की अनुमति देता है। SmartEvent को प्रबंधन सर्वर पर उत्पादों की सूची में शामिल किया गया है, लेकिन इसके लिए एक अलग लाइसेंस की आवश्यकता होती है, इसमें ऐसे दृश्य और रिपोर्ट होते हैं, जिन्हें आप स्वयं बना सकते हैं या पहले से स्थापित लोगों का उपयोग कर सकते हैं।

वास्तव में, कार्य करने की कार्यक्षमता के लिए, आपको बस प्रबंधन सर्वर की सेटिंग में ब्लेड को सक्षम करने की आवश्यकता है, आपको तुरंत उन रिपोर्टों का एक सेट मिलता है जो उत्पन्न हो सकते हैं, इसके अलावा स्मार्टवर्क सेटिंग्स और पॉलिसी स्नैप-इन के अलावा, आपके कार्यों के आधार पर नई रिपोर्ट बनाने की संभावना है, इवेंट ऑटोमेशन के नियम कॉन्फ़िगर किए गए हैं।

पहले मानक स्मार्टइवेंट रिपोर्ट पर विचार करें। मैं प्रबंधन सर्वर पर स्थापित GAIA R80.20 ऑपरेटिंग सिस्टम के संस्करण पर भी ध्यान आकर्षित करता हूं।

मानक स्मार्टइवेंट रिपोर्ट

बड़ी संख्या में पूर्वनिर्धारित, आसानी से अनुकूलन योग्य सुरक्षा घटनाओं के साथ, आप स्मार्टइवेंट को लॉन्च कर सकते हैं और मिनटों में खतरे की जानकारी एकत्र करना शुरू कर सकते हैं। ब्लेड को सक्रिय करने के तुरंत बाद, आपको बड़ी संख्या में मानक स्मार्टइवेंट रिपोर्ट बनाने का अवसर मिलता है, जिसे आप नीचे दी गई तस्वीर में देख सकते हैं।



अंतर्निहित रिपोर्टिंग एक सतत सुरक्षा प्रक्रिया को सक्षम करती है। और यह सूचना सुरक्षा के लिए एक शर्त है।
आइए मुख्य विचारों और रिपोर्टों की एक छोटी समीक्षा के माध्यम से चलते हैं।

1) खतरा निवारण

इस स्कैन में सबसे दिलचस्प जानकारी उन सभी IPS हस्ताक्षरों की सूची है, जिन्हें केवल पता लगाया गया था लेकिन अवरुद्ध नहीं किया गया था। सुरक्षा नीति सेटिंग्स के अनुसार, कई हस्ताक्षर केवल पता लगाए जा सकते हैं, यह वांछनीय नहीं है, लेकिन इससे भी बदतर, जब ये हस्ताक्षर ट्रैफ़िक में देखे गए थे और आगे कोई कार्रवाई नहीं हुई है, तो हमेशा इस तरह के एक संस्करण का आयोजन हो सकता है कि यह विशेष हस्ताक्षर आपके बुनियादी ढांचे के लिए खतरा हो सकता है इसलिए, इंजीनियर को निश्चित रूप से इस रिपोर्ट की समीक्षा करनी चाहिए और इन घटनाओं पर कार्रवाई करनी चाहिए, उदाहरण के लिए, हस्ताक्षर रोकें मोड में। आपको मेजबानों की भी जांच करनी चाहिए कि सुरक्षा गेटवे ने संक्रमित मशीनों के रूप में पहचान की है।



2) सुरक्षा जांच सारांश

मुझे लगता है कि अगर आपके पास पहले से ही चेक प्वाइंट है या आपने इस उत्पाद का परीक्षण किया है, तो यह रिपोर्ट, आप निश्चित रूप से जानते हैं। सिक्योरिटी चेकअप सारांश संगठन में सूचना सुरक्षा की स्थिति और आपके बुनियादी ढांचे में होने वाली अवांछित प्रक्रियाओं की पूरी तस्वीर देता है। हालाँकि, मैं काम के लिए दैनिक सामग्री के रूप में रिपोर्ट का उपयोग करने की सलाह नहीं दे सकता, क्योंकि जानकारी की एक बड़ी मात्रा बस हस्तक्षेप और विचलित होगी। यह सुनिश्चित करने के लिए अधिक समझदार है कि अपने पिछले संस्करण के साथ तुलना करने के लिए एक निश्चित आवृत्ति के साथ एक रिपोर्ट उत्पन्न करना सुनिश्चित करें कि सुरक्षा नीति में बदलाव से सकारात्मक कार्रवाई हुई है।

3) उपयोगकर्ता गतिविधि

यह आंतरिक उपयोगकर्ता गतिविधि की एक बहुत ही सुविधाजनक रिपोर्ट है, हालांकि, मेरे दृष्टिकोण से, उपयोगकर्ताओं द्वारा उच्च जोखिम अनुप्रयोगों के उपयोग के आंकड़ों को अलग-अलग दिखाना अधिक सुविधाजनक है, न कि सभी अनुप्रयोगों की एक सूची।





4) घुसपैठ की रोकथाम प्रणाली (IPS)

IPS प्रणाली के प्रदर्शन की निगरानी पर एक स्मार्ट रिपोर्ट, मेरे लिए सबसे दिलचस्प तालिका शीर्ष सेवा और शीर्ष कनेक्शन है। यह रिपोर्ट सेवाओं के लिए IPS प्रणाली को ठीक से अनुकूलित करने में बहुत सहायक है, परिणामस्वरूप, इस रिपोर्ट के आधार पर, अपने बुनियादी ढांचे में कमजोरियों की खोज करने के लिए हमलावरों के कार्यों की पहचान करना संभव है, और फिर, बदले में, आप व्यापार को बाधित किए बिना सेवाओं के लिए थ्रेड प्रिवेंशन पॉलिसी को सही ढंग से कॉन्फ़िगर कर सकते हैं प्रक्रियाओं।



5) अनुपालन ब्लेड

चेक प्वाइंट कम्प्लायंस सॉफ्टवेयर ब्लेड मौजूदा आईटी सुरक्षा प्रथाओं के लिए एक एकीकृत अनुपालन निगरानी समाधान है।
इस रिपोर्ट में बदलती नीतियों के लिए सर्वोत्तम अभ्यास और बुनियादी सूचना सुरक्षा मानकों को पूरा करने के लिए सुझाव शामिल हैं। यदि आप नहीं जानते कि आपके बुनियादी ढांचे को कैसे ठीक से सुरक्षित किया जाए, तो ये सिफारिशें फ़ायरवॉल को कॉन्फ़िगर करने का एक अच्छा विचार देती हैं, हालांकि, यह समझना सार्थक है कि आपके संगठन के संबंध में किन प्रक्रियाओं को अवरुद्ध करने की आवश्यकता है और कौन से नहीं। मुझे यकीन नहीं है कि आपके लिए यह रिपोर्ट हर दिन देखना दिलचस्प होगा, लेकिन यह निश्चित रूप से कम से कम एक बार पढ़ने लायक है।



6) क्लाउड सर्विसेज

क्लाउड एप्लिकेशन के उपयोग पर रिपोर्ट में, आप क्लाउड सेवाओं के उपयोग के आंकड़े देखेंगे, एक नियम के रूप में, यहां सबसे दिलचस्प बात यह है कि क्लाउड डिस्क का उपयोग होता है, और कितने एमबी डाउनलोड और डाउनलोड किए जाते हैं, रिपोर्ट में आप केवल सारांश आँकड़े देखेंगे, यह देखना अधिक महत्वपूर्ण है कि ट्रैफ़िक उपयोगकर्ता अपने नेटवर्क से कितना सूखा करते हैं। क्लाउड ड्राइव में नौकरियां, क्योंकि ये ऐसे दस्तावेज हो सकते हैं जो गोपनीय जानकारी बनाते हैं।



7) अनुप्रयोग और URL फ़िल्टरिंग

मुझे इसमें कोई संदेह नहीं है कि "एप्लिकेशन और URL फ़िल्टरिंग" सबसे लोकप्रिय पूर्वनिर्धारित रिपोर्ट है। "एप्लिकेशन और URL फ़िल्टरिंग" में संभावित रूप से खतरनाक और सबसे लोकप्रिय दोनों साइटों पर जाने की जानकारी है। आंकड़े सबसे अधिक देखी जाने वाली श्रेणियों, साइटों और प्रत्येक व्यक्तिगत उपयोगकर्ता के लिए यातायात की मात्रा के लिए एकत्र किए जाते हैं, कर्मचारी क्या कर रहे हैं, इसकी स्पष्ट समझ आती है। आवेदन नियंत्रण और URL फ़िल्टरिंग नियमों को प्रारूपण और अद्यतन करने के लिए एक अनिवार्य दस्तावेज।



आप लेख "चेक प्वाइंट डैशबोर्ड्स - यह वही है जो मुझे पसंद है" पढ़ सकते हैं, जिसमें आप डैशबोर्ड, कार्यात्मक की विशेषताओं के बारे में अधिक जान सकते हैं और इसलिए वे इसे बहुत पसंद करते हैं।

अपनी रिपोर्ट बनाएं

हालांकि पूर्वनिर्धारित रिपोर्ट बहुत सुविधाजनक हैं, आप सभी मशरूम को एक टोकरी में नहीं रख सकते। लगभग सभी इंजीनियरों को इस तथ्य का सामना करना पड़ता है कि उन्हें अपनी रिपोर्ट को कॉन्फ़िगर करने की आवश्यकता है, जिसमें डिवाइस की विशेषताओं और संगठन की प्रकृति का पालन करते हुए, अपने कार्य कार्यों के प्रदर्शन के लिए संभावित रूप से महत्वपूर्ण जानकारी होगी।

चूंकि हमने क्लाउड एप्लिकेशन पर जाने वाले ट्रैफ़िक की मात्रा पर आंकड़े एकत्र करने की इच्छा का उल्लेख किया है, आइए एक विशिष्ट उदाहरण - एक तालिका बनाने का प्रयास करें। आइए क्लाउड डिस्क पर डाउनलोड किए गए ट्रैफ़िक पर एक रिपोर्ट बनाएं, जिसमें उपयोगकर्ताओं, आईपी पते और क्लाउड एप्लिकेशन पर जाने वाले ट्रैफ़िक की जानकारी शामिल होगी।

एक रिपोर्ट बनाएँ - नई रिपोर्ट मेनू चुनकर, क्लाउड सेवा ट्रैफ़िक नाम सेट करें।



अगला, तालिका को रिक्त पृष्ठ में जोड़ें : विजेट जोड़ें -> तालिका ।
तालिका नाम सेट करें, उदाहरण के लिए, 'क्लाउड टेबल' , फिर सांख्यिकीय तालिका टाइप करें। इस मामले में, गणना किए गए सारांशित सांख्यिकीय डेटा दिखाए जाएंगे, यदि आप लॉग टेबल का चयन करते हैं, तो तालिका में प्रत्येक व्यक्तिगत घटना के लिए डेटा शामिल होगा, हमारे कार्य के संदर्भ में, हमें इस विकल्प की आवश्यकता नहीं है।

अगला, आपको यह तय करने की आवश्यकता है कि तालिका किस पैरामीटर से बनाई जाएगी, आपको उपयोगकर्ता को देखने की आवश्यकता है, क्लाउड एप्लिकेशन का नाम जहां डेटा डाउनलोड किया गया है, आउटगोइंग ट्रैफ़िक की मात्रा, और आपको उपयोगकर्ता नाम के लापता होने पर विकल्प पर भी विचार करने की आवश्यकता है, यानी आपको आईपी पते के साथ एक अतिरिक्त कॉलम जोड़ना होगा, जिसमें से एक कनेक्शन है। तदनुसार, हम मापदंडों का चयन करते हैं स्रोत , उपयोगकर्ता , अनुप्रयोग का नाम , ट्रैफ़िक भेजे गए बाइट्स ।



अगला, आपको मापदंडों को ठीक से कॉन्फ़िगर और सॉर्ट करने की आवश्यकता है। पहले पैरामीटर के रूप में, संगठन के आकार के आधार पर स्रोत का चयन करें, मानों की अधिकतम संख्या (मानों की संख्या ) निर्धारित करें, मैंने 100 निर्दिष्ट किया है, जैसे कि आइजनवेल्यू, यह मुख्य पैरामीटर है, जो अन्य मापदंडों पर निर्भर नहीं करता है।



इसके बाद, उपयोगकर्ता , एप्लिकेशन का नाम और ट्रैफ़िक भेजे गए बाइट पैरामीटर को समान तरीके से कॉन्फ़िगर करें। स्रोत द्वारा परिणाम को क्रमबद्ध करें।







हम संरचना सेट करते हैं, परिणामस्वरूप, सभी उपयोगकर्ताओं और अनुप्रयोगों के लिए एक तालिका जारी की जाएगी, जिनमें से एक बड़ी संख्या है, और हम केवल क्लाउड अनुप्रयोगों में रुचि रखते हैं, हम इस मुद्दे को हल करने के लिए एक फ़िल्टर सेट करेंगे (आइकन शीर्षक के समान स्तर पर है)।

एक फ़ील्ड के रूप में, एप्लिकेशन श्रेणी , समान ऑपरेशन का चयन करें, समूह का नाम सेट करें - फ़ाइल संग्रहण और साझाकरण ।



उसके बाद हम तालिका को पूरे पृष्ठ पर फैलाते हैं, परिवर्तनों को सहेजते हैं - पूर्ण। इसके अलावा, यदि हमारे पास तालिका में बड़ी संख्या में परिणाम हैं, और सब कुछ एक पृष्ठ पर फिट नहीं होता है, तो परिणाम के विस्तार को नए पृष्ठों पर स्थापित करने के लायक है, इसके लिए हम विकल्प -> दृश्य सेटिंग्स पर जाते हैं ।



नतीजतन, हमें एक तैयार तालिका प्राप्त होती है, आप परिणामों का अध्ययन कर सकते हैं।



इसके अलावा रिपोर्ट में आप ग्राफ़, चार्ट और इसी तरह कॉन्फ़िगर कर सकते हैं। सिद्धांत लगभग हर जगह समान है। औसत उपयोगकर्ता के लिए टूलकिट काफी पारदर्शी है, और विशेष प्रतिभाओं की आवश्यकता नहीं है। यह स्मार्टइवेंट में स्वचालन की कार्यक्षमता पर विचार करने के लिए बनी हुई है, जो बहुत लोकप्रिय नहीं है, लेकिन मेरे दृष्टिकोण से, जो सूचना सुरक्षा प्रक्रियाओं को सुनिश्चित करने में महत्वपूर्ण भूमिका निभाती है।

SmartEvent स्वचालन

ब्लेड प्रबंधन के लिए इसी नाम के साथ स्मार्टइवेंट में एक विशेष उपयोगिता है, जो आपको पीढ़ी और सुरक्षा घटनाओं के समायोजन और इन घटनाओं के लिए कार्यों के स्वचालन की अनुमति देता है।

प्रबंधन ट्री को 2 शाखाओं में बांटा गया है: इवेंट पॉलिसी और वैश्विक सेटिंग्स। SmartEvent द्वारा पता चला सभी घटनाओं को इवेंट पॉलिसी शाखा में वर्गीकृत किया गया है। जब कोई घटना चुनी जाती है, तो उसके कस्टम गुण विवरण पैनल में प्रदर्शित किए जाते हैं, और घटना विवरण विवरण पैनल में प्रदर्शित किया जाता है। अगली बार इसे स्थापित करने से, संपत्ति की सफाई इस प्रकार की घटना को नीति से हटा देती है।

सामान्य सेटिंग्स में, प्रारंभिक सेटिंग्स सेट की जाती हैं, लेकिन यह सबसे अधिक संभावना है कि केवल एक चीज की आवश्यकता है:

1. ऑफ़लाइन नौकरियां सेटअप SmartEvent में पुराने लॉग का लोडिंग है, जो या तो प्रबंधन सर्वर पर नहीं थे, या इन लॉग को बनाए जाने के बाद SmartEvent चालू हो गया था।
2. स्वचालित प्रतिक्रियाओं में स्वचालित क्रियाएं बनाना।

प्रत्येक नीति के लिए, आप एक स्वचालित कार्रवाई सेट कर सकते हैं।
किसी घटना के निष्पादन के अधीन दिए गए कार्यों का एक सेट पूरा करना एक स्वचालित क्रिया है, जिसमें शामिल हैं:

1. ईमेल भेजना
2. SNMP जाल भेज रहा है
3. स्रोत आईपी ब्लॉक
4. ब्लॉक इवेंट अटैक
5. बाहरी लिपि का निष्पादन।

प्रत्येक विकल्प वास्तविक जीवन में काफी लागू होता है, उस घटना के आधार पर जिसके लिए आप एक स्वचालित कार्रवाई सेट करते हैं, उदाहरण के लिए, विवादास्पद प्रकृति की कुछ घटनाओं के लिए, आप एक इंजीनियर को एक ईमेल भेजने के लिए एक कार्रवाई सेट कर सकते हैं, और अन्य घटनाओं के लिए आईपी पते को ब्लॉक कर सकते हैं, उदाहरण के लिए, स्कैन करने के प्रयास के मामले में। आपका नेटवर्क या वायरस हमला। ईवेंट गुणों में स्वचालित कार्रवाई सुपरिम्पोज की जाती है।



किसी विशिष्ट घटना के लिए स्क्रिप्ट निष्पादन को कॉन्फ़िगर करना संभव है, लेकिन इस मोड में मेरा मानना ​​है कि यह बहुत सुविधाजनक और उपयुक्त नहीं है, क्योंकि कार्यक्षमता काफी सीमित है, और आप स्क्रिप्ट को इनपुट कॉन्फ़िगर नहीं कर सकते हैं, क्योंकि कुछ कार्यों के लिए आवश्यक है, क्योंकि यह एक गलती करना आसान है क्योंकि प्रणाली की तुच्छता, इसलिए, स्क्रिप्ट से संबंधित सब कुछ लॉगिंग सिस्टम पर स्प्लंक + चेक प्वाइंट एपीआई, क्षमताओं की एक बड़ी रेंज और लगभग असीमित कार्यक्षमता के रूप में सबसे अच्छा बचा है।

निष्कर्ष

हम उन मुख्य रिपोर्टों को रेखांकित करते हैं जो एक सूचना सुरक्षा इंजीनियर के लिए रूचि की होनी चाहिए:

1. रोकथाम की धमकी दें
2. घुसपैठ की रोकथाम प्रणाली (IPS)
3. एप्लिकेशन और URL फ़िल्टरिंग
4. कस्टम रिपोर्ट

अगर हम स्मार्टईवेंट को केवल लॉगिंग और विश्लेषण की एक प्रणाली मानते हैं, जो न्यूनतम पूर्व-सेटिंग्स के साथ सभी आवश्यक रिपोर्ट भी तैयार करता है, तो यह एक आदर्श समाधान है।
आपकी रिपोर्ट बनाने के लिए एक तुच्छ इंटरफ़ेस, सुरक्षा घटनाओं के बाद के विश्लेषण और संगठन में आईएस प्रक्रियाओं को बनाए रखने के लिए आवश्यक सभी। इसके अलावा, यह एक सतत प्रक्रिया है और एक इंजीनियर की निरंतर भागीदारी की आवश्यकता है। लेकिन अगर हम इस उत्पाद को एक CRM समाधान के रूप में मानते हैं, तो इसमें कमियां हैं, घटनाओं को स्वचालित और सहसंबंधित करने के लिए सीमित कार्यक्षमता, कॉन्फ़िगर करना मुश्किल है, और इसके आधार पर किसी संगठन में सूचना सुरक्षा प्रणाली की निगरानी और प्रबंधन के लिए एक केंद्र बनाना असंभव है। सभी विवरणों पर विचार करें और निम्नलिखित लेखों में चेक प्वाइंट लॉग के विश्लेषण के लिए विभिन्न समाधानों की तुलना करें।