क्लाउड सुरक्षा निगरानी

बादलों के लिए डेटा और अनुप्रयोगों को स्थानांतरित करना कॉर्पोरेट एसओसी के लिए एक नई समस्या है जो हमेशा अन्य लोगों के बुनियादी ढांचे की निगरानी के लिए तैयार नहीं होते हैं। Netoskope के अनुसार, एक मध्यम आकार के उद्यम (जाहिरा तौर पर अभी भी संयुक्त राज्य अमेरिका में) 1246 विभिन्न क्लाउड सेवाओं का उपयोग करता है, जो एक साल पहले की तुलना में 22% अधिक है। 1246 क्लाउड सेवाएं !!! उनमें से 175 मानव संसाधन सेवाओं से संबंधित हैं, 170 विपणन से संबंधित हैं, 110 - संचार के क्षेत्र में और 76 वित्त और सीआरएम में। सिस्को "कुल" 700 बाहरी क्लाउड सेवाओं का उपयोग करता है। इसलिए, मैं इन नंबरों से थोड़ा भ्रमित हूं। लेकिन किसी भी मामले में, समस्या उन में नहीं है, लेकिन इस तथ्य में कि बादलों का उपयोग सक्रिय रूप से कई कंपनियों द्वारा किया जा रहा है, जो अपने स्वयं के नेटवर्क के रूप में क्लाउड बुनियादी ढांचे की निगरानी के लिए समान क्षमता रखना चाहेंगे। और यह चलन बढ़ रहा है - अमेरिकन ऑडिट ऑफिस के अनुसार, 2023 तक, संयुक्त राज्य अमेरिका में 1,200 डेटा सेंटर बंद होने जा रहे हैं (6,250 पहले ही बंद हो चुके हैं)। लेकिन क्लाउड में संक्रमण केवल "नहीं है, लेकिन हमारे सर्वर को एक बाहरी प्रदाता को स्थानांतरित करते हैं"। नई आईटी वास्तुकला, नए सॉफ्टवेयर, नई प्रक्रियाएं, नए प्रतिबंध ... यह सब न केवल आईटी के काम में महत्वपूर्ण परिवर्तन करता है, बल्कि सुरक्षा की भी जानकारी देता है। और अगर प्रदाताओं ने सीखा कि क्लाउड की सुरक्षा से खुद को कैसे सामना करना है (सिफारिशों का लाभ काफी है), तो सूचना सुरक्षा के क्लाउड निगरानी के साथ महत्वपूर्ण कठिनाइयां हैं, खासकर सास प्लेटफार्मों पर, जिसके बारे में हम बात करेंगे।



मान लीजिए कि आपकी कंपनी ने अपने बुनियादी ढांचे का हिस्सा क्लाउड पर स्थानांतरित कर दिया है ... स्टॉप। ऐसे नहीं। यदि बुनियादी ढांचा स्थानांतरित हो गया है, और आप केवल इस बारे में सोच रहे हैं कि आप इसकी निगरानी कैसे करेंगे, तो आप पहले ही खो चुके हैं। यदि यह अमेज़ॅन, Google या Microsoft (और आरक्षण के साथ) नहीं है, तो संभवतः आपके पास अपने डेटा और एप्लिकेशन की निगरानी करने के लिए कई अवसर नहीं होंगे। ठीक है, अगर आपको लॉग के साथ काम करने का अवसर दिया जाता है। कभी-कभी सुरक्षा घटनाओं के बारे में डेटा उपलब्ध होगा, लेकिन आपके पास उन तक पहुंच नहीं होगी। उदाहरण के लिए, Office 365। यदि आपके पास सबसे सस्ता ई 1 लाइसेंस है, तो सुरक्षा कार्यक्रम आपके लिए बिल्कुल भी उपलब्ध नहीं हैं। यदि आपके पास E3 लाइसेंस है, तो आपका डेटा केवल 90 दिनों में संग्रहीत किया जाता है, और केवल तभी जब आपके पास E5 होता है - लॉग की अवधि एक वर्ष के लिए उपलब्ध होती है (हालांकि, Microsoft समर्थन से लॉग के साथ काम करने के लिए अलग से कई कार्यों का अनुरोध करने की आवश्यकता से जुड़ी कुछ बारीकियां भी हैं)। वैसे, कॉर्पोरेट एक्सचेंज की तुलना में निगरानी कार्यों के मामले में ई 3 लाइसेंस बहुत कमजोर है। समान स्तर को प्राप्त करने के लिए, आपको ई 5 लाइसेंस या एक अतिरिक्त उन्नत अनुपालन लाइसेंस की आवश्यकता होती है, जिसे अतिरिक्त धन की आवश्यकता हो सकती है जो क्लाउड इंफ्रास्ट्रक्चर में संक्रमण के लिए आपके वित्तीय मॉडल में शामिल नहीं था। और यह आईएस क्लाउड की निगरानी से संबंधित मुद्दों को कम करके आंकने का सिर्फ एक उदाहरण है। इस लेख में, पूरा होने का नाटक किए बिना, मैं कुछ बारीकियों पर ध्यान आकर्षित करना चाहता हूं, जिन्हें सुरक्षा के दृष्टिकोण से क्लाउड प्रदाता चुनते समय विचार किया जाना चाहिए। और लेख के अंत में, एक चेकलिस्ट दी जाएगी, जिसे पूरा करने से पहले आपको विचार करना चाहिए कि क्लाउड सूचना सुरक्षा की निगरानी का मुद्दा हल हो गया है।

क्लाउड वातावरण में घटनाओं के कारण कई विशिष्ट समस्याएं होती हैं, जिनका आईबी सेवाओं के पास जवाब देने या समय पर देखने का समय नहीं होता है:

• सुरक्षा लॉग मौजूद नहीं है। यह एक काफी सामान्य स्थिति है, खासकर क्लाउड मार्केट में शुरुआती लोगों के लिए। लेकिन उनके लिए एक अंत करना इसके लायक नहीं है। छोटे खिलाड़ी, विशेष रूप से घरेलू वाले, ग्राहकों की आवश्यकताओं के प्रति अधिक संवेदनशील होते हैं और अपने उत्पादों के लिए अनुमोदित रोडमैप को बदलकर कुछ अनुरोधित कार्यों को जल्दी से लागू कर सकते हैं। हां, यह अमेज़ॅन से गार्डडूट का एनालॉग या बिट्रिक्स से प्रोएक्टिव डिफेंस मॉड्यूल नहीं होगा, लेकिन कम से कम कुछ होगा।
• आईबी को यह नहीं पता होता है कि लॉग कहां जमा हैं या उन तक कोई पहुंच नहीं है। यहां क्लाउड सेवा प्रदाता के साथ बातचीत में प्रवेश करना आवश्यक है - शायद वह इस तरह की जानकारी प्रदान करेगा यदि वह ग्राहक को अपने लिए महत्वपूर्ण मानता है। लेकिन सामान्य तौर पर, यह बहुत अच्छा नहीं है जब लॉग्स तक पहुंच "एक विशेष निर्णय द्वारा" प्रदान की जाती है।
• यह भी होता है कि क्लाउड प्रदाता के पास लॉग होते हैं, लेकिन वे सभी घटनाओं का पता लगाने के लिए सीमित निगरानी और ईवेंट लॉगिंग, अपर्याप्त प्रदान करते हैं। उदाहरण के लिए, आपको साइट पर परिवर्तनों के लॉग या उपयोगकर्ताओं को प्रमाणित करने के प्रयासों के लॉग दिए जा सकते हैं, लेकिन वे अन्य घटनाओं को नहीं दे सकते हैं, उदाहरण के लिए, नेटवर्क ट्रैफ़िक के बारे में, जो आपसे उन सभी घटनाओं को छिपा देगा जो आपके क्लाउड इंफ्रास्ट्रक्चर को तोड़ने के प्रयासों को चिह्नित करती हैं।
• लॉग हैं, लेकिन उन तक पहुंच को स्वचालित करना मुश्किल है, जो उन्हें निरंतर नहीं बल्कि एक कार्यक्रम के अनुसार मॉनिटर करता है। और यदि आप अभी भी स्वचालित मोड में लॉग डाउनलोड नहीं कर सकते हैं, तो लॉग को अपलोड करना, उदाहरण के लिए, एक्सेल प्रारूप में (कुछ घरेलू क्लाउड समाधान प्रदाताओं के साथ), पूरी तरह से कॉर्पोरेट आईएस सेवा से उनके साथ गड़बड़ करने के लिए अनिच्छा पैदा कर सकता है।
• कोई लॉग मॉनिटरिंग नहीं। यह संभवतः बादल वातावरण में सूचना सुरक्षा घटनाओं की घटना के लिए सबसे अयोग्य कारण है। ऐसा लगता है कि लॉग हैं, और आप उन तक पहुंच को स्वचालित कर सकते हैं, लेकिन कोई भी ऐसा नहीं करता है। क्यों?

क्लाउड साझा सुरक्षा अवधारणा

बादलों को स्थानांतरित करना हमेशा बुनियादी ढांचे पर नियंत्रण बनाए रखने और इसे क्लाउड प्रदाता के अधिक पेशेवर हाथों में स्थानांतरित करने की इच्छा के बीच एक संतुलन की तलाश है, जो इसे बनाए रखने में माहिर हैं। और क्लाउड सुरक्षा के क्षेत्र में, यह शेष राशि भी मांगी जानी चाहिए। इसके अलावा, क्लाउड सेवाएं (IaaS, Paa, SaaS) प्रदान करने के उपयोग किए गए मॉडल के आधार पर, यह संतुलन हमेशा अलग होगा। किसी भी स्थिति में, हमें याद रखना चाहिए कि आज सभी क्लाउड प्रदाता तथाकथित साझा जिम्मेदारी और साझा सूचना सुरक्षा मॉडल का पालन करते हैं। क्लाउड किसी चीज़ के लिए ज़िम्मेदार है, क्लाइंट किसी चीज़ के लिए ज़िम्मेदार है, उसने अपना डेटा, अपने एप्लिकेशन, अपने वर्चुअल मशीन और अन्य संसाधन क्लाउड में रखे हैं। यह उम्मीद करना मूर्खता होगी कि बादल में जाने के बाद, हम प्रदाता को सारी जिम्मेदारी सौंप देंगे। लेकिन क्लाउड पर जाने के दौरान अपने दम पर सभी सुरक्षा का निर्माण करना भी अनुचित है। एक संतुलन की जरूरत है, जो कई कारकों पर निर्भर करेगा: - जोखिम प्रबंधन रणनीतियों, रक्षा तंत्र के क्लाउड प्रदाता के लिए उपलब्ध खतरे के मॉडल, कानून, आदि।



उदाहरण के लिए, क्लाउड में होस्ट किए गए डेटा का वर्गीकरण हमेशा ग्राहक की जिम्मेदारी है। क्लाउड प्रदाता या बाहरी सेवा प्रदाता केवल टूलकिट के साथ उसकी मदद कर सकता है जो क्लाउड में डेटा को चिह्नित करने, उल्लंघन की पहचान करने, कानून का उल्लंघन करने वाले डेटा को हटाने या एक विधि या किसी अन्य का उपयोग करके इसे मुखौटा करने में मदद करेगा। दूसरी ओर, शारीरिक सुरक्षा हमेशा क्लाउड प्रदाता की जिम्मेदारी होती है, जिसे वह ग्राहकों के साथ साझा नहीं कर सकता है। लेकिन डेटा और भौतिक बुनियादी ढांचे के बीच जो कुछ भी है वह इस लेख में चर्चा का विषय है। उदाहरण के लिए, क्लाउड उपलब्धता प्रदाता की ज़िम्मेदारी है, और ITU नियम सेट करना या एन्क्रिप्शन सक्षम करना ग्राहक की ज़िम्मेदारी है। इस लेख में, हम यह देखने का प्रयास करेंगे कि आज रूस में लोकप्रिय विभिन्न क्लाउड प्रदाताओं द्वारा किस प्रकार के सूचना सुरक्षा तंत्र उपलब्ध कराए गए हैं, उनके अनुप्रयोग की क्या विशेषताएं हैं, और बाहरी ओवरले समाधान की दिशा में कब देखें (उदाहरण के लिए, सिस्को ई-मेल सुरक्षा जो आपके क्लाउड की क्षमताओं का विस्तार करती हैं। साइबर सुरक्षा। कुछ मामलों में, विशेष रूप से एक मल्टी-क्लाउड रणनीति का पालन करते समय, आपके पास एक ही समय में कई क्लाउड वातावरण में बाहरी सुरक्षा निगरानी समाधानों का उपयोग करने के अलावा कोई विकल्प नहीं होगा (उदाहरण के लिए, सिस्को क्लाउडलॉक या सिस्को स्टेलवॉच क्लाउड)। ठीक है, कुछ मामलों में, आप समझेंगे कि आपके द्वारा चुने गए क्लाउड प्रदाता (या आप पर लगाए गए) सूचना सुरक्षा की निगरानी के लिए कोई विकल्प प्रदान नहीं करते हैं। यह अप्रिय है, लेकिन बहुत कुछ भी है, क्योंकि यह आपको इस बादल के साथ काम करने से जुड़े जोखिम के स्तर का पर्याप्त आकलन करने की अनुमति देता है।

क्लाउड सुरक्षा निगरानी जीवन चक्र

आपके द्वारा उपयोग किए जाने वाले बादलों की सुरक्षा की निगरानी के लिए, आपके पास केवल तीन विकल्प हैं:

• अपने क्लाउड प्रदाता द्वारा प्रदान किए गए टूल पर भरोसा करें,
• तीसरे पक्ष के समाधानों का लाभ उठाएं जो IaaS, PaaS या SaaS आपके द्वारा उपयोग किए जाने वाले प्लेटफार्मों की निगरानी करेंगे,
• अपने खुद के क्लाउड मॉनिटरिंग इन्फ्रास्ट्रक्चर (IaaS / Paa प्लेटफॉर्म) का निर्माण करें।

आइए देखें कि इनमें से प्रत्येक विकल्प में क्या विशेषताएं हैं। लेकिन पहले, हमें सामान्य योजना को समझने की आवश्यकता है जिसका उपयोग क्लाउड प्लेटफार्मों की निगरानी में किया जाएगा। मैं क्लाउड में सूचना सुरक्षा निगरानी प्रक्रिया के 6 मुख्य घटकों पर प्रकाश डालूंगा:

• अधोसंरचना तैयार करना। रिपॉजिटरी में सूचना सुरक्षा के लिए महत्वपूर्ण घटनाओं को इकट्ठा करने के लिए आवश्यक अनुप्रयोगों और बुनियादी ढांचे की पहचान।
• संग्रह। इस स्तर पर, बाद में संचरण, प्रसंस्करण, भंडारण और विश्लेषण के लिए विभिन्न स्रोतों से सुरक्षा घटनाओं को एकत्र किया जाता है।
• प्रोसेस हो रहा है। इस बिंदु पर, डेटा को उनके बाद के विश्लेषण की सुविधा के लिए रूपांतरित और समृद्ध किया जाता है।
• भंडारण। यह घटक एकत्रित संसाधित और कच्चे डेटा के अल्पकालिक और दीर्घकालिक भंडारण के लिए जिम्मेदार है।
• विश्लेषण। इस स्तर पर, आपके पास घटनाओं का पता लगाने और स्वचालित रूप से या मैन्युअल रूप से उनका जवाब देने की क्षमता है।
• बयान। यह चरण इच्छुक पार्टियों (प्रबंधन, लेखा परीक्षकों, क्लाउड प्रदाताओं, ग्राहकों, आदि) के लिए प्रमुख संकेतक बनाने में मदद करता है जो हमें कुछ निर्णय लेने में मदद करते हैं, उदाहरण के लिए, प्रदाता को बदलने या आईएस को मजबूत करने में।

इन घटकों को समझना आपको यह निर्धारित करने की अनुमति देगा कि आप अपने प्रदाता से क्या प्राप्त कर सकते हैं, और आपको अपने आप को या बाहरी सलाहकारों की मदद से क्या करना होगा।

बिल्ट-इन क्लाउड सर्विसेज

मैंने पहले ही ऊपर लिखा है कि इतनी सारी क्लाउड सेवाएं आज सूचना सुरक्षा की निगरानी के लिए कोई संभावना प्रदान नहीं करती हैं। सामान्य तौर पर, वे सूचना सुरक्षा के विषय पर ज्यादा ध्यान नहीं देते हैं। उदाहरण के लिए, इंटरनेट के माध्यम से सरकारी एजेंसियों को रिपोर्ट भेजने के लिए लोकप्रिय रूसी सेवाओं में से एक (मैं विशेष रूप से इसका नाम नहीं बताऊंगा)। इस सेवा का पूरा सुरक्षा खंड प्रमाणित क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों के उपयोग के आसपास घूमता है। इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के लिए एक अन्य घरेलू क्लाउड सेवा का सूचना सुरक्षा अनुभाग अब एक उदाहरण नहीं है। यह सार्वजनिक कुंजी प्रमाणपत्र, प्रमाणित क्रिप्टोग्राफी, वेब भेद्यता को समाप्त करने, DDoS हमलों से सुरक्षा, ITU लागू करने, बैक अप लेने और यहां तक ​​कि नियमित IS ऑडिट आयोजित करने के बारे में बात करता है। लेकिन निगरानी के बारे में एक शब्द भी नहीं, और न ही इस सेवा प्रदाता के ग्राहकों के लिए रुचि रखने वाली सूचना सुरक्षा घटनाओं तक पहुंच प्राप्त करने की संभावना के बारे में।

सामान्य तौर पर, जिस तरह से क्लाउड प्रदाता अपनी वेबसाइट पर और दस्तावेज़ में सूचना सुरक्षा मुद्दों का वर्णन करता है, वह समझ सकता है कि वह इस मुद्दे को कितनी गंभीरता से लेता है। उदाहरण के लिए, यदि आप मेरे कार्यालय के उत्पादों के लिए मैनुअल पढ़ते हैं, तो सुरक्षा के बारे में एक शब्द नहीं है, और अलग-अलग उत्पाद मेरा कार्यालय के लिए प्रलेखन। KS3 ”, जिसे अनधिकृत पहुंच से बचाने के लिए डिज़ाइन किया गया है, FSTEC के 17 वें क्रम के खंडों की सामान्य गणना है, जो“ My office.KS3 ”को निष्पादित करता है, लेकिन यह वर्णित नहीं है कि यह कैसे लागू होता है और, सबसे महत्वपूर्ण बात यह है कि कॉर्पोरेट सूचना सुरक्षा के साथ इन तंत्रों को कैसे एकीकृत किया जाए। शायद इस तरह के प्रलेखन वहाँ है, लेकिन मैंने इसे अपने कार्यालय की साइट पर सार्वजनिक डोमेन में नहीं पाया। हालाँकि शायद मेरे पास इस वर्गीकृत जानकारी तक पहुँच नहीं है? ..



वही बिट्रिक्स की स्थिति काफी बेहतर है। प्रलेखन इवेंट लॉग के स्वरूपों का वर्णन करता है और, दिलचस्प बात यह है कि घुसपैठ लॉग, जिसमें क्लाउड प्लेटफ़ॉर्म के लिए संभावित खतरों से संबंधित घटनाएं होती हैं। वहां से आप आईपी, उपयोगकर्ता नाम या अतिथि का नाम, इवेंट स्रोत, समय, उपयोगकर्ता एजेंट, ईवेंट का प्रकार आदि प्राप्त कर सकते हैं। सच है, आप इन घटनाओं के साथ या तो क्लाउड के कंट्रोल पैनल से काम कर सकते हैं या एमएस एक्सेल प्रारूप में डेटा अपलोड कर सकते हैं। अब बिट्रिक्स लॉग के साथ काम को स्वचालित करना मुश्किल है और आपको मैन्युअल रूप से काम का हिस्सा करना होगा (रिपोर्ट अपलोड करें और इसे अपने कोलम्बिया में लोड करें)। लेकिन अगर आप याद करते हैं कि अपेक्षाकृत हाल ही में, और यह संभव नहीं था, तो यह एक बड़ी प्रगति है। उसी समय, मैं यह नोट करना चाहता हूं कि कई विदेशी क्लाउड प्रदाता "शुरुआती के लिए" समान कार्यक्षमता प्रदान करते हैं - या तो नियंत्रण कक्ष के माध्यम से अपनी आंखों से लॉग को देखें, या अपने आप को डेटा अपलोड करें (हालांकि .csv प्रारूप में डेटा अपलोड करें, एक्सेल नहीं)।



यदि आप बिना लॉग के विकल्प पर विचार नहीं करते हैं, तो क्लाउड प्रदाता आमतौर पर सुरक्षा घटनाओं की निगरानी के लिए आपको तीन विकल्प प्रदान करते हैं - डैशबोर्ड, डेटा अपलोड करना और एपीआई के माध्यम से उन तक पहुंचना। पहले वाला आपके लिए कई समस्याओं को हल करने के लिए लगता है, लेकिन यह पूरी तरह से सच नहीं है - यदि कई पत्रिकाएं हैं, तो आपको उन स्क्रीन के बीच स्विच करना होगा जो उन्हें प्रदर्शित करते हैं, बड़ी तस्वीर खो देते हैं। इसके अलावा, क्लाउड प्रदाता आपको सुरक्षा घटनाओं को सहसंबंधित करने का अवसर प्रदान करने और आम तौर पर उन्हें सुरक्षा के दृष्टिकोण से विश्लेषण करने की संभावना नहीं देता है (आमतौर पर आप कच्चे डेटा से निपटते हैं जिसे आपको खुद को समझने की आवश्यकता होती है)। अपवाद हैं और हम उनके बारे में आगे बात करेंगे। अंत में, यह पूछने योग्य है कि आपके क्लाउड प्रदाता किन घटनाओं को रिकॉर्ड करता है, किस प्रारूप में है, और वे आपकी आईएस निगरानी प्रक्रिया के कितने अनुरूप हैं? उदाहरण के लिए, उपयोगकर्ताओं और मेहमानों की पहचान और प्रमाणीकरण। वही बिट्रिक्स आपको इस घटना की तारीख और समय, उपयोगकर्ता या अतिथि (वेब ​​विश्लेषिकी मॉड्यूल की उपस्थिति में) का रिकॉर्ड दर्ज करने की अनुमति देता है, एक ऐसी वस्तु जिसके लिए पहुंच बनाई जाती है, और इन घटनाओं के लिए वेब साइट के अन्य तत्व विशिष्ट हैं। लेकिन कॉर्पोरेट आईएस सेवाओं को इस बारे में जानकारी की आवश्यकता हो सकती है कि किसी उपयोगकर्ता ने विश्वसनीय डिवाइस से क्लाउड में लॉग इन किया है (उदाहरण के लिए, कॉर्पोरेट नेटवर्क में, सिस्को आईएसई इस कार्य को लागू करता है)। और भू-आईपी फ़ंक्शन के रूप में ऐसा सरल कार्य, जो यह निर्धारित करने में मदद करेगा कि क्या क्लाउड सेवा का उपयोगकर्ता खाता चोरी हो गया है? और यहां तक ​​कि अगर क्लाउड प्रदाता आपको इसे प्रदान करता है, तो यह पर्याप्त नहीं है। समान सिस्को क्लाउडलॉक केवल जियोलोकेशन का विश्लेषण नहीं करता है, बल्कि इसके लिए मशीन लर्निंग का उपयोग करता है और प्रत्येक उपयोगकर्ता के लिए ऐतिहासिक डेटा का विश्लेषण करता है और पहचानने और प्रमाणित करने के प्रयासों में विभिन्न विसंगतियों को ट्रैक करता है। केवल एमएस एज़्योर में समान कार्यक्षमता है (यदि इसके अनुरूप सदस्यता है)।



एक और कठिनाई है - चूंकि कई क्लाउड प्रदाताओं के लिए आईएस की निगरानी एक नया विषय है जिससे वे बस निपटना शुरू कर रहे हैं, वे लगातार अपने निर्णयों में कुछ बदल रहे हैं। आज उनके पास एपीआई का एक संस्करण है, कल दूसरा, कल के बाद तीसरा दिन। इसके लिए भी एक को तैयार होना चाहिए। कार्यक्षमता के साथ वही चीज़ बदल सकती है, जिसे आपकी सूचना सुरक्षा निगरानी प्रणाली में ध्यान में रखा जाना चाहिए। उदाहरण के लिए, अमेज़ॅन के पास शुरुआत में अलग-अलग क्लाउड इवेंट मॉनिटरिंग सेवाएं थीं - AWS CloudTrail और AWS CloudWatch। फिर एक अलग IS इवेंट मॉनिटरिंग सर्विस आई - AWS GuardDuty। कुछ समय बाद, अमेज़ॅन ने नया अमेज़ॅन सिक्योरिटी हब मैनेजमेंट सिस्टम लॉन्च किया, जिसमें गार्डडूट, अमेज़ॅन इंस्पेक्टर, अमेज़ॅन मैकी और कई अन्य लोगों से प्राप्त डेटा का विश्लेषण शामिल है। एक अन्य उदाहरण है, अलेउर लॉग इंटीग्रेशन टूल जो कि सिएम - एज़लॉग के साथ है। कई CRM विक्रेताओं ने इसका सक्रिय रूप से उपयोग किया, 2018 तक Microsoft ने इसके विकास और समर्थन को समाप्त करने की घोषणा की, जिसने कई ग्राहकों को समस्या से पहले इस उपकरण का उपयोग किया (जैसा कि इसे हल किया गया था, हम बाद में बात करेंगे)।

इसलिए, आपके क्लाउड प्रदाता द्वारा आपको प्रदान किए जाने वाले सभी मॉनिटरिंग कार्यों को ध्यान से देखें। या समाधान के बाहरी प्रदाताओं पर भरोसा करें जो आपके एसओसी और क्लाउड के बीच मध्यस्थ के रूप में कार्य करेंगे जिन्हें आप मॉनिटर करना चाहते हैं। हां, यह अधिक महंगा होगा (हालांकि हमेशा नहीं), लेकिन फिर आप सभी जिम्मेदारी दूसरों के कंधों पर स्थानांतरित कर देंगे। या सभी नहीं? .. साझा सुरक्षा की अवधारणा को याद करें और समझें कि हम कुछ भी बदलाव नहीं कर सकते हैं - आपको यह पता लगाना होगा कि विभिन्न क्लाउड प्रदाता आपके डेटा, एप्लिकेशन, वर्चुअल मशीन और क्लाउड में स्थित अन्य संसाधनों की सूचना सुरक्षा निगरानी कैसे प्रदान करते हैं। और हम इस भाग में अमेजन की पेशकश के साथ शुरुआत करेंगे।

उदाहरण: AWS- आधारित IaaS में सुरक्षा निगरानी

हां, हां, मैं समझता हूं कि अमेज़ॅन इस तथ्य को देखते हुए सबसे अच्छा उदाहरण नहीं है कि यह एक अमेरिकी सेवा है और इसे चरमपंथ के खिलाफ लड़ाई और रूस में निषिद्ध सूचना के प्रसार के हिस्से के रूप में अवरुद्ध किया जा सकता है। लेकिन इस प्रकाशन में, मैं केवल यह दिखाना चाहूंगा कि सूचना सुरक्षा क्षमताओं में अलग-अलग क्लाउड प्लेटफ़ॉर्म कैसे भिन्न होते हैं और सुरक्षा की दृष्टि से बादलों में अपनी प्रमुख प्रक्रियाओं को स्थानांतरित करने पर आपको क्या ध्यान देना चाहिए। खैर, अगर क्लाउड समाधान के रूसी डेवलपर्स में से कुछ खुद के लिए कुछ उपयोगी पाते हैं, तो यह बहुत अच्छा होगा।



पहले मुझे यह कहना होगा कि अमेज़न एक अभेद्य दुर्ग नहीं है। विभिन्न घटनाएं नियमित रूप से उसके ग्राहकों के लिए होती हैं। उदाहरण के लिए, दीप रूट एनालिटिक्स से 198 मिलियन मतदाताओं के नाम, पते, जन्मतिथि और टेलीफोन चोरी हो गए। 14 मिलियन Verizon सदस्यता रिकॉर्ड नाइस सिस्टम, इज़राइल से चुराए गए उसी समय, AWS निर्मित क्षमताएं आपको घटनाओं की एक विस्तृत श्रृंखला का पता लगाने की अनुमति देती हैं। उदाहरण के लिए:

• आधारभूत संरचना पर प्रभाव (DDoS)
• नोड समझौता (कमांड इंजेक्शन)
• खाता समझौता और अनधिकृत पहुंच
• गलतफहमी और कमजोरियाँ
• असुरक्षित इंटरफेस और एपीआई।

यह विसंगति इस तथ्य के कारण है कि ग्राहक स्वयं ग्राहक डेटा की सुरक्षा के लिए जिम्मेदार है, जैसा कि हमने ऊपर पाया।और अगर उसने सुरक्षात्मक तंत्र को शामिल करने के बारे में चिंता नहीं की और निगरानी उपकरण शामिल नहीं किए, तो वह केवल मीडिया से या अपने ग्राहकों से घटना के बारे में जानेंगे।

घटनाओं का पता लगाने के लिए, आप अमेज़ॅन द्वारा विकसित विभिन्न निगरानी सेवाओं की एक विस्तृत श्रृंखला का उपयोग कर सकते हैं (हालांकि वे अक्सर बाहरी उपकरणों, जैसे कि ओस्क्वेरी द्वारा पूरक होते हैं)। इसलिए, एडब्ल्यूएस में, सभी उपयोगकर्ता कार्यों को ट्रैक किया जाता है, भले ही वे कैसे किए गए हों - प्रबंधन कंसोल, कमांड लाइन, एसडीके या अन्य एडब्ल्यूएस सेवाओं के माध्यम से। प्रत्येक एडब्ल्यूएस खाते के कार्यों के सभी रिकॉर्ड (उपयोगकर्ता नाम, कार्रवाई, सेवा, गतिविधि पैरामीटर और इसके परिणाम सहित) और एपीआई का उपयोग एडब्ल्यूएस क्लाउडट्रेड के माध्यम से उपलब्ध हैं। आप इन घटनाओं को देख सकते हैं (उदाहरण के लिए, क्लाउड एड्रॉल कंसोल से AWS IAM कंसोल में लॉग इन करते हुए), अमेज़ॅन एथेना का उपयोग करके उनका विश्लेषण करें, या उन्हें बाहरी समाधानों जैसे "स्प्लंक, एलियनवॉल्ट, आदि" दें। AWS CloudTrail लॉग्स को आपके AWS S3 बाल्टी में रखा गया है।



अन्य दो AWS सेवाएं कुछ अधिक महत्वपूर्ण निगरानी क्षमताएँ प्रदान करती हैं। सबसे पहले, अमेज़ॅन क्लाउडवॉच एक एडब्ल्यूएस संसाधन और एप्लिकेशन मॉनिटरिंग सेवा है, जो अन्य चीजों के अलावा, आपके क्लाउड में विभिन्न विसंगतियों का पता लगा सकता है। सभी AWS अंतर्निहित सेवाएँ, जैसे कि Amazon Elastic Compute Cloud (सर्वर), Amazon Relational Database Service (डेटाबेस), Amazon Elastic MapReduce (डेटा विश्लेषण) और 30 अन्य Amazon सेवाएँ, Amazon LogWatch का उपयोग अपने लॉग को स्टोर करने के लिए करती हैं। उपयोगकर्ता अनुप्रयोगों और सेवाओं के लिए लॉग मॉनिटरिंग कार्यक्षमता को जोड़ने के लिए डेवलपर्स अमेज़ॅन क्लाउडवच ओपन एपीआई का उपयोग कर सकते हैं, जो सूचना सुरक्षा के संदर्भ में विश्लेषण की गई घटनाओं की सीमा का विस्तार करने की अनुमति देता है।



दूसरे, वीपीसी फ्लो लॉग्स सेवा आपको अपने एडब्ल्यूएस सर्वर (बाह्य या आंतरिक रूप से) के साथ-साथ माइक्रोसर्विस के बीच भेजे गए या प्राप्त नेटवर्क ट्रैफ़िक का विश्लेषण करने की अनुमति देती है। जब आपका कोई एडब्ल्यूएस वीपीसी संसाधन नेटवर्क के साथ इंटरैक्ट करता है, तो वीपीसी फ्लो लॉग सेवा नेटवर्क ट्रैफिक जानकारी को रिकॉर्ड करता है, जिसमें स्रोत और गंतव्य नेटवर्क इंटरफेस, साथ ही आईपी पते, पोर्ट, प्रोटोकॉल, बाइट्स की संख्या और पैकेट की संख्या भी देखी जाती है। स्थानीय नेटवर्क सुरक्षा अनुभव वाले लोग इसे नेटफ्लो धाराओं के एक एनालॉग के रूप में पहचानते हैं।स्विच, राउटर और एंटरप्राइज़-स्तरीय फ़ायरवॉल द्वारा बनाया जा सकता है। ये लॉग सूचना सुरक्षा निगरानी के लिए महत्वपूर्ण हैं, क्योंकि उपयोगकर्ता और एप्लिकेशन गतिविधि घटनाओं के विपरीत, वे आपको AWS वर्चुअल प्राइवेट क्लाउड वातावरण में नेटवर्क संचार को याद नहीं करने की अनुमति भी देते हैं।



इस प्रकार, ये तीन AWS सेवाएं - AWS CloudTrail, Amazon CloudWatch और VPC Flow Logs - एक साथ आपके खाते के उपयोग, उपयोगकर्ता व्यवहार, बुनियादी ढांचे के प्रबंधन, अनुप्रयोग और सेवा गतिविधि और नेटवर्क गतिविधि का एक काफी प्रभावी दृश्य प्रदान करती हैं। उदाहरण के लिए, उन्हें निम्नलिखित विसंगतियों का पता लगाने के लिए इस्तेमाल किया जा सकता है:

• साइट को स्कैन करने का प्रयास, बैकडोर की खोज, "404 त्रुटियों" के फटने के माध्यम से कमजोरियों की खोज करें।
• Injection- (, SQL injection) “ 500”.
• sqlmap, nikto, w3af, nmap .. User Agent.

Amazon Web Services ने साइबर सुरक्षा के लिए अन्य सेवाओं को भी विकसित किया है जो कई अन्य चुनौतियों का सामना करती हैं। उदाहरण के लिए, AWS के पास नीतियों और कॉन्फ़िगरेशनों की ऑडिटिंग के लिए एक अंतर्निहित सेवा है - AWS कॉन्फ़िग। यह सेवा आपके AWS संसाधनों और उनके कॉन्फ़िगरेशन की निरंतर ऑडिटिंग प्रदान करती है। एक साधारण उदाहरण पर विचार करें: मान लें कि आप यह सुनिश्चित करना चाहते हैं कि उपयोगकर्ता के पासवर्ड आपके सभी सर्वरों पर अक्षम हैं और केवल प्रमाणपत्रों के आधार पर पहुंच संभव है। AWS कॉन्फ़िग को आपके सभी सर्वरों के लिए इसे सत्यापित करना आसान बनाता है। ऐसी अन्य नीतियां हैं जो आपके क्लाउड सर्वर पर लागू की जा सकती हैं: "कोई भी सर्वर पोर्ट 22 का उपयोग नहीं कर सकता है", "केवल व्यवस्थापक फ़ायरवॉल नियमों को बदल सकते हैं" या "केवल उपयोगकर्ता इवास्को नए उपयोगकर्ता खाते बना सकता है, और वह कर सकता है यह केवल मंगलवार को है। ”2016 की गर्मियों में, विकसित नीतियों के उल्लंघन का पता लगाने के लिए AWS विन्यास का विस्तार किया गया था। AWS कॉन्फ़िगरेशन नियम, संक्षेप में, आपके द्वारा उपयोग की जाने वाली अमेज़ॅन सेवाओं के लिए निरंतर कॉन्फ़िगरेशन अनुरोध हैं, जो प्रासंगिक नीतियों के उल्लंघन के मामले में घटनाओं को उत्पन्न करते हैं। उदाहरण के लिए, समय-समय पर एडब्ल्यूएस कॉन्फ़िगरेशन को निष्पादित करने के बजाय यह सत्यापित करने के लिए कि सभी वर्चुअल सर्वर ड्राइव एन्क्रिप्ट किए गए हैं, इस स्थिति के लिए सर्वर ड्राइव को लगातार जांचने के लिए एडब्ल्यूएस कॉन्फिग नियम का उपयोग किया जा सकता है। और, सबसे महत्वपूर्ण बात यह है कि इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाओं को उत्पन्न करता है जिनका विश्लेषण आपकी आईएस सेवा द्वारा किया जा सकता है।अमेज़ॅन सेवाओं के लिए निरंतर कॉन्फ़िगरेशन अनुरोधों का उपयोग करते हैं जो नीतियों का उल्लंघन होने पर घटनाओं को उत्पन्न करते हैं। उदाहरण के लिए, समय-समय पर एडब्ल्यूएस कॉन्फ़िगरेशन को निष्पादित करने के बजाय यह सत्यापित करने के लिए कि सभी वर्चुअल सर्वर ड्राइव एन्क्रिप्ट किए गए हैं, इस स्थिति के लिए सर्वर ड्राइव को लगातार जांचने के लिए एडब्ल्यूएस कॉन्फिग नियम का उपयोग किया जा सकता है। और, सबसे महत्वपूर्ण बात यह है कि इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाओं को उत्पन्न करता है जिनका विश्लेषण आपकी आईएस सेवा द्वारा किया जा सकता है।अमेज़ॅन सेवाओं के लिए निरंतर कॉन्फ़िगरेशन अनुरोधों का उपयोग करते हैं जो नीतियों का उल्लंघन होने पर घटनाओं को उत्पन्न करते हैं। उदाहरण के लिए, समय-समय पर एडब्ल्यूएस कॉन्फ़िगरेशन को निष्पादित करने के बजाय यह सत्यापित करने के लिए कि सभी वर्चुअल सर्वर ड्राइव एन्क्रिप्ट किए गए हैं, इस स्थिति के लिए सर्वर ड्राइव को लगातार जांचने के लिए एडब्ल्यूएस कॉन्फिग नियम का उपयोग किया जा सकता है। और, सबसे महत्वपूर्ण बात यह है कि इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाओं को उत्पन्न करता है जिनका विश्लेषण आपकी आईएस सेवा द्वारा किया जा सकता है।इस स्थिति के लिए सर्वर डिस्क को लगातार चेक करने के लिए AWS कॉन्फिग नियम का उपयोग किया जा सकता है। और, सबसे महत्वपूर्ण बात यह है कि इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाएं उत्पन्न करता है जिनका विश्लेषण आपकी आईएस सेवा द्वारा किया जा सकता है।इस स्थिति के लिए सर्वर डिस्क को लगातार चेक करने के लिए AWS कॉन्फिग नियम का उपयोग किया जा सकता है। और, सबसे महत्वपूर्ण बात यह है कि इस प्रकाशन के संदर्भ में, कोई भी उल्लंघन ऐसी घटनाओं को उत्पन्न करता है जिनका विश्लेषण आपकी आईएस सेवा द्वारा किया जा सकता है।



AWS के पास पारंपरिक कॉरपोरेट सूचना सुरक्षा समाधानों के समतुल्य हैं जो सुरक्षा घटनाओं को उत्पन्न करते हैं जिनका आपको विश्लेषण करना चाहिए:

• घुसपैठ का पता लगाने - AWS गार्डडूट
• रिसाव नियंत्रण - AWS Macie
• EDR (हालाँकि क्लाउड में एंडपॉइंट के बारे में बात करना थोड़ा अजीब है) - AWS क्लाउडवॉच + ओपन सोर्स ऑस्क्वायरी या जीआरआर सॉल्यूशंस
• नेटफ्लो एनालिसिस - AWS क्लाउडवॉच + AWS VPC फ्लो
• डीएनएस विश्लेषण - एडब्ल्यूएस क्लाउडवॉच + एडब्ल्यूएस रूट 53
• AD - AWS निर्देशिका सेवा
• खाता प्रबंधन - AWS IAM
• SSO - AWS SSO
• सुरक्षा विश्लेषण - AWS इंस्पेक्टर
• विन्यास प्रबंधन - AWS विन्यास
• WAF - AWS WAF।

मैं सभी अमेज़ॅन सेवाओं का विस्तार नहीं करूंगा जो सूचना सुरक्षा के संदर्भ में उपयोगी हो सकती हैं। समझने के लिए मुख्य बात यह है कि वे सभी घटनाओं को उत्पन्न कर सकते हैं जो हमें सूचना सुरक्षा के संदर्भ में विश्लेषण करना चाहिए, इसमें अमेज़ॅन की अंतर्निहित क्षमताओं और बाहरी समाधान दोनों शामिल हैं, उदाहरण के लिए, कोलम्बिया, जो सुरक्षा घटनाओं को आपके निगरानी केंद्र में ले जा सकता है। और अन्य क्लाउड सेवाओं या आंतरिक बुनियादी ढांचे, परिधि या मोबाइल उपकरणों से घटनाओं के साथ वहां उनका विश्लेषण करें।



किसी भी स्थिति में, यह सभी डेटा स्रोतों से शुरू होता है जो आपको आईबी घटनाओं के साथ प्रदान करते हैं। ऐसे स्रोतों में शामिल हैं, लेकिन इन तक सीमित नहीं हैं:

• CloudTrail - एपीआई उपयोग और उपयोगकर्ता क्रियाएँ
• ट्रस्टेड एडवाइजर - बेस्ट प्रैक्टिस के लिए सिक्योरिटी चेक
• Config —
• VPC Flow Logs —
• IAM —
• ELB Access Logs —
• Inspector —
• S3 —
• CloudWatch —
• SNS — .

अमेज़ॅन, अपनी पीढ़ी के लिए इवेंट स्रोतों और उपकरणों की एक ऐसी श्रृंखला की पेशकश करता है, जो सूचना सुरक्षा के संदर्भ में एकत्रित डेटा का विश्लेषण करने की अपनी क्षमता में बहुत सीमित है। आपको उपलब्ध लॉग्स का स्वतंत्र रूप से अध्ययन करना होगा, उनमें समझौता के संबंधित संकेतकों की तलाश होगी। AWS सिक्योरिटी हब, जिसे अमेजन ने हाल ही में लॉन्च किया है, का उद्देश्य AWS के लिए क्लाउड-आधारित एक प्रकार का CRM बनकर इस समस्या को हल करना है। लेकिन जबकि यह केवल अपनी यात्रा की शुरुआत में है और दोनों स्रोतों की संख्या तक सीमित है जिसके साथ यह काम करता है, और अमेज़ॅन की वास्तुकला और सदस्यता द्वारा स्थापित अन्य प्रतिबंधों द्वारा।

उदाहरण: एज़्योर स्थित आईएएएस में निगरानी करना

मैं इस बारे में लंबी बहस में नहीं पड़ना चाहता कि कौन से तीन क्लाउड प्रदाता (अमेज़ॅन, माइक्रोसॉफ्ट या गूगल) बेहतर हैं (विशेषकर चूंकि उनमें से प्रत्येक की अपनी विशिष्ट विशेषताएं हैं और अपनी समस्याओं को हल करने के लिए उपयुक्त है); इन खिलाडियों की सुरक्षा निगरानी क्षमताओं पर ध्यान देना। जाहिर है, अमेज़ॅन एडब्ल्यूएस इस सेगमेंट में सबसे पहले में से एक था और इसलिए यह अपने सूचना सुरक्षा कार्यों (हालांकि कई स्वीकार करते हैं कि उनका उपयोग करना मुश्किल है) के मामले में सबसे आगे बढ़ा है। लेकिन इसका मतलब यह नहीं है कि हम उन अवसरों की अनदेखी करेंगे जो माइक्रोसॉफ्ट हमें Google के साथ प्रदान करता है।

Microsoft उत्पादों को हमेशा उनके "खुलेपन" से अलग किया गया है और Azure में स्थिति समान है। उदाहरण के लिए, यदि AWS और GCP हमेशा "सब कुछ जो अनुमति नहीं है निषिद्ध है" की अवधारणा से आते हैं, तो Azure में सटीक विपरीत दृष्टिकोण है। उदाहरण के लिए, क्लाउड में एक वर्चुअल नेटवर्क बनाना और उसमें एक वर्चुअल मशीन, सभी पोर्ट और प्रोटोकॉल डिफ़ॉल्ट रूप से खुले और सक्षम होते हैं। इसलिए, आपको Microsoft से क्लाउड में एक्सेस कंट्रोल सिस्टम के शुरुआती सेटअप पर थोड़ा और प्रयास करना होगा। और यह एज़्योर क्लाउड में निगरानी गतिविधि के मामले में आप पर और अधिक कठोर आवश्यकताओं को भी लागू करता है।



AWS में इस तथ्य से संबंधित एक ख़ासियत है कि जब आप अपने आभासी संसाधनों की निगरानी करते हैं, तो यदि वे विभिन्न क्षेत्रों में हैं, तो आपको सभी घटनाओं और उनके एकल विश्लेषण के संयोजन में कठिनाइयाँ होती हैं, जिन्हें समाप्त करने के लिए आपको विभिन्न ट्रिकों का सहारा लेने की आवश्यकता होती है, जैसे कि AWS लाम्बा के लिए कस्टम कोड बनाएं जो क्षेत्रों के बीच घटनाओं को अंजाम देगा। Azure में ऐसी कोई समस्या नहीं है - इसकी गतिविधि लॉग तंत्र प्रतिबंधों के बिना संगठन में सभी गतिविधि पर नज़र रखता है। यही बात AWS सिक्योरिटी हब पर भी लागू होती है, जिसे हाल ही में अमेज़ॅन द्वारा एक सुरक्षा केंद्र के भीतर कई सुरक्षा कार्यों को समेकित करने के लिए विकसित किया गया था, लेकिन केवल इसके क्षेत्र के भीतर, जो कि, हालांकि, रूस के लिए प्रासंगिक नहीं है। Azure का अपना सुरक्षा केंद्र है, जो क्षेत्रीय प्रतिबंधों से बाध्य नहीं है,सभी क्लाउड प्लेटफ़ॉर्म सुरक्षा सुविधाओं तक पहुँच प्रदान करना। इसके अलावा, विभिन्न स्थानीय टीमों के लिए, वह रक्षात्मक क्षमताओं का अपना सेट प्रदान कर सकता है, जिसमें उनके द्वारा प्रबंधित सुरक्षा कार्यक्रम भी शामिल हैं। AWS सिक्योरिटी हब अभी भी Azure Security Center की तरह बनने के लिए प्रयासरत है। लेकिन यह मरहम में एक मक्खी को जोड़ने के लायक है - आप अज़ुरे से पहले एडब्ल्यूएस में वर्णित बहुत सी चीज़ों को निचोड़ सकते हैं, लेकिन यह सबसे आसानी से केवल एज़्योर एडी, एज़्योर मॉनिटर और एज़्योर सुरक्षा केंद्र के लिए किया जाता है। सुरक्षा घटना विश्लेषण सहित अन्य सभी एज़्योर रक्षा तंत्र अभी तक सबसे सुविधाजनक तरीके से प्रबंधित नहीं हैं। समस्या का एक हिस्सा एपीआई द्वारा हल किया गया है, जो सभी Microsoft Azure सेवाओं को अनुमति देता है, लेकिन इसके लिए आपके SOC के साथ अपने क्लाउड को एकीकृत करने और योग्य विशेषज्ञों की उपलब्धता के लिए अतिरिक्त प्रयासों की आवश्यकता होगी (वास्तव में,किसी अन्य के साथ के रूप में। क्लाउड एपीआई के साथ काम कर रहे सीजीएम)। कुछ RGB, जिन पर बाद में चर्चा की जाएगी, पहले से ही Azure का समर्थन करते हैं और इसे मॉनिटर करने के कार्य को स्वचालित कर सकते हैं, लेकिन इसके साथ कुछ कठिनाइयाँ भी हैं - उनमें से सभी Azure के सभी लॉग नहीं ले सकते।



Azure में इवेंट संग्रह और मॉनिटरिंग Azure Monitor सेवा का उपयोग करके प्रदान की जाती है, जो Microsoft क्लाउड और उसके संसाधनों में डेटा एकत्र करने, भंडारण और विश्लेषण करने के लिए मुख्य उपकरण है - गिट रिपॉजिटरी, कंटेनर, वर्चुअल मशीन, एप्लिकेशन, आदि। एज़्योर मॉनिटर द्वारा एकत्र किए गए सभी डेटा को दो श्रेणियों में विभाजित किया गया है: एज़्योर क्लाउड के प्रमुख प्रदर्शन संकेतक का वर्णन करने वाले रीयल-टाइम मेट्रिक्स, और एज़्योर संसाधनों और सेवाओं की गतिविधियों के कुछ पहलुओं को चिह्नित करने वाले रिकॉर्ड में आयोजित पंजीकरण लॉग। इसके अलावा, डेटा कलेक्टर एपीआई का उपयोग करके, एज़्योर मॉनिटर सेवा अपने स्वयं के निगरानी परिदृश्यों के निर्माण के लिए किसी भी अन्य स्रोत से डेटा एकत्र कर सकती है।



यहाँ सुरक्षा घटनाओं के कुछ स्रोत दिए गए हैं जो Azure आपको प्रदान करता है कि आप Azure पोर्टल, CLI, PowerShell, या REST API (और कुछ केवल Azure Monitor / Insight API के माध्यम से) तक पहुँच सकते हैं:

• गतिविधि लॉग - यह पत्रिका क्लाउड संसाधनों पर किसी भी लेखन ऑपरेशन (PUT, POST, DELETE) के संबंध में "कौन", "क्या" और "कब" के क्लासिक सवालों का जवाब देती है। रीड एक्सेस (जीईटी) से संबंधित कार्यक्रम इस लॉग में नहीं आते हैं, साथ ही साथ कई अन्य भी।
• डायग्नोस्टिक लॉग - आपकी सदस्यता में शामिल किसी विशेष संसाधन के साथ संचालन पर डेटा शामिल करता है।
• Azure AD रिपोर्टिंग - इसमें समूह और उपयोगकर्ता प्रबंधन से संबंधित उपयोगकर्ता गतिविधि और सिस्टम गतिविधि दोनों शामिल हैं।
• Windows इवेंट लॉग और लिनक्स Syslog - क्लाउड में होस्ट की गई वर्चुअल मशीनों से इवेंट होते हैं।
• Metrics — “” . . 30 .
• Network Security Group Flow Logs — , Network Watcher .
• Storage Logs — , .

निगरानी के लिए, आप बाह्य सिएम या अंतर्निहित एज़्योर मॉनिटर और इसके एक्सटेंशन का उपयोग कर सकते हैं। हम आईएस इवेंट मैनेजमेंट सिस्टम के बारे में अधिक बात करेंगे, लेकिन अब हम देखेंगे कि सुरक्षा के संदर्भ में डेटा का विश्लेषण करने के लिए हमें Azure क्या प्रदान करता है। एज़्योर मॉनिटर में सुरक्षा से संबंधित हर चीज के लिए मुख्य स्क्रीन लॉग एनालिटिक्स सिक्योरिटी और ऑडिट डैशबोर्ड है (मुफ्त संस्करण केवल एक सप्ताह के लिए सीमित मात्रा में घटनाओं का भंडारण करने का समर्थन करता है)। इस पैनल को 5 मुख्य क्षेत्रों में विभाजित किया गया है जो आपके क्लाउड वातावरण में क्या हो रहा है, उस पर सारांश के आँकड़ों की कल्पना करते हैं:

• सुरक्षा डोमेन - सूचना सुरक्षा से संबंधित प्रमुख मात्रात्मक संकेतक - घटनाओं की संख्या, समझौता किए गए नोड्स, अप्रकाशित नोड्स, नेटवर्क सुरक्षा घटनाओं आदि की संख्या।
• उल्लेखनीय मुद्दे - सक्रिय आईबी समस्याओं की संख्या और महत्व प्रदर्शित करता है
• Detections — ,
• Threat Intelligence — ,
• Common security queries — , .

एज़्योर मॉनिटर एक्सटेंशन में एज़्योर की वॉल्ट (क्लाउड में क्रिप्टोग्राफ़िक कुंजियों की सुरक्षा), मालवेयर असेसमेंट (वर्चुअल मशीनों पर दुर्भावनापूर्ण कोड के खिलाफ सुरक्षा का विश्लेषण), एज़ुर एप्लिकेशन गेटवे एनालिटिक्स (अन्य चीजों के बीच, क्लाउड फ़ायरवॉल लॉग्स आदि) का विश्लेषण शामिल है। । घटना प्रसंस्करण के कुछ नियमों से समृद्ध ये उपकरण, आपको सुरक्षा सहित क्लाउड सेवाओं की गतिविधि के विभिन्न पहलुओं की कल्पना करने और काम से कुछ विचलन की पहचान करने की अनुमति देते हैं। लेकिन, जैसा कि अक्सर होता है, किसी भी अतिरिक्त कार्यक्षमता के लिए एक उपयुक्त भुगतान सदस्यता की आवश्यकता होती है, जिसके लिए आपको उपयुक्त वित्तीय निवेश की आवश्यकता होगी, जिसे आपको आगे की योजना बनाने की आवश्यकता है।



Azure में कई अंतर्निहित खतरे की निगरानी क्षमताएँ हैं जो Azure AD, Azure Monitor और Azure Security Center में एकीकृत हैं। उनमें से, उदाहरण के लिए, ज्ञात दुर्भावनापूर्ण IPs (Microsoft थ्रेट इंटेलिजेंस सेवाओं के साथ एकीकरण के कारण) के साथ आभासी मशीनों की बातचीत का पता लगाना, क्लाउड में स्थित वर्चुअल मशीनों से अलार्म प्राप्त करके क्लाउड इंफ्रास्ट्रक्चर में मैलवेयर का पता लगाना, "पासवर्ड अनुमान लगाना" जैसे हमले। "वर्चुअल मशीन के लिए, उपयोगकर्ता पहचान प्रणाली के विन्यास में कमजोरियां, एनोमिनेजर या संक्रमित नोड्स से लॉगिंग, खाता रिसाव, असामान्य स्थानों से लॉगिंग, आदि। Azure आज कुछ क्लाउड प्रदाताओं में से एक है जो आपको एकत्रित जानकारी सुरक्षा घटनाओं को समृद्ध करने के लिए अंतर्निहित थ्रेट इंटेलिजेंस क्षमता प्रदान करता है।



जैसा कि ऊपर उल्लेख किया गया है, सुरक्षात्मक कार्यक्षमता और, परिणामस्वरूप, उत्पन्न होने वाली सुरक्षा घटनाएं सभी उपयोगकर्ताओं के लिए समान रूप से सुलभ नहीं हैं, लेकिन एक विशिष्ट सदस्यता की आवश्यकता होती है जिसमें आपके लिए आवश्यक कार्यक्षमता शामिल होती है, जो सूचना सुरक्षा की निगरानी के लिए उपयुक्त घटनाओं को उत्पन्न करती है। उदाहरण के लिए, पिछले पैराग्राफ में वर्णित खातों में विसंगतियों की निगरानी के लिए कुछ कार्य केवल एज़्योर एडी के लिए पी 2 प्रीमियम लाइसेंस में उपलब्ध हैं। इसके बिना, आपको, जैसे एडब्ल्यूएस के मामले में, एकत्रित सुरक्षा घटनाओं का विश्लेषण "मैन्युअल" करना होगा। और, यह भी, एज़्योर एडी के लिए लाइसेंस के प्रकार के आधार पर, विश्लेषण के लिए सभी घटनाएं आपके लिए उपलब्ध नहीं होंगी।

Azure पोर्टल पर, आप महत्वपूर्ण जानकारी सुरक्षा संकेतकों की कल्पना करने के लिए उन खोज प्रश्नों को प्रबंधित कर सकते हैं जिनमें आप रुचि रखते हैं और डैशबोर्ड को कॉन्फ़िगर करते हैं। इसके अलावा, वहाँ आप एज़्योर मॉनिटर एक्सटेंशन चुन सकते हैं, जो आपको एज़्योर मॉनिटर लॉग की कार्यक्षमता का विस्तार करने और सुरक्षा दृष्टिकोण से घटनाओं का अधिक गहन विश्लेषण प्राप्त करने की अनुमति देता है।



यदि आपको न केवल लॉग के साथ काम करने की क्षमता की आवश्यकता है, बल्कि आईएस नीतियों को प्रबंधित करने सहित आपके एज़्योर क्लाउड प्लेटफ़ॉर्म का व्यापक सुरक्षा केंद्र है, तो आप एज़ुरे सुरक्षा केंद्र के साथ काम करने की आवश्यकता के बारे में बात कर सकते हैं, जिनमें से अधिकांश शुल्क के लिए उपयोगी हैं, उदाहरण के लिए, खतरे का पता लगाने, निगरानी एज़्योर के बाहर, अनुरूपता मूल्यांकन, आदि। (नि: शुल्क संस्करण में, आपके पास केवल एक सुरक्षा मूल्यांकन और पहचान की गई समस्याओं को हल करने के लिए सिफारिशें हैं)। यह एक ही स्थान पर सभी सुरक्षा मुद्दों को मजबूत करता है। वास्तव में, हम Azure Monitor द्वारा प्रदान की गई सूचना सुरक्षा के उच्च स्तर के बारे में बात कर सकते हैं, क्योंकि इस मामले में आपके क्लाउड फ़ैक्टरी में एकत्र किए गए डेटा को कई प्रकार के स्रोतों का उपयोग करके समृद्ध किया जाता है, जैसे Azure, Office 365, Microsoft CRM ऑनलाइन, Microsoft Dynamics AX, आउटलुक। .com, MSN.com, Microsoft डिजिटल क्राइम यूनिट (DCU) और Microsoft सुरक्षा प्रतिक्रिया केंद्र (MSRC), जो विभिन्न परिष्कृत मशीन लर्निंग और व्यवहार विश्लेषण एल्गोरिदम पर आरोपित हैं, जो अंततः खतरे का पता लगाने और प्रतिक्रिया की दक्षता में वृद्धि करना चाहिए।

Azure का अपना खुद का CRM है - यह 2019 की शुरुआत में दिखाई दिया। यह Azure Sentinel है, जो Azure Monitor के डेटा पर निर्भर करता है, और इसके साथ एकीकृत भी हो सकता है। बाहरी सुरक्षा समाधान (उदाहरण के लिए, NGFW या WAF), जिसकी सूची लगातार अपडेट की जाती है। इसके अलावा, Microsoft ग्राफ सुरक्षा एपीआई के एकीकरण के माध्यम से, आप अपने खुद के थ्रेट इंटेलिजेंस फीड्स को सेंटिनल से जोड़ सकते हैं, जो आपके एज़्योर क्लाउड में घटनाओं का विश्लेषण करने की क्षमता को समृद्ध करता है। यह तर्क दिया जा सकता है कि एज़्योर सेंटिनल पहले "देशी" कोलम्बिया है जो क्लाउड प्रदाताओं में दिखाई देता है (वही स्प्लंक या ईएलके, जिसे क्लाउड में रखा जा सकता है, उदाहरण के लिए, एडब्ल्यूएस, अभी भी पारंपरिक क्लाउड सेवा प्रदाताओं द्वारा विकसित नहीं हैं)। Azure प्रहरी और सुरक्षा केंद्र को Azure क्लाउड के लिए SOC कहा जा सकता है और उन्हें सीमित किया जा सकता है (कुछ आरक्षणों के साथ) यदि आपके पास अब कोई बुनियादी ढांचा नहीं था और आपने अपने सभी कंप्यूटिंग संसाधनों को क्लाउड पर स्थानांतरित कर दिया और यह एक Microsoft क्लाउड होगा Azure।



लेकिन चूंकि Azure की अंतर्निहित क्षमताएं (यहां तक ​​कि एक प्रहरी सदस्यता के साथ) अक्सर आईएस की निगरानी और सुरक्षा घटनाओं के अन्य स्रोतों (बादल और आंतरिक दोनों) के साथ इस प्रक्रिया के एकीकरण के लिए पर्याप्त नहीं हैं, बाहरी सिस्टम के लिए एकत्र किए गए डेटा को निर्यात करने की आवश्यकता है, जिसमें सिएम शामिल हो सकते हैं। यह एपीआई की सहायता से, और विशेष एक्सटेंशन की मदद से किया जाता है, जो इस समय केवल आधिकारिक तौर पर निम्नलिखित सेग्मेंट्स के लिए उपलब्ध हैं - स्प्लंक (Azure Monitor Add-On Splunk), IBM QRadar (Microsoft Azure DSM), SumoLogic, ArcSight और ELK। हाल ही में, ऐसे और भी कई सेग्मेंट थे, लेकिन 1 जून, 2019 से, Microsoft ने Azure Log इंटीग्रेशन टूल (AzLog) का समर्थन करना बंद कर दिया, जो Azure के भोर में और लॉग्स के साथ काम करने के सामान्य मानकीकरण के अभाव में (Azad Monitor की मौजूदगी भी नहीं थी)। माइक्रोसॉफ्ट क्लाउड के साथ बाहरी सीमेंस को एकीकृत करें। अब स्थिति बदल गई है और Microsoft ऐज़्योर इवेंट हब प्लेटफ़ॉर्म को शेष के लिए मुख्य एकीकरण उपकरण के रूप में सुझाता है। कई ने पहले से ही इस एकीकरण को लागू किया है, लेकिन सावधान रहें - वे सभी एज़्योर लॉग को कैप्चर नहीं कर सकते हैं, लेकिन केवल कुछ (अपने डिएगो के लिए प्रलेखन देखें)।

Azure के लिए एक संक्षिप्त भ्रमण को छोड़कर, मैं इस क्लाउड सेवा पर एक सामान्य अनुशंसा देना चाहता हूं - इससे पहले कि आप Azure में सुरक्षा निगरानी कार्यों के बारे में कुछ भी कहें, आपको उन्हें बहुत सावधानी से कॉन्फ़िगर करना चाहिए और परीक्षण करना चाहिए कि वे दस्तावेज़ में लिखे अनुसार काम करते हैं और जैसा कि सलाहकारों ने आपको बताया है। Microsoft (और Azure सुविधाओं के प्रदर्शन पर उनके अलग-अलग विचार हो सकते हैं)। यदि आपके पास Azure से वित्तीय क्षमताएं हैं, तो आप सूचना सुरक्षा निगरानी के बारे में बहुत सारी उपयोगी जानकारी निकाल सकते हैं। यदि आपके संसाधन सीमित हैं, जैसे कि एडब्ल्यूएस के मामले में, आपको केवल अपने स्वयं के संसाधनों और कच्चे डेटा पर निर्भर रहना होगा जो एज़्योर मॉनिटर आपको प्रदान करता है। और याद रखें कि कई निगरानी कार्यों में पैसा खर्च होता है और अग्रिम में मूल्य निर्धारण के साथ खुद को परिचित करना बेहतर होता है। उदाहरण के लिए, आप 31 दिनों के लिए डेटा को 5 जीबी प्रति ग्राहक से अधिक के लिए मुफ्त में स्टोर कर सकते हैं - इन मूल्यों को पार करने से आपको अतिरिक्त रूप से कांटा निकालना होगा (ग्राहक से प्रत्येक अतिरिक्त जीबी को संग्रहीत करने के लिए लगभग $ 1 और प्रत्येक अतिरिक्त महीने के लिए $ 0.1 प्रति माह। )। एप्लिकेशन टेलीमेट्री और मेट्रिक्स के साथ काम करने के लिए अतिरिक्त वित्तीय संसाधनों की आवश्यकता हो सकती है, साथ ही अलर्ट और नोटिफिकेशन के साथ काम करना (एक निश्चित सीमा मुफ्त में उपलब्ध है, जो आपकी आवश्यकताओं के लिए पर्याप्त नहीं हो सकता है)।

उदाहरण: Google क्लाउड प्लेटफॉर्म पर आधारित IaaS में IS की निगरानी

AWS और Azure की पृष्ठभूमि के खिलाफ Google क्लाउड प्लेटफ़ॉर्म काफी युवा दिखता है, लेकिन यह आंशिक रूप से अच्छा है। AWS के विपरीत, जो अपनी क्षमताओं का निर्माण कर रहा था, जिसमें रक्षात्मक लोगों को शामिल किया गया था, धीरे-धीरे, केंद्रीकरण के साथ समस्या; जीसीपी, एज़्योर की तरह, केंद्र द्वारा प्रबंधित बेहतर है, जो उद्यम में त्रुटियों और कार्यान्वयन के समय को कम करता है। सुरक्षा के दृष्टिकोण से, GCP विषम रूप से पर्याप्त है, जो AWS और Azure के बीच स्थित है। उसके पास पूरे संगठन के लिए एक ही घटना पंजीकरण है, लेकिन यह अधूरा है। कुछ कार्य अभी भी बीटा मोड में हैं, लेकिन धीरे-धीरे इस कमी को समाप्त किया जाना चाहिए और सूचना सुरक्षा निगरानी के संदर्भ में GCP एक अधिक परिपक्व मंच बन जाएगा।



जीसीपी में घटनाओं की रिकॉर्डिंग के लिए मुख्य उपकरण स्टैकड्राइवर लॉगिंग (एज़्योर मॉनिटर का एक एनालॉग) है, जो आपको अपने पूरे क्लाउड इन्फ्रास्ट्रक्चर (साथ ही साथ एडब्ल्यूएस) में घटनाओं को इकट्ठा करने की अनुमति देता है। GCP में सुरक्षा के दृष्टिकोण से, प्रत्येक संगठन, परियोजना या फ़ोल्डर में चार लॉग होते हैं:

• व्यवस्थापन गतिविधि - इसमें प्रशासनिक पहुँच से संबंधित सभी घटनाएँ शामिल हैं, उदाहरण के लिए, एक आभासी मशीन का निर्माण, पहुँच अधिकार में परिवर्तन आदि। यह पत्रिका हमेशा आपकी इच्छा की परवाह किए बिना लिखी जाती है, और 400 दिनों के लिए इसका डेटा संग्रहीत करती है।
• डेटा एक्सेस - इसमें क्लाउड उपयोगकर्ताओं के डेटा के साथ काम करने से संबंधित सभी घटनाएं होती हैं (बनाएं, संशोधित करें, पढ़ें, आदि)। डिफ़ॉल्ट रूप से, यह पत्रिका नहीं लिखी जाती है, क्योंकि इसकी मात्रा बहुत जल्दी सूज जाती है। इस कारण से, इसका शेल्फ जीवन केवल 30 दिनों का है। इसके अलावा, इस पत्रिका में सब कुछ बहुत दूर लिखा है। उदाहरण के लिए, संसाधनों से संबंधित घटनाएं जो सार्वजनिक रूप से सभी उपयोगकर्ताओं के लिए उपलब्ध हैं या जो जीसीपी तक पहुंच के बिना सुलभ हैं, उन पर नहीं लिखा गया है।
• सिस्टम ईवेंट - में सिस्टम ईवेंट होते हैं, जो उपयोगकर्ताओं से संबंधित नहीं होते हैं, या क्लाउड संसाधनों के कॉन्फ़िगरेशन को बदलने वाले व्यवस्थापक के कार्य होते हैं। यह हमेशा 400 दिनों के लिए लिखा और संग्रहीत किया जाता है।
• एक्सेस ट्रांसपेरेंसी एक लॉगबुक का एक अनूठा उदाहरण है जो Google कर्मचारियों (लेकिन अभी तक सभी जीसीपी सेवाओं के लिए नहीं) के सभी कार्यों को रिकॉर्ड करता है जो आपकी नौकरी की जिम्मेदारियों के हिस्से के रूप में आपके बुनियादी ढांचे तक पहुंच प्राप्त करते हैं। यह पत्रिका 400 दिनों के लिए संग्रहीत है और प्रत्येक GCP क्लाइंट के लिए उपलब्ध नहीं है, लेकिन केवल कई स्थितियों के अधीन है (या तो गोल्ड या प्लेटिनम समर्थन, या कॉर्पोरेट समर्थन के भाग के रूप में एक निश्चित प्रकार की 4 भूमिकाओं की उपस्थिति)। एक समान सुविधा भी उपलब्ध है, उदाहरण के लिए, Office 365 में - लॉकबॉक्स।

प्रवेश उदाहरण: पहुँच पारदर्शिता

{  insertId:  "abcdefg12345"  jsonPayload: {  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"  location: {   principalOfficeCountry:  "US"   principalEmployingEntity:  "Google LLC"   principalPhysicalLocationCountry:  "CA"  }  product: [   0:  "Cloud Storage"  ]  reason: [   detail:  "Case number: bar123"   type:  "CUSTOMER_INITIATED_SUPPORT"  ]  accesses: [   0: {   methodName: "GoogleInternal.Read"   resourceName: "//googleapis.com/storage/buckets/[BUCKET_NAME]/objects/foo123"   }  ]  }  logName:  "projects/[PROJECT_NAME]/logs/cloudaudit.googleapis.com%2Faccess_transparency"  operation: {  id:  "12345xyz"  }  receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"  resource: {  labels: {   project_id:  "1234567890"  }  type:  "project"  }  severity:  "NOTICE"  timestamp:  "2017-12-18T16:06:24.660001Z" } 

इन लॉग्स तक पहुंच कई मायनों में संभव है (लगभग पहले जैसा अज़ुरे और एडब्ल्यूएस द्वारा माना जाता है) - लॉग व्यूअर इंटरफ़ेस के माध्यम से, एपीआई के माध्यम से, Google क्लाउड एसडीके के माध्यम से या अपनी परियोजना के गतिविधि पृष्ठ के माध्यम से, जिसमें आप घटनाओं में रुचि रखते हैं। उसी तरह, अतिरिक्त विश्लेषण के लिए उन्हें बाहरी समाधानों में भी निर्यात किया जा सकता है। उत्तरार्द्ध BigQuery या क्लाउड पब / उप भंडारण में लॉग निर्यात करके किया जाता है।

स्टैकड्राइवर लॉगिंग के अलावा, जीसीपी प्लेटफॉर्म स्टैकड्राइवर मॉनिटरिंग कार्यक्षमता भी प्रदान करता है, जो आपको क्लाउड सेवाओं और अनुप्रयोगों के प्रमुख मैट्रिक्स (प्रदर्शन, एमटीबीएफ, सामान्य स्थिति, आदि) को ट्रैक करने की अनुमति देता है। संसाधित और विज़ुअलाइज़ किए गए डेटा आपके क्लाउड इंफ्रास्ट्रक्चर की समस्याओं को खोजने में आसान बना सकते हैं, जिसमें सुरक्षा संदर्भ भी शामिल है। लेकिन यह ध्यान दिया जाना चाहिए कि यह कार्यक्षमता सूचना सुरक्षा के संदर्भ में बहुत समृद्ध नहीं होगी, क्योंकि आज जीसीपी के पास उसी एडब्ल्यूएस गार्डडूट का कोई एनालॉग नहीं है और सभी रिकॉर्ड की गई घटनाओं (Google द्वारा विकसित इवेंट थ्रेट डिटेक्शन) से बुरे लोगों को अलग नहीं किया जा सकता है, लेकिन अभी तक यह है बीटा में और इसकी उपयोगिता के बारे में जल्दी बात करें)। स्टैकड्राइवर मॉनिटरिंग का उपयोग विसंगतियों का पता लगाने के लिए एक प्रणाली के रूप में किया जा सकता है, जो तब उनकी घटना के कारणों का पता लगाने के लिए जांच की जाएगी। लेकिन बाजार में सूचना सुरक्षा जीसीपी के क्षेत्र में योग्य कर्मियों की कमी की स्थितियों में, यह कार्य फिलहाल मुश्किल लग रहा है।



यह कुछ सूचना सुरक्षा मॉड्यूलों को सूचीबद्ध करने के लिए भी सार्थक है, जो आपके GCP क्लाउड के भीतर उपयोग किए जा सकते हैं, और जो कि WWS के समान हैं:

• क्लाउड सिक्योरिटी कमांड सेंटर AWS सिक्योरिटी हब और एज़्योर सिक्योरिटी सेंटर का एक एनालॉग है।
• क्लाउड डीएलपी - 90 से अधिक पूर्वनिर्धारित वर्गीकरण नीतियों के अनुसार, क्लाउड में स्थित डेटा का स्वचालित पता लगाना और संपादन (उदाहरण के लिए, मास्किंग)।
• क्लाउड स्कैनर ऐप इंजन, कंप्यूट इंजन और Google कुबेरनेट्स में ज्ञात कमजोरियों (एक्सएसएस, फ्लैश इंजेक्शन, अप्रकाशित लाइब्रेरी आदि) का एक स्कैनर है।
• क्लाउड IAM - सभी GCP संसाधनों तक अभिगम नियंत्रण।
• क्लाउड आइडेंटिटी - एक कंसोल से GCP उपयोगकर्ता खाते, डिवाइस और एप्लिकेशन प्रबंधित करें।
• क्लाउड एचएसएम - क्रिप्टोग्राफिक कुंजी सुरक्षा।
• क्लाउड कुंजी प्रबंधन सेवा - जीसीपी में क्रिप्टोग्राफिक कुंजी प्रबंधन।
• VPC सेवा नियंत्रण - लीक से बचाने के लिए अपने GCP संसाधनों के आसपास एक सुरक्षित परिधि बनाएँ।
• टाइटन सिक्योरिटी की - फ़िशिंग से सुरक्षा।

इन मॉड्यूलों में से कई सुरक्षा घटनाओं को उत्पन्न करते हैं जिन्हें बिगब्लूआईएम को विश्लेषण के लिए भेजा जा सकता है या अन्य प्रणालियों के लिए निर्यात किया जा सकता है, जिसमें शामिल हैं। जैसा कि पहले ही ऊपर उल्लेख किया गया है, जीसीपी एक सक्रिय रूप से विकसित मंच है और अब Google अपने मंच के लिए कई नए सूचना सुरक्षा मॉड्यूल विकसित कर रहा है। इनमें ईवेंट थ्रेट डिटेक्शन (अब बीटा में उपलब्ध है), जो अनधिकृत गतिविधि (एडब्ल्यूएस में गार्डडूट के समान), या पॉलिसी इंटेलिजेंस (अल्फा में उपलब्ध) के निशान के लिए स्टैकड्राइवर लॉग को स्कैन करता है, जो जीसीपी संसाधनों के लिए बुद्धिमान पहुंच नीतियों की अनुमति देगा।

मैंने लोकप्रिय क्लाउड प्लेटफार्मों में अंतर्निहित निगरानी क्षमताओं की एक छोटी समीक्षा की। लेकिन क्या आपके पास विशेषज्ञ हैं जो IaaS प्रदाता के कच्चे लॉग के साथ काम करने में सक्षम हैं (हर कोई AWS या Azure या Google की उन्नत सुविधाएँ खरीदने के लिए तैयार नहीं है)? इसके अलावा, बहुत से लोग नीतिवचन "विश्वास, लेकिन सत्यापित करें" को जानते हैं, जो सुरक्षा के क्षेत्र में हमेशा की तरह सच है। आप उन क्लाउड प्रदाता की अंतर्निहित क्षमताओं पर कितना भरोसा करते हैं जो आपको आईबी इवेंट भेजते हैं? वे सूचना सुरक्षा पर कितना ध्यान केंद्रित करते हैं?

कभी-कभी यह क्लाउड इन्फ्रास्ट्रक्चर की निगरानी के लिए ओवरले समाधान की ओर देखने लायक होता है जो अंतर्निहित क्लाउड सुरक्षा को पूरक कर सकता है, और कभी-कभी ऐसे समाधान आपके डेटा की सुरक्षा और क्लाउड में स्थित अनुप्रयोगों पर डेटा प्राप्त करने का एकमात्र तरीका होता है। इसके अलावा, वे बस अधिक सुविधाजनक हैं, क्योंकि वे विभिन्न क्लाउड प्रदाताओं की विभिन्न क्लाउड सेवाओं द्वारा उत्पन्न आवश्यक लॉग का विश्लेषण करने के सभी कार्यों को खुद पर लेते हैं। इस तरह के लगाए गए समाधान का एक उदाहरण सिस्को स्टेलवॉच क्लाउड है, जो एकमात्र कार्य पर ध्यान केंद्रित करता है - क्लाउड वातावरण में आईएस विसंगतियों की निगरानी करना, जिसमें न केवल अमेज़ॅन एडब्ल्यूएस, माइक्रोसॉफ्ट एज़्योर और Google क्लाउड प्लेटफ़ॉर्म, बल्कि निजी बादल भी शामिल हैं।

उदाहरण: चुपके से बादल के साथ निगरानी सुरक्षा

AWS एक लचीला कंप्यूटिंग प्लेटफ़ॉर्म प्रदान करता है, लेकिन यह लचीलापन कंपनियों के लिए गलतियों को आसान बनाता है जो सुरक्षा के मुद्दों को जन्म देती हैं। और साझा आईएस मॉडल केवल इसके लिए योगदान देता है। अज्ञात भेद्यताओं के साथ क्लाउड में सॉफ़्टवेयर चलाना (उदाहरण के लिए, AWS इंस्पेक्टर या GCP क्लाउड स्कैनर ज्ञात कमजोरियों से लड़ सकता है), कमजोर पासवर्ड, गलत कॉन्फ़िगरेशन, अंदरूनी सूत्र, आदि। और यह सब क्लाउड संसाधनों के व्यवहार को प्रभावित करता है, जिसे सिस्को स्टेलवॉच क्लाउड द्वारा देखा जा सकता है, जो सूचना सुरक्षा और हमले का पता लगाने के लिए एक प्रणाली है। सार्वजनिक और निजी बादल।



सिस्को स्टील्थ क्लाउड की प्रमुख विशेषताओं में से एक मॉडल संस्थाओं की क्षमता है। इसकी मदद से, आप अपने प्रत्येक क्लाउड संसाधनों का एक प्रोग्राम मॉडल (जो कि लगभग वास्तविक समय का अनुकरण है) बना सकते हैं (यह कोई फर्क नहीं पड़ता कि यह एडब्ल्यूएस, एज़्योर, जीसीपी या कुछ और है)। इनमें सर्वर और उपयोगकर्ता शामिल हो सकते हैं, साथ ही आपके क्लाउड वातावरण के लिए विशिष्ट संसाधन प्रकार, जैसे सुरक्षा समूह और ऑटो-स्केल समूह। ये मॉडल इनपुट के रूप में क्लाउड सेवाओं द्वारा प्रदान की गई संरचित डेटा धाराओं का उपयोग करते हैं। उदाहरण के लिए, AWS के लिए, ये VPC फ्लो लॉग, AWS CloudTrail, AWS CloudWatch, AWS कॉन्फ़िग, AWS इंस्पेक्टर, AWS लैम्ब्डा और AWS IAM होंगे। इकाई मॉडलिंग स्वचालित रूप से आपके किसी भी संसाधन की भूमिका और व्यवहार का पता लगाता है (आप सभी क्लाउड गतिविधि की रूपरेखा के बारे में बात कर सकते हैं)। इन भूमिकाओं में एक Android या Apple मोबाइल डिवाइस, Citrix PVS सर्वर, RDP सर्वर, मेल गेटवे, वीओआईपी क्लाइंट, टर्मिनल सर्वर, डोमेन नियंत्रक, आदि हैं। वह तब यह निर्धारित करने के लिए अपने व्यवहार की निगरानी करता है कि जोखिम भरा या सुरक्षा-धमकी वाला व्यवहार कब होता है। आप पासवर्ड अनुमान, DDoS हमले, डेटा लीक, अवैध रिमोट एक्सेस, दुर्भावनापूर्ण कोड, भेद्यता स्कैनिंग और अन्य खतरों की पहचान कर सकते हैं। उदाहरण के लिए, एसएसएच के माध्यम से कुबेरनेट्स क्लस्टर के लिए अपने संगठन (दक्षिण कोरिया) के एटिपिकल से किसी देश के रिमोट एक्सेस प्रयास का पता लगाने के लिए यहां क्या दिखता है:



और यह एक ऐसे देश में पोस्टग्रेजुएट डेटाबेस से सूचना का कथित रूप से लीक होना है जिसे पहले जैसा नहीं देखा गया है:



अंत में, यह एक बाहरी रिमोट डिवाइस से चीन और इंडोनेशिया से कई असफल एसएसएच पहुंच प्रयासों की तरह है:



या, मान लें कि एक VPC में सर्वर उदाहरण, नीति के अनुसार, दूरस्थ लॉगिन के लिए कभी भी गंतव्य नहीं होना चाहिए। इसके अलावा, मान लें कि फ़ायरवॉल नियम नीति में गलत परिवर्तन के कारण इस कंप्यूटर पर रिमोट लॉगिन हुआ है। इकाई मॉडलिंग सुविधा वास्तविक समय के पास इस गतिविधि ("असामान्य रिमोट एक्सेस") का पता लगाएगी और रिपोर्ट करेगी और एक विशिष्ट AWS CloudTrail, Azure Monitor या GCP Stackdriver Logging API कॉल (अन्य विवरणों के साथ उपयोगकर्ता नाम, दिनांक और समय सहित) को इंगित करेगी, जिसके कारण ITU नियम में बदलाव हुआ। और फिर यह जानकारी विश्लेषण के लिए सिएम को दी जा सकती है।



सिस्को स्टिलवॉच क्लाउड द्वारा समर्थित किसी भी क्लाउड वातावरण के लिए समान सुविधाएँ उपलब्ध हैं:



एंटिटी मॉडलिंग सुरक्षा स्वचालन का एक अनूठा रूप है जो आपके लोगों, प्रक्रियाओं या प्रौद्योगिकियों के साथ पहले से अज्ञात समस्या का पता लगा सकता है। उदाहरण के लिए, यह आपको अन्य बातों के साथ, ऐसी सुरक्षा समस्याओं का पता लगाने की अनुमति देता है:

• क्या किसी ने हमारे द्वारा उपयोग किए गए सॉफ़्टवेयर में पिछले दरवाजे को खोजा?
• क्या हमारे क्लाउड में कोई थर्ड-पार्टी सॉफ्टवेयर या डिवाइस है?
• क्या एक अधिकृत उपयोगकर्ता विशेषाधिकार का दुरुपयोग करता है?
• क्या कोई कॉन्फ़िगरेशन त्रुटि थी जिसने संसाधनों के दूरस्थ उपयोग या अन्य अनजाने उपयोग की अनुमति दी थी?
• क्या हमारे सर्वर से कोई डेटा लीक हुआ है?
• क्या किसी ने हमें एक भौगोलिक भौगोलिक स्थान से जोड़ने की कोशिश की?
• क्या हमारा क्लाउड दुर्भावनापूर्ण कोड से संक्रमित है?

पता चला आईबी घटना को स्लैक, सिस्को स्पार्क, पेजेरडुट घटना प्रबंधन प्रणाली के लिए एक उपयुक्त टिकट के रूप में प्रेषित किया जा सकता है, और स्प्लंक या ईएलके सहित विभिन्न सेगमेंट में भी भेजा जा सकता है। संक्षेप में, हम कह सकते हैं कि यदि आपकी कंपनी एक मल्टी-क्लाउड रणनीति का उपयोग करती है और एक क्लाउड प्रदाता तक सीमित नहीं है, तो ऊपर वर्णित सूचना सुरक्षा निगरानी क्षमताओं, तो सिस्को Stealthwatch क्लाउड का उपयोग करना एक अच्छा विकल्प है, जो प्रमुख क्लाउड खिलाड़ियों के लिए निगरानी क्षमताओं का एकीकृत सेट प्राप्त कर सकता है - अमेज़न , माइक्रोसॉफ्ट और गूगल। सबसे दिलचस्प बात यह है कि यदि आप एडब्ल्यूएस, एज़्योर या जीसीपी में उन्नत सुरक्षा निगरानी लाइसेंस के साथ स्टील्थवॉच क्लाउड की कीमतों की तुलना करते हैं, तो यह पता चल सकता है कि सिस्को समाधान अमेज़ॅन, माइक्रोसॉफ्ट और Google समाधानों की अंतर्निहित क्षमताओं से भी सस्ता होगा। विरोधाभासी रूप से, यह है। और जितने अधिक बादल और उनकी क्षमताएं आप उपयोग करेंगे, उतना ही स्पष्ट समाधान का लाभ होगा।



इसके अलावा, स्टील्थवॉच क्लाउड आपके संगठन में तैनात निजी बादलों की भी निगरानी कर सकता है, उदाहरण के लिए, कुबेरनेट कंटेनर पर आधारित या नेटवर्क उपकरण (यहां तक ​​कि घरेलू उत्पादन) में मिररिंग के माध्यम से प्राप्त नेटफ्लो धाराओं या नेटवर्क ट्रैफ़िक की निगरानी करके, एडी डेटा या डीएनएस सर्वर आदि यह सभी डेटा आईएस के खतरे शोधकर्ताओं के दुनिया के सबसे बड़े गैर-सरकारी समूह सिस्को तलोस द्वारा एकत्र की गई थ्रेट इंटेलिजेंस जानकारी से समृद्ध होंगे।



यह आपको सार्वजनिक और संकर दोनों बादलों के लिए एकीकृत निगरानी प्रणाली को लागू करने की अनुमति देता है जो आपकी कंपनी उपयोग कर सकती है। तब एकत्र की गई जानकारी का विश्लेषण स्टील्थवॉच क्लाउड की अंतर्निहित सुविधाओं का उपयोग करके किया जा सकता है या आपके सीएमजी को भेजा जा सकता है (डिफ़ॉल्ट रूप से, स्प्लंक, ईएलके, सूमोलीक और कई अन्य समर्थित हैं)।

यह लेख के पहले भाग का समापन करता है जिसमें मैंने IaaS / Paa प्लेटफार्मों की निगरानी के लिए अंतर्निहित और बाहरी उपकरणों की जांच की, जो हमारे उद्यम द्वारा चुने गए क्लाउड वातावरण में घटनाओं का शीघ्र पता लगाने और प्रतिक्रिया देने की अनुमति देते हैं। दूसरे भाग में, हम विषय को जारी रखेंगे और सेल्सफोर्स और ड्रॉपबॉक्स का उपयोग करके सास प्लेटफार्मों के लिए निगरानी विकल्पों पर एक उदाहरण के रूप में विचार करेंगे, और अलग-अलग क्लाउड प्रदाताओं के लिए एकीकृत सूचना सुरक्षा निगरानी प्रणाली का निर्माण करने और सब कुछ एक साथ रखने की कोशिश भी करेंगे।