और यह किसने किया? सूचना सुरक्षा ऑडिट को स्वचालित करें

स्रोत

यह माना जाता है कि सूचना सुरक्षा के निदान के लिए तीन दृष्टिकोण हैं: लेखा परीक्षा, भेद्यता मूल्यांकन और प्रवेश परीक्षण। चलो ऑडिट और भेद्यता मूल्यांकन के बारे में बात करते हैं। कट के तहत, हम उन मुद्दों पर विचार करेंगे जिन्हें ऑडिट के ढांचे के भीतर संबोधित करने की आवश्यकता है, और मशीन लर्निंग (चेंज ऑडिटर थ्रेट डिटेक्शन) के आधार पर सूचना सुरक्षा घटनाओं का पता लगाने, रोकने और जांच करने के लिए क्वेस्ट सॉफ़्टवेयर टूलकिट, बुनियादी वस्तुओं (इनट्रस्ट) और लॉग ऑडिटिंग के लिए लॉग एकत्रित करना। कॉन्फ़िगरेशन (एंटरप्राइज रिपोर्टर) और एक इंटरफेस (आईटी सुरक्षा खोज) में सभी सूचीबद्ध प्रणालियों के लिए ऑडिट डेटा का आउटपुट।

एक आईटी सुरक्षा ऑडिट निर्धारित करता है कि क्या सूचना प्रणाली और इसका रखरखाव ग्राहकों की अपेक्षाओं और कंपनी के मानकों को पूरा करता है। हमारे दृष्टिकोण से, लेखापरीक्षा प्रणाली में निम्नलिखित क्षमताएं होनी चाहिए:

• सामान्य और atypical गतिविधि की पहचान और पहचान;
• आवश्यक जानकारी प्राप्त करने के लिए घटनाओं की एक सरणी में प्रश्नों का निर्माण और डेटा फ़िल्टर करें;
• जिम्मेदार लोगों के एक समूह के लिए घटनाओं में वृद्धि;
• ऐसी पूर्व-कॉन्फ़िगर रिपोर्टें हैं जिनके द्वारा आप एटिपिकल गतिविधि की पहचान कर सकते हैं।

सूचना सुरक्षा के साथ काम करने की ख़ासियत, जिसे हम अक्सर देखते हैं, अवशिष्ट सिद्धांत के अनुसार एक ऑडिट का प्रदर्शन है। अर्थात्, परिवर्तनों का लेखा-जोखा विभाग द्वारा किया जाता है, जिसे अन्य कार्यों के साथ भी लोड किया जाता है। इससे पहली समस्या पैदा होती है -

बिल्ट-इन ऑडिट टूल का उपयोग करना

दूसरों को खोजने और कॉन्फ़िगर करने के लिए पर्याप्त समय नहीं है। अंतर्निहित टूल द्वारा, हमारा मतलब है, उदाहरण के लिए, विंडोज स्नैप-इन या पावर शेल पर विशेष स्क्रिप्ट। बेशक, इस तरह के साधनों की मदद से, घटना को तथ्य के बाद ही पाया जा सकता है।

जैसे-जैसे संगठन बढ़ता है, उपयोगकर्ताओं की संख्या और परिवर्तन बढ़ता है। विशिष्ट आंकड़ों के साथ इस विषय पर अध्ययन किए गए हैं, लेकिन इसके बिना भी यह स्पष्ट है कि डिजिटल एक्सचेंज हर साल ऊपर की ओर बदल रहा है। दूसरी ऑडिट चुनौती है

बुनियादी ढांचे के विकास के कारण परिवर्तनों की संख्या में वृद्धि

विकास कर्मचारियों या ग्राहकों की संख्या में वृद्धि के साथ जुड़ा हो सकता है, लेकिन इसकी परवाह किए बिना, परिवर्तन की मात्रा आनुपातिक रूप से बढ़ जाएगी।
ऑडिट न केवल आंतरिक कारकों (ये पहली दो समस्याएं हैं) से प्रभावित हैं, बल्कि बाहरी लोगों द्वारा भी - राज्य निकायों या कॉर्पोरेट नीतियों की आवश्यकताएं। और हम तीसरी ऑडिट समस्या पर आते हैं -

आवश्यकताओं को पूरा करने के लिए उपयुक्त उपकरणों का अभाव

उपयुक्त उपकरणों की अनुपस्थिति में, सिस्टम प्रशासक या तो आवश्यक परिवर्तनों को नियंत्रित नहीं करते हैं, या ऐसा नहीं करते हैं, लेकिन तात्कालिक साधनों के साथ (समस्या देखें)।
अब हम उन उपकरणों की समीक्षा की ओर मुड़ते हैं जो प्रश्न के उत्तर में मदद कर सकते हैं: "यह किसने किया?" (वास्तव में अन्य सवालों के एक समूह के जवाब के साथ मदद)।

सूचना सुरक्षा घटनाओं का संचालन लेखा परीक्षा

जब हम स्थापना बैठकों के लिए कुछ कंपनियों में आते हैं, तो हम पावर शेल पर आधारित एक लेखा परीक्षा प्रणाली देखते हैं। लिपियों को आमतौर पर एकल विंडोज व्यवस्थापक द्वारा समर्थित किया जाता है। यह इस कर्मचारी की बर्खास्तगी तक एक गंभीर समस्या नहीं है। उनके जाने के बाद, सवाल उठता है: जो इस का समर्थन और विकास करना जारी रखेगा। नया व्यवस्थापक (यदि उसके पास पर्याप्त क्षमता है) आमतौर पर इन लिपियों को फिर से लिखता है। और ये अलग-थलग मामले नहीं हैं।

चेंज ऑडिटर Microsoft वातावरण में और डिस्क सरणियों में ऑनलाइन ऑडिट के लिए एक उपकरण है, जिसमें किसी एक व्यक्ति के ज्ञान की आवश्यकता नहीं होती है।



ऑडिट समर्थित: AD, Azure AD, SQL सर्वर, Exchange, Exchange Online, Sharepoint, Sharepoint ऑनलाइन, Windows फ़ाइल सर्वर, व्यवसाय के लिए OneDrive, व्यवसाय के लिए Skype, VMware, NetApp, EMC, FluidFS। संकर वातावरण के लिए उपयुक्त है। GDPR, SOX, PCI, HIPAA, FISMA, GLBA मानकों के अनुपालन के लिए पूर्वनिर्धारित रिपोर्टें हैं।



ऑडिटिंग के अलावा, चेंज ऑडिटर परिवर्तनों को ब्लॉक कर सकता है। उदाहरण के लिए, AD समूह में नए उपयोगकर्ताओं को जोड़ने या फ़ाइल / फ़ोल्डर को बदलने पर रोक लगाएं।

चेंज ऑडिटर के पास एक अतिरिक्त एनालिटिक्स मॉड्यूल है - थ्रेट डिटेक्शन।



मशीन लर्निंग (एमएल) और उपयोगकर्ता व्यवहार विश्लेषण (UEBA) द्वारा संचालित। यह पिछले 30 दिनों में चेंज ऑडिटर से ईवेंट प्राप्त करता है और atypical उपयोगकर्ता के व्यवहार को प्रकट करता है: किसी असामान्य जगह से या असामान्य समय पर लॉगिंग करना, किसी डोमेन नियंत्रक पर एक पंक्ति में कई बार असफल पासवर्ड प्रविष्टि, एक निषिद्ध फ़ाइल संसाधन पर लॉग ऑन करना, आदि। मॉड्यूल कई आयामों में घटनाओं का विश्लेषण करता है और विसंगतियों की रिपोर्ट करता है।

ऑडिट इंफ्रास्ट्रक्चर कॉन्फ़िगरेशन

जो लोग लंबे समय से अपने विंडोज के बुनियादी ढांचे को साफ करना चाहते हैं, लेकिन अभी भी इस पर अपना हाथ नहीं बढ़ा सकते हैं। एंटरप्राइज़ रिपोर्टर, एक रिपोर्टिंग टूल, AD, Azure AD, SQL Server, Exchange, Exchange Online, Windows फ़ाइल सर्वर, व्यवसाय के लिए OneDrive और Azure संसाधन (वर्चुअल मशीन, नेटवर्क सुरक्षा समूह और अन्य ऑब्जेक्ट) से ऑब्जेक्ट डेटा पुनर्प्राप्त करता है और सुंदर रिपोर्ट बनाता है।



उत्पाद का मुख्य मूल्य रिपोर्ट का मौजूदा सेट है, जो आपको स्थापना के तुरंत बाद कमजोरियों को देखने की अनुमति देता है। उदाहरण के लिए, हमारे ग्राहकों में से एक में, हमने उपयोगकर्ताओं को डोमेन व्यवस्थापक समूहों में पासवर्ड समाप्ति विकल्प के साथ अक्षम पाया।



तैयार रिपोर्ट से:

• जो उपयोगकर्ता पिछले 30 दिनों से लॉग इन नहीं हुए हैं
• एक समाप्त पासवर्ड वाले उपयोगकर्ता;
• विशेषाधिकार प्राप्त समूह उपयोगकर्ता जो पिछले 30 दिनों से लॉग इन नहीं हुए हैं;
• विंडोज सिस्टम जो स्थानीय सिस्टम अकाउंटिंग के तहत काम नहीं करता है;
• डोमेन नियंत्रक भूमिका के साथ सर्वर पर स्थापित सॉफ़्टवेयर;
• सर्वर पर हॉटफ़िक्स स्थापित किए गए
• सर्वर पर सुरक्षा सेटिंग्स
• नेस्टेड समूहों और नेस्टेड समूहों में उपयोगकर्ता
• सक्रिय निर्देशिका अनुमतियाँ
• फ़ाइल भंडारण और अन्य पर फ़ोल्डर्स के लिए अनुमतियाँ।

सूचीबद्ध रिपोर्ट के उदाहरणों को पीडीएफ रिपोर्ट में क्वेस्ट वेबसाइट पर पाया जा सकता है (फ़ाइल तुरंत खुलती है, पंजीकरण की आवश्यकता नहीं है)। GDPR, SOX, PCI-DSS, HIPAA, FISMA, GLBA और अन्य के अनुपालन के लिए पूर्वनिर्धारित रिपोर्टें हैं। और अगर आपके पास अपनी कंपनी में रिपोर्टिंग की आवश्यकता है या एक दस्तावेज़ को ब्रांड करना चाहते हैं, तो एक विशेष डिजाइनर है।

संग्रह और विश्लेषण लॉग करें

सूचना सुरक्षा घटनाओं पर डेटा का एक अन्य स्रोत लॉग है। उनमें आप पा सकते हैं यदि सब कुछ नहीं है, तो लगभग सब कुछ है। उन्हें इकट्ठा करने के बाद, घटनाओं के बीच सहसंबंध बनाने के लिए उन्हें सामान्य करना और संरचना करना अच्छा होगा, उदाहरण के लिए, एडी और कुछ पाठ लॉग में।

InTrust विषम स्रोतों से लॉग एकत्र करने और विश्लेषण करने के लिए एक उपकरण है। यह विंडोज लॉग, टेक्स्ट लॉग और नेटवर्क डिवाइस से सिस्लॉग ले सकता है। संग्रह के बाद, सभी आंकड़े (घटनाएं) फॉर्म की स्थिति में कम हो जाती हैं: जब यह हुआ, तो क्या हुआ, कहां हुआ, किसने कार्रवाई की, यह कार्रवाई कहां से की गई।



InTrust 10,000 स्रोतों से प्रति सेकंड 60,000 घटनाओं को संभाल सकता है। विंडोज इवेंटलॉग सिसमॉन (रजिस्ट्री मूल्यों में परिवर्तन को ट्रैक करना, गलत हैश और अन्य के साथ नई प्रक्रिया बनाना), पॉवरशेल लॉग्स की घटनाओं को ट्रैक करने के लिए अक्सर कलेक्टर एजेंटों को वर्कस्टेशन पर स्थापित किया जाता है।



कच्चे डेटा को अंतर्निहित भंडारण में 20: 1 के संपीड़न अनुपात के साथ संग्रहीत किया जाता है। कुछ सिएम प्रणालियों के साथ तैयार-निर्मित एकीकरण हैं। यदि आप उनका उपयोग करते हैं, तो InTrust लाइसेंस पर बचाने के लिए एक सुविधाजनक तरीका है, जैसा कि अपने भंडारण में कच्चे डेटा को संग्रहीत करता है और केवल ईवेंट्स को CRM में भेजता है।

छतरी के नीचे पूल

सुरक्षा अवधारणा को पूरा करने के लिए, सभी स्रोतों से डेटा को संयोजित करने और एक विंडो में क्या हो रहा है, इसका निरीक्षण करना उचित है। इसके अतिरिक्त, मूल कारण के बिजली की तेजी से पता लगाने के लिए सहसंबद्ध घटनाओं।

आईटी सिक्योरिटी सर्च - ऑपरेशनल ऑडिट, इंफ्रास्ट्रक्चर कॉन्फ़िगरेशन के ऑडिट और लॉग्स से डेटा के अनुसार ग्लोबल फुल-टेक्स्ट सर्च a'la Google का टूल। सभी डेटा को कनेक्ट किए गए सिस्टम से वास्तविक समय में पुनर्प्राप्त किया जाता है।



आप उपयोगकर्ता का नाम, कार्य केंद्र, घटना का प्रकार, या आपकी पसंद की कोई भी चीज़ दर्ज कर सकते हैं और इस विशेषता से संबंधित घटनाओं या कॉन्फ़िगरेशन का पता लगा सकते हैं। क्वेरी उत्पन्न करते समय, आप तार्किक अभिव्यक्तियों का उपयोग कर सकते हैं। क्वेरी परिणामों से रिपोर्ट बनाना और उन्हें शेड्यूल के अनुसार इच्छुक पार्टियों को भेजना सुविधाजनक है।



आईटी सुरक्षा खोज इंटरफ़ेस से, आप AD में वापस परिवर्तन भी रोल कर सकते हैं। उदाहरण के लिए, आप अपनी सभी विशेषताओं के साथ गलती से हटाए गए उपयोगकर्ता को पुनर्स्थापित कर सकते हैं। यह एक और क्वेस्ट उत्पाद - सक्रिय निर्देशिका के लिए पुनर्प्राप्ति प्रबंधक के साथ एकीकरण के माध्यम से प्राप्त किया जाता है।

लेख का मुख्य लक्ष्य परिवर्तनों को ऑडिट करने के लिए क्वेस्ट उत्पाद परिवार को पेश करना है। वे उपकरण जो आप अभी उपयोग करते हैं, उनमें कार्यों का एक अलग सेट (कहीं अधिक, कहीं कम हो सकता है) हो सकता है। टिप्पणियों में लिखें कि आपको क्या करना है, कौन से कार्य आपके लिए उपयोगी हैं और आपने एक या दूसरे समाधान को क्यों चुना। अनुभवों का आदान-प्रदान करना दिलचस्प है।