सूचना सुरक्षा विश्लेषक - वह कौन है? पेशे में विसर्जन

आज हम आपको एक सूचना सुरक्षा विश्लेषक के दैनिक कर्तव्यों का अवलोकन देंगे। उनका काम, संक्षेप में, कच्चे डेटा का निरंतर विश्लेषण है
(और अधिमानतः) बनाए रखने के लिए घटनाओं (सूचना और नेटवर्क) सुरक्षा के विषम स्रोत संगठन की सुरक्षा के स्तर को बढ़ाते हैं। ये हमेशा विशिष्ट व्यावहारिक क्रियाएं नहीं होती हैं, लेकिन, एक नियम के रूप में, वे कई संभावित स्रोतों से डेटा एकत्रीकरण शामिल करते हैं: ऑपरेटिंग सिस्टम, फायरवॉल, राउटर, एंटीवायरस स्कैनर और बहुत अधिक के इवेंट लॉग। फिर उसे संयोजित करने की आवश्यकता है
या एक डेटा सेट प्राप्त करने के लिए उनका मिलान करें जिसे उपयुक्त एल्गोरिदम का उपयोग करके संसाधित किया जा सकता है।

सामग्री

• सुरक्षा विश्लेषिकी विस्तार से
• सिएम बनाम आईबी एनालिटिक्स
• व्यावहारिक उदाहरण
• आईबी एनालिटिक्स के लाभ
• यूबीए या उपयोगकर्ता व्यवहार विश्लेषण
• सुरक्षा विश्लेषिकी की कल्पना कैसे करें: डैशबोर्ड और खतरे के मॉडल

सुरक्षा विश्लेषिकी विस्तार से

आईबी एनालिटिक्स पेशे का मुश्किल हिस्सा कुख्यात हिस्टैक में वर्तमान सक्रिय खतरों का पता लगाना है। और क्या अधिक है, पूरी तस्वीर को देखने और विश्लेषण करने के लिए वर्तमान खतरे से परे जाएं। नतीजतन, सभी खतरों को इसके समान अवरुद्ध करें, या एक-बार, लेकिन प्रभावी उत्तर के साथ आएं।

इसे सही ढंग से करने के लिए, आवश्यक विश्लेषण के प्रकार को तुरंत निर्धारित करना महत्वपूर्ण है, साथ ही उन विशिष्ट घटनाओं को उजागर करना चाहिए जिन पर आप इस जांच में ध्यान केंद्रित करेंगे।

यह सूचना सुरक्षा विश्लेषिकी का एक विहंगम दृश्य है।

अब बात करते हैं सिक्योरिटी इंफॉर्मेशन एंड इवेंट मैनेजमेंट, या सिएम की। यह, वास्तव में, जैसा कि मैंने ऊपर वर्णित किया है - प्रसंस्करण घटना लॉग, मुख्य रूप से ऑपरेटिंग सिस्टम, नेटवर्क उपकरणों और अन्य सुरक्षा उपकरणों के लॉग से, और उनके बाद के संयुक्त विश्लेषण से। विश्लेषण के पूरा होने पर, शास्त्रीय गणितीय आंकड़ों का उपयोग किया जाता है ताकि लोगों द्वारा प्रारंभिक डेटा को मज़बूती से व्याख्या किया जा सके।

इवेंट लॉग के साथ काम कैसे दिखता है, इसका अंदाजा लगाने के लिए, आप अपने लैपटॉप पर इवेंट व्यूअर को खोलकर विंडोज ऑपरेटिंग सिस्टम की घटनाओं को देख सकते हैं:

यहाँ यह निम्न-स्तरीय विंडोज घटनाओं की एक दिनचर्या है - सब कुछ इतना जादुई नहीं है!

यहां आप हजारों और यहां तक ​​कि हजारों प्रणाली और सुरक्षा घटनाओं के माध्यम से स्क्रॉल कर सकते हैं: प्रक्रिया शुरू करना और समाप्त करना, खातों को अवरुद्ध करना, पावरस्वा कमांड को निष्पादित करना, आदि। अब कल्पना करें कि क्या करना चाहिए: गठबंधन और फिर नेटवर्क उपकरणों और अन्य सुरक्षा प्रणालियों से इन ऑपरेटिंग सिस्टम की घटनाओं और घटनाओं के बीच सहसंबंधों को ढूंढें, और अंत में इसके आधार पर हमें कुछ समझदारी दिखाएं!

एक छोटे से उदाहरण के रूप में, मान लें कि आप किसी महत्वपूर्ण फ़ाइल के विलोपन को ट्रैक करना चाहते हैं। यह भी संभव है कि यह निष्कासन, जब अन्य घटनाओं के साथ सहसंबंधित हो, एक वास्तविक हमले का संकेत देगा। एक आईटी पेशेवर के लिए, जो कि कोलम्बिया से परिचित नहीं है, यह एक बहुत ही सरल काम की तरह लग सकता है: बस
Windows ईवेंट लॉग में, इस फ़ाइल से संबद्ध ईवेंट हटाएं:

अरे नहीं! विंडोज अनइंस्टॉल इवेंट (इवेंट नंबर 4660) में फ़ाइल नाम नहीं है!

दुर्भाग्य से, यदि आप विंडोज फाइल डिलीट इवेंट को देखते हैं, तो इसमें एक महत्वपूर्ण जानकारी का अभाव होता है: फ़ाइल का नाम और पथ। फिर हम विंडोज लॉग में डिलीट इवेंट से जुड़ी फाइल का नाम कैसे निर्धारित कर सकते हैं?

सिएम बनाम आईबी एनालिटिक्स

यह आसान नहीं है क्योंकि यह जानकारी कई जर्नल प्रविष्टियों में फैली हुई है। आपको डिलीट इवेंट 4660 को दूसरे, ऑब्जेक्ट एक्सेस इवेंट 4663 पर मैप करना होगा। व्यवहार में, आपको इन दो घटनाओं, 4660 और 4663 की खोज करने की संभावना है, और फिर एक स्पष्ट तस्वीर प्राप्त करने के लिए उनसे जानकारी को मिलाएं। और, वैसे, जब आप जानते नहीं हैं, तो विंडोज पर फ़ाइल कार्रवाइयों की ऑडिटिंग सक्षम करना (ऊपर दिखाई गई फ़ाइलों के समान घटनाओं को प्राप्त करने के लिए) एक बल्कि मांग वाला कार्य है - और, विभिन्न अनुमानों के अनुसार, यह आपको 30% तक खर्च करेगा। फ़ाइल सर्वर की खोई हुई शक्ति। यही कारण है कि इसके लिए विशेष समाधान हैं।

यहां तक ​​कि इस बहुत ही सरल उदाहरण में, आप देख सकते हैं कि सिएम शक्तिशाली संसाधन खपत के साथ एक गहन और जटिल प्रक्रिया है। वैसे, सुरक्षा विश्लेषकों ने ध्यान दिया है कि क्यों, कुछ मौलिक प्रतिबंध इन उत्पादों की पहली पीढ़ियों के लिए, कम से कम डीडीएम पर लगाए जाते हैं।

व्यावहारिक उदाहरण

सूचना सुरक्षा विश्लेषण के सबसे आम उपयोग के मामले हैं:

• UBA उपयोगकर्ता व्यवहार विश्लेषण (नीचे देखें)
• धमकी का पता लगाने और वर्गीकरण
• समग्र जोखिम को कम करने के लिए व्यवसाय को पूर्ण और सटीक जानकारी प्रदान करके आईटी सुरक्षा सुनिश्चित करना

आईबी एनालिटिक्स के लाभ

असुरक्षित घटनाओं लॉग में सुरक्षा घटनाओं को खोजने की कोशिश करना आंतरिक रूप से जटिल है, और सिएम में बहुत अधिक गलत परिणाम और गलत सकारात्मकता है।

यह यहां है कि आईबी विश्लेषक को कोलम्बिया पर मुख्य लाभ हैं: वह घटनाओं के कच्चे डेटा को देखने के तरीके में बहुत अधिक अनुभवी और व्यावहारिक है, और आईटी प्रबंधन में बेहतर निर्णय लेने के लिए परिणामी विश्लेषिकी को प्रदर्शित करने के तरीके में भी।

यूबीए, या उपयोगकर्ता व्यवहार विश्लेषण

उपयोगकर्ता व्यवहार एनालिटिक्स, या यूबीए, को सिएम के अधिक सूचित संस्करण के रूप में देखा जा सकता है। हां, सीएमआर की तरह, यह ईवेंट लॉग पर भी निर्भर करता है। हालांकि, यूबीए इस बात पर ध्यान केंद्रित करता है कि उपयोगकर्ता क्या करता है : रनिंग एप्लिकेशन, नेटवर्क गतिविधि, और उसके द्वारा खोली गई सबसे महत्वपूर्ण फाइलें (जब फ़ाइल या पत्र खोला गया था, जिन्होंने उन्हें खोला था, उन्होंने उनके साथ क्या किया था, और कितनी बार)।

उपयोगकर्ता क्रियाओं के आधार पर घटनाओं के संग्रहण और संग्रह के अपने महत्वपूर्ण फायदे हैं, जो कि कोलम्बिया में मानक लॉग पर हैं। उपयोगकर्ताओं के पास अपने स्वयं के अनूठे व्यवहार पैटर्न हैं : उदाहरण के लिए, कुछ फ़ाइलों और निर्देशिकाओं तक नियमित पहुंच। संभावित सुरक्षा घटनाओं को खोजने के लिए, यूबीए प्रत्येक उपयोगकर्ता के साथ जुड़े वर्तमान ईवेंट लॉग को देखता है, और फिर उनकी तुलना एक विशिष्ट तस्वीर से करता है, जो उपयोगकर्ता आमतौर पर करता है।

इस प्रकार, यूबीए स्वाभाविक रूप से सिएम है, लेकिन इतिहास और संदर्भ के साथ एक प्लस। इसलिए, यह संभावित हमलों की पहचान कर सकता है, यह निर्धारित कर सकता है कि हैकर, अंदरूनी सूत्र, मैलवेयर या अन्य प्रक्रियाओं और सेवाओं से संदिग्ध गतिविधि आती है या नहीं।

यदि आपने अभी सोचा कि बड़े डेटा के सिद्धांत से मशीन सीखने और विश्लेषण / पूर्वानुमान के तरीकों का उपयोग शायद यहां किया जाता है, तो आप बिल्कुल सही हैं! विश्लेषण के इन तरीकों से एक निश्चित आधार रेखा स्थापित करने में मदद मिलती है जिसके आधार पर आप अनुमान लगा सकते हैं कि सामान्य क्या है और क्या नहीं है।

संक्षेप में, निश्चित रूप से, हमलों का पता लगाने के लिए सिएम एक स्मार्ट दृष्टिकोण है। लेकिन अतिरिक्त संदर्भ के बिना, केवल CRM आंकड़ों के आधार पर निष्कर्ष और कार्य कम विश्वसनीय हो जाते हैं। ये, वास्तव में, "गलत सकारात्मक" होगा जब डब्लूएमएल प्रणाली उस समय खतरे का संकेत देती है जब यह मौजूद नहीं होता है। कुछ बिंदु पर, आपको अचानक पता चलता है कि लगभग 100% समय आप अकेले नकली खतरों का विश्लेषण कर रहे हैं। लेकिन अंत में, आप आम तौर पर उन्हें अनदेखा करना शुरू करते हैं, और यहां तक ​​कि उन लोगों के साथ भी जो निश्चित रूप से आपके ध्यान के लायक हैं।

यूबीए संदर्भ लाता है , जो झूठी सकारात्मकता को कम करता है। यूबीए सिस्टम घटनाओं की एक ही धारा को संसाधित करता है, लेकिन इसे कंप्यूटर सिस्टम में लोगों की दैनिक गतिविधि के कोण से देखें, और फिर संचित सामान्यीकृत आधार के साथ तुलना करें। और इसके कारण, हमारे अपने एल्गोरिदम और नियमों का उपयोग करके, गैर-मानक गतिविधि की अधिक सटीक रूप से पहचान की जाती है।

सुरक्षा विश्लेषिकी की कल्पना कैसे करें: डैशबोर्ड और खतरे के मॉडल

यूबीए सिस्टम, जैसा कि हमने देखा है, हमें क्लीनर डेटा देते हैं, जिसके आधार पर आईटी सुरक्षा अधिकारियों को अधिक सूचित निर्णय लेने में सक्षम होना चाहिए। लोगों द्वारा किसी भी डेटा को प्रयोग करने योग्य बनाने के लिए, एक विज़ुअलाइज़ेशन की आवश्यकता होती है जो किसी को एक नज़र में भेद करने की अनुमति देता है जो उपयोगकर्ताओं के असामान्य व्यवहार में देखा गया था।

एकल सुरक्षा डैशबोर्ड। यहां आप प्रभावित उपयोगकर्ताओं और उन पर मंडरा रहे खतरों के बारे में अधिक विस्तृत जानकारी प्राप्त करने के लिए नीचे ड्रिल कर सकते हैं।

सुरक्षा विश्लेषिकी डैशबोर्ड बहु-स्तरीय जीयूआई इंटरफेस हैं जो हमें नीचे ड्रिल करने और अधिक जानकारी देखने की अनुमति देते हैं, उदाहरण के लिए, उपयोगकर्ता के संदर्भ मानचित्र पर क्लिक करके प्रभावित उपयोगकर्ता के विवरण देखें। उदाहरण के लिए, हमारे Varonis डैशबोर्ड में (ऊपर दी गई तस्वीर देखें), आप आसानी से देख सकते हैं कि किन उपयोगकर्ताओं पर हमला किया जा रहा है, उनसे जुड़े उपकरण, और खतरे के मॉडल जिसमें वे शामिल हैं।

अच्छी तरह से, अंततः, यह सब हमें खतरे के मॉडल की चर्चा की ओर ले जाना चाहिए, जो वास्तव में संभावित खतरों और कमजोरियों की पहचान करने और उनका आकलन करने का एक औपचारिक तरीका है। उदाहरण के लिए, MIT, प्रसिद्ध MIT अनुसंधान प्रयोगशाला, के पास वर्तमान खतरे के पैटर्न पर एक उत्कृष्ट ज्ञान का आधार है जो आपका ध्यान आकर्षित करता है।

एक संगठन की सुरक्षा स्थिति डैशबोर्ड घटनाओं की खाद्य श्रृंखला के शीर्ष पर स्थित है। यह एक प्रसंस्करण श्रृंखला का दृश्य परिणाम है जो कच्चे अनप्रोसेस्ड घटनाओं पर लागू यूबीए तरीकों से शुरू होता है और विशेष एल्गोरिदम के साथ समाप्त होता है, जो अक्सर मशीन लर्निंग पर आधारित होता है, ताकि विभिन्न खतरे वाले मॉडलों में डेटा की खोज और वर्गीकरण किया जा सके। उदाहरण के लिए, गोपनीय डेटा तक असामान्य पहुंच, क्रिप्टो गतिविधि का पता लगाया, उपयोगकर्ता या समूह के विशेषाधिकार में असामान्य परिवर्तन, बड़े पैमाने पर विलोपन, और बहुत कुछ।

मुझे उम्मीद है कि अब यह आपके लिए काफी स्पष्ट है कि वर्तमान खतरों के लिए UBA- आधारित मॉनिटरिंग पैनल कच्चे ईवेंट लॉग के साथ काम करने की तुलना में अधिक प्रभावी है? उदाहरण के लिए, हमारे डेटाअलर्ट समाधान में खतरे के मॉडल की एक विस्तृत श्रृंखला शामिल है। और अगर आप इस बारे में अधिक जानना चाहते हैं कि हमारी डेटा विश्लेषण क्षमताएं कच्चे लॉग देखने से कैसे बच सकती हैं, तो डेमो या पायलट टेस्ट के लिए साइन अप करें।