👨‍👨‍👧‍👦 🛑 🧔🏻 क्लाउड सुरक्षा निगरानी। भाग २ 😉 ⬛️ 🥌

इसलिए, मैं क्लाउड प्रदाताओं की सुरक्षा की निगरानी पर लेख जारी रखूंगा। पहले भाग में, मैंने बाहरी क्लाउड सेवाओं के साथ काम करने में सिस्को के अनुभव के बारे में बात की, साथ ही साथ सिस्को की टिप्पणियों का भी उल्लेख किया जो हमने अपने ग्राहकों के एसओसी का निर्माण या ऑडिट करते समय सामना किया था। पहले भाग में लेते हुए, उदाहरण के रूप में, अमेज़ॅन, माइक्रोसॉफ्ट और गूगल के तीन सबसे लोकप्रिय समाधान, जो आईएएएस / पाएएस प्लेटफॉर्म हैं, आज सास प्लेटफार्मों की निगरानी के बारे में बात करने का समय है - ड्रॉपबॉक्स, सेल्सफोर्स डॉट कॉम, स्लैक और ऐप्पल मैनेजर मैनेजर, और इसके बारे में भी कि आज क्लाउड प्लेटफ़ॉर्म की निगरानी के लिए कौन से सेगमेंट सबसे अच्छे हैं।

उदाहरण: ड्रॉपबॉक्स आधारित सास में आईएस की निगरानी

यदि AWS, Azure या GCP के आधार पर आप अपने कॉर्पोरेट इन्फ्रास्ट्रक्चर का लगभग पूरा एनालॉग बना सकते हैं, केवल क्लाउड में, यानी क्लाउड सेवाएं जो एक विशिष्ट कार्य करती हैं, उदाहरण के लिए, फ़ाइल संग्रहण, जैसे ड्रॉपबॉक्स करता है। यह सेवा लंबे समय से सामान्य उपयोगकर्ता भंडारण से परे चली गई है, अपने कॉर्पोरेट उपयोगकर्ताओं को सुरक्षा तंत्र के पूरे सेट के साथ प्रदान करती है:

उपयोगकर्ता की पहचान और प्रमाणीकरण
फ़ाइल अभिगम नियंत्रण
दूरस्थ डेटा विलोपन
विश्वसनीय उपकरण प्रबंधन
बाहरी सूचना सुरक्षा समाधान (DLP, SSO, DRM, eDiscovery, Siem, आदि) के साथ एकीकरण।
सुरक्षा घटना लॉगिंग।

ड्रॉपबॉक्स व्यवसाय (जो मूल या प्रो संस्करण में संभव नहीं है) लॉग निम्न प्रकार की सुरक्षा घटनाओं को रिकॉर्ड करते हैं:

पासवर्ड सुरक्षा सेटिंग्स
फ़ाइल संग्रहण में प्रवेश करने के सफल और असफल प्रयास
विशेषाधिकार प्राप्त पहुँच और व्यवस्थापक क्रियाओं पर नियंत्रण
फ़ाइल क्रियाएँ (जोड़ें, संपादित करें, हटाएं, स्थानांतरित करें, लोड करें, आदि)
तृतीय-पक्ष अनुप्रयोगों के फ़ाइल संग्रहण के लिए कनेक्शन
ड्रॉपबॉक्स तक पहुँचने वाले उपकरण
समूहों तक पहुंचने के लिए सदस्यों को जोड़ें / निकालें
बाहरी रूप से सुलभ फ़ोल्डर / फ़ाइलें बनाना

आप ड्रॉपबॉक्स में सुरक्षा घटनाओं का विश्लेषण या तो ड्रॉपबॉक्स बिजनेस एडमिनिस्ट्रेटिव कंसोल के माध्यम से कर सकते हैं (लेकिन इसमें बड़े खुलासे की उम्मीद न करें), या ड्रॉपबॉक्स बिजनेस एपीआई के साथ संचालित होने वाले बाहरी निगरानी समाधान का उपयोग करें। लॉग्स तक पहुंच किसी भी ड्रॉपबॉक्स व्यवसाय शुल्क में उपलब्ध नहीं है, लेकिन केवल एक उन्नत लाइसेंस से शुरू होता है (Office365 को याद रखें, जो एक बुनियादी व्यापार लाइसेंस के साथ लॉग तक पहुंच शुरू नहीं करता है)। AWS की तरह, यह पूछने के लायक है कि क्या आपका सहकर्मी ड्रॉपबॉक्स का समर्थन करता है? उदाहरण के लिए, स्प्लंक में ड्रॉपबॉक्स के साथ काम करने के लिए एक अलग मॉड्यूल है, जो आरईएसटी एपीआई के लिए धन्यवाद, आपको निम्नलिखित सुरक्षा मानकों की निगरानी करने की अनुमति देता है:

लॉग इन कर रहा है
उपयोगकर्ता अनुरोधों को जोड़ने / हटाने पर गतिविधि
ड्रॉपबॉक्स से जुड़ने वाले उपकरणों की गतिविधि
कंपनी के भीतर और बाहर फ़ाइल साझा गतिविधि
अनुप्रयोग गतिविधि
आदि

अन्य CRMs में ड्रॉपबॉक्स अंतर्निहित समर्थन नहीं है - आपको अपना स्वयं का कनेक्टर लिखना होगा।

उदाहरण, स्लैक एंड सेल्सफोर्स डॉट कॉम पर आधारित सास में आईएस की निगरानी

हम समझते हैं कि आज बड़ी संख्या में क्लाउड प्लेटफॉर्म हैं जिनका उपयोग व्यवसायों द्वारा उनकी समस्याओं को हल करने के लिए किया जा सकता है और जिन्हें हम उनकी सुरक्षा के दृष्टिकोण से मॉनिटर करना चाहते हैं। हमने इनमें से प्रत्येक प्लेटफ़ॉर्म में गोता नहीं लगाया (और मैंने ऐसा कोई कार्य निर्धारित नहीं किया है, बस क्लाउड प्लेटफ़ॉर्म आईबी के निगरानी कार्यों की बारीकियों पर ध्यान देना चाहता हूं), लेकिन हम दो सामान्य व्यापार समाधानों - स्लैक और सेल्सफोर्स डॉट कॉम के साथ विशिष्ट प्लेटफार्मों के विचार को पूरा करने का प्रयास करेंगे। ।

स्लैक 50+ सुरक्षा उपकरणों (सामग्री सुरक्षा से लेकर प्रमाणपत्र निगरानी और अभिगम नियंत्रण तक गोपनीयता सुनिश्चित करने) तक एकीकृत करता है, लेकिन सुरक्षा घटनाओं की एक विस्तृत श्रृंखला की निगरानी के दृष्टिकोण से, स्लैक के पास कुछ तैयार एकीकरण हैं - साइट पर यह सूची हमारे अल्पज्ञात सिमेंटेक क्लाउडस्क, सिस्को तक सीमित है। CloudLock (उस पर और नीचे) और क्रॉनिकल। शायद यही सब है। लेकिन आईएसओ 27001, एसओसी 2/3, फेड-रैमपी और कई अन्य लोगों के प्रमाणीकरण के बाद, स्लैक मदद नहीं कर सका, लेकिन इसके बुनियादी ढांचे की निगरानी के लिए उन्नत कार्यक्षमता को लागू कर सकता है, जिनमें से कुछ ग्राहकों के लिए उपलब्ध हैं। विशेष रूप से, ऑडिट लॉग्स एपीआई (केवल स्लैक एंटरप्राइज ग्रिड उपयोगकर्ताओं के लिए उपलब्ध है और नि: शुल्क, मानक, प्लस योजनाओं में उपलब्ध नहीं है) का उपयोग करके, आप अपने स्लैक बुनियादी ढांचे से डेटा की एक विस्तृत श्रृंखला को "खींच" सकते हैं और इसे उपयोगकर्ता गतिविधि से संबंधित अपने सिएम में लोड कर सकते हैं, लेकिन नहीं सामग्री की निगरानी के साथ (इन कार्यों के लिए विशेष DLP या eDiscovery समाधान का उपयोग करना आवश्यक है)। उसी समय, स्लैक में AWS गार्डडुट के समान एक तंत्र नहीं है - यह घटनाओं को "जैसा है" भेजता है और आपको यह नहीं बताता है कि वे अच्छे हैं या बुरे हैं, आप केवल अपने स्वयं के सहसंबंध नियमों को अपने कोलम्बिया में लिखकर या बाहरी समाधानों का उपयोग करके स्वयं निर्धारित कर सकते हैं स्लैक में अनधिकृत गतिविधि के पूर्वनिर्धारित पैटर्न का एक सेट (उदाहरण के लिए, सिस्को क्लाउडलॉक में)।

स्लैक लॉगबुक में प्रत्येक घटना में 4 प्रमुख तत्व होते हैं - एक क्रिया, वह उपयोगकर्ता जिसने इसे (अभिनेता) उत्पन्न किया, वह ईवेंट (कार्यक्षेत्र, एप्लिकेशन, उपयोगकर्ता, चैनल, फ़ाइल) और स्थान (संदर्भ) से जुड़ी इकाई जिसके भीतर यह क्रिया हुई (एक अलग कार्यक्षेत्र या संपूर्ण संगठन)। कुल मिलाकर, स्लैक ने लगभग 70 अलग-अलग कार्यों को पकड़ लिया। उदाहरण के लिए, यह है कि स्लैक में एक उपयोगकर्ता पंजीकरण कार्यक्रम कैसा दिखता है:

{ "entries":[ { "id":"0123a45b-6c7d-8900-e12f-3456789gh0i1", "date_create":1521214343, "action":"user_login", "actor":{ "type":"user", "user":{ "id":"W123AB456", "name":"Charlie Parker", "email":"bird@slack.com" } }, "entity":{ "type":"user", "user":{ "id":"W123AB456", "name":"Charlie Parker", "email":"bird@slack.com" } }, "context":{ "location":{ "type":"enterprise", "id":"E1701NCCA", "name":"Birdland", "domain":"birdland" }, "ua":"Mozilla\/5.0 (Macintosh; Intel Mac OS X 10_12_6) AppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/64.0.3282.186 Safari\/537.36", "ip_address":"1.23.45.678" } } ] }

Salesforce के साथ, स्थिति समान है - API का उपयोग करके, आप इस क्लाउड CRM में सभी उपयोगकर्ता गतिविधि तक पहुँच सकते हैं, और विशेष रूप से निम्नलिखित घटनाओं में:

लॉग इन कर रहा है
साइन आउट
रिपोर्ट अपलोड
एपीआई कॉल
URI (सेल्सफोर्स क्लासिक में वेब क्लिक)
लाइटनिंग (लाइटनिंग एक्सपीरियंस और सेल्सफोर्स मोबाइल ऐप में वेब क्लिक)
विजुअलफोर्स पेज डाउनलोड
एपेक्स निष्पादन
और अन्य

इसके अलावा, आप अपने Salesforce उदाहरण की सुरक्षा की निगरानी कर सकते हैं और Salesforce व्यवस्थापक कंसोल में ईवेंट लॉग के साथ काम कर सकते हैं। आपके पास 4 विकल्प हैं:

SFDC पोर्टल पर सभी एक्सेस प्रयासों की निगरानी करना। लॉगिन इतिहास पृष्ठ पिछले 6 महीनों में पोर्टल में प्रवेश करने के बारे में 20,000 प्रविष्टियाँ दिखाता है (HTTP लॉगिन विधि - GET, POST या अन्य का संकेत)। यदि आपको लंबी कहानी चाहिए, तो संबंधित लॉग को .csv या .gzip प्रारूप में डाउनलोड किया जा सकता है।
CRM में फ़ील्ड कार्य की निगरानी करना व्यवस्थापक कंसोल के माध्यम से, आप पिछले 18 महीनों के लिए मानक और कस्टम क्लाउड सीआरएम फ़ील्ड के साथ काम करने के इतिहास को ट्रैक कर सकते हैं, और एपीआई के माध्यम से फ़ील्ड परिवर्तनों के दो साल के इतिहास तक पहुंच प्राप्त कर सकते हैं। आप इस कहानी को 10 साल तक के लिए भी संग्रहीत कर सकते हैं और यदि आवश्यक हो, तो इसे एक्सेस कर सकते हैं।
प्रशासनिक परिवर्तनों की निगरानी करना। सेटअप ऑडिट ट्रेल फ़ंक्शन का उपयोग करके, आप पिछले 180 दिनों में अपने सभी व्यवस्थापकों (विशेषकर यदि कई हैं) के 100 से अधिक कार्यों की निगरानी कर सकते हैं।
लेन-देन की निगरानी लेन-देन सुरक्षा सेवा का उपयोग करके, आप वास्तविक समय में Salesforce ईवेंट को कैप्चर कर सकते हैं और उपयुक्त प्रोसेसिंग लॉजिक के साथ उनके लिए सूचनाएं और अलार्म लगा सकते हैं।

हाल ही में, Salesforce ने अपने प्लेटफ़ॉर्म के लिए एक विशेष सुरक्षा निगरानी समाधान विकसित किया है - Salesforce शील्ड। इसमें तीन घटक शामिल हैं - सभी संग्रहीत जानकारी के एन्क्रिप्शन का प्रबंधन, सुरक्षा और डेटा उपयोग की निगरानी करना और सुरक्षा नीतियों का प्रबंधन करना। सूचना सुरक्षा निगरानी के मामले में, सेल्सफोर्स शील्ड में यह सुविधा एज़्योर मॉनिटर एक्सटेंशन के समान है, जो न केवल आपको घटनाओं को दिखाती है, बल्कि उनके प्रसंस्करण और विज़ुअलाइज़ेशन के कारण आपको बताती है कि आपको क्या देखना है। उदाहरण के लिए, क्या आप पता कर सकते हैं कि कौन से उपकरण और प्लेटफ़ॉर्म उपयोगकर्ता सबसे अधिक बार SFDC का उपयोग करते हैं? या जब, सबसे अधिक बार, और जहां से उपयोगकर्ता Salesforce की अपनी प्रति दर्ज करते हैं (क्या यह atypical प्रविष्टि बिंदुओं की पहचान करने में मदद कर सकता है)? गोपनीय जानकारी कौन देखता है? कौन सबसे अधिक बार अपने कंप्यूटर पर रिपोर्ट डाउनलोड करता है? इन सवालों के जवाब 16 पूर्व-स्थापित पैनलों का उपयोग करके प्राप्त किए जा सकते हैं, जिनमें से इनपुट का विश्लेषण अलग-अलग लाइसेंस प्राप्त आइंस्टीन इवेंट मॉनिटरिंग एनालिटिक्स सबसिस्टम (अच्छा नाम, यह नहीं है) द्वारा किया जाता है। इसकी मदद से, आप अपने डैशबोर्ड को भी मॉडल कर सकते हैं, डेटा को बाहरी BI सिस्टम आदि पर अपलोड कर सकते हैं।

उदाहरण: iPhone और iPad पर सूचना सुरक्षा की निगरानी करना

उफ़ ... और iPhone और क्लाउड मॉनिटरिंग कहां है, आप पूछते हैं। यहां सब कुछ सरल है। उदाहरण के लिए, इस लेख को लिखने के समय किसी भी सर्जस के पास ऐप्पल बिजनेस मैनेजर प्लेटफॉर्म (या ऐप्पल स्कूल प्रबंधक, जो यूएस विश्वविद्यालयों में बेहतर जाना जाता है) के लिए एक कनेक्टर था, जो आपको ऐप्पल कॉर्पोरेट डिवाइस - आईफोन, आईपैड, मैक का प्रबंधन करने की अनुमति देता है। इस कार्य के लिए, आप एमडीएम के किसी भी समाधान का उपयोग कर सकते हैं, या आप Apple व्यापार प्रबंधक का उपयोग कर सकते हैं (यदि आप Apple डिवाइस नामांकन कार्यक्रम या वॉल्यूम खरीद कार्यक्रम में भाग लेते हैं, जो रूस में मान्य नहीं हैं)। एमडीएम समाधान स्थानीय रूप से स्थापित किए जा सकते हैं और उन्हें अपने सीएमडी के साथ एकीकृत करना मूल रूप से आसान है, जैसे क्लाउड एमडीएम (उदाहरण के लिए, सिस्को मेरकी), लेकिन ऐप्पल बिजनेस मैनेजर के साथ कहानी में स्पष्ट क्लाउड रंग है और इस लेख के संदर्भ में दिलचस्प है देखें कि सबसे बड़े आईटी निर्माताओं में से एक अपने समाधान की सुरक्षा की निगरानी करने की क्षमता प्रदान करने की समस्या को हल करता है।

सामान्य तौर पर, यह इस दृष्टिकोण से है कि रूस में ऐप्पल के फैसले बहुत अच्छी तरह से ज्ञात नहीं हैं (हालांकि पश्चिम में हम एसओसी परियोजनाओं में उनके साथ सामना कर रहे हैं)। इसलिए प्रचलित राय है कि Apple एक विशुद्ध रूप से उपभोक्ता कंपनी है जिसने अपने SOC में एकीकरण के संदर्भ में कॉर्पोरेट ग्राहकों की ओर रुख नहीं किया है। एक ही समय में ऐसा नहीं है। तथ्य यह है कि आईओएस और मैकओएस के लिए सुरक्षा की पर्याप्त शक्तिशाली प्रणाली होने के बावजूद, ऐप्पल एक बंद सह-कंपनी बनी हुई है और बाहरी पार्टियों को अपने उत्पादों की सुरक्षा के बारे में जानकारी देने के लिए सक्रिय रूप से अनुमति नहीं देती है। हालांकि तस्वीर धीरे-धीरे बदल रही है। उदाहरण के लिए, ऐप्पल बिजनेस मैनेजर आपको कॉर्पोरेट ऐप्पल डिवाइस पर गतिविधि के बारे में जानकारी देखने की अनुमति देता है, जो सूचना के तीन ब्लॉक - घटना, स्थिति और प्रारंभ तिथि (अंतिम तिथि, अफसोस, समस्याओं के साथ) में संयुक्त है। नियंत्रित घटनाओं (Apple स्कूल प्रबंधक में थोड़ी अधिक है, लेकिन वे छात्रों / छात्रों से संबंधित हैं) में शामिल हैं:

नया साइन-इन ईमेल करें
नया साइन-इन बनाएं
नए सत्यापन कोड ईमेल करें
भूमिकाएँ सौंपें
खाते हटाएं
खातों को निष्क्रिय करें
प्रतिक्रियाशील खाते
उपकरणों को असाइन करें
असाधरण उपकरण
उपकरण जारी करें
सर्वर को अनसाइन करें और डिलीट करें
सर्वर को पुन: असाइन करें और हटाएं।

सच कहूं तो ज्यादा जानकारी नहीं है। आप इसके साथ Apple Business Manager कंट्रोल पैनल में काम कर सकते हैं या इसे एक .csv फ़ाइल के रूप में आगे के विश्लेषण के लिए अपने कंप्यूटर पर अपलोड कर सकते हैं। मुझे यह स्वीकार करना चाहिए कि Apple में इस सुविधा का मुख्य अभिविन्यास अभी भी सुरक्षा मुद्दों को संबोधित करने के बजाय IT विमान में समस्याओं को खोजने पर केंद्रित है - Apple के पास कोई स्वचालित लॉग संग्रह या विश्लेषण नहीं है। आप बहुत अधिक जानकारी प्राप्त कर सकते हैं यदि आप किसी भी एमडीएम समाधान के साथ ऐप्पल बिजनेस मैनेजर को एकीकृत करते हैं - तो आप सक्रिय उपयोगकर्ताओं, उपयोगकर्ता आईडी और उपकरणों के बारे में जानकारी प्राप्त कर सकते हैं, जिसमें वाई-फाई पता, इंस्टॉल किए गए एप्लिकेशन पर डेटा और उनके संस्करण शामिल हैं। अनइंस्टॉल किए गए अपडेट, टेलिकॉम ऑपरेटर, पर्सनल एक्सेस पॉइंट, "आईफोन ढूंढें" फ़ंक्शन, डेटा एन्क्रिप्शन, जेलब्रेक, इंस्टॉल किए गए प्रमाणपत्र, उपलब्धता और व्यक्तिगत ITU, पिन-जब सेटिंग्स, रिमोट कंट्रोल की सेटिंग्स की उपस्थिति। घटना, आदि। यह आईएस के निगरानी कार्यों के लिए पर्याप्त है, लेकिन इसे आपके कॉर्पोरेट Apple उपकरणों को आपके SOC में एकीकृत करने के लिए कुछ इशारों की आवश्यकता होगी।

क्लाउड मॉनिटरिंग के लिए सिएम

यह ध्यान दिया जाना चाहिए कि अमेज़ॅन, कई अन्य सार्वजनिक बादलों की तरह, अपनी सुरक्षा पर बहुत ध्यान देता है, फिर भी मुख्य रूप से अपने बुनियादी ढांचे में काफी सरल खतरों का पता लगाने और रोकने के लिए तंत्र पर केंद्रित है, साथ ही उन घटनाओं तक पहुंच प्रदान करता है जिनका उपयोग करके विश्लेषण किया जा सकता है। बाहरी निर्णय। Microsoft क्लाउड में सुरक्षा घटनाओं की निगरानी और विश्लेषण के लिए एक प्रणाली बनाने के लिए निकटतम आया था, लेकिन इसके समाधान का उपयोग करने के लिए अतिरिक्त वित्तीय निवेश की आवश्यकता होगी। यदि आप इस कंपनी के केवल बादलों का उपयोग करते हैं, तो शायद आप अपने आप को एज़्योर सिक्योरिटी सेंटर तक एक्सटेंशन के साथ सीमित कर सकते हैं। लेकिन अगर आपके पास एक बहु-बादल वातावरण है, तो यह स्वतंत्र समाधानों के उपयोग पर विचार करने के लायक है - डिएगो, जो, शायद, आप पहले से ही अपने आंतरिक बुनियादी ढांचे की सूचना सुरक्षा की निगरानी के लिए उपयोग कर रहे हैं। और यहां आपको यह समझने की आवश्यकता है कि आपके द्वारा चुने गए या चुने गए सहकर्मियों ने डेटा स्रोत के रूप में आपके द्वारा उपयोग किए जाने वाले क्लाउड (और इसकी विभिन्न सेवाओं) का समर्थन किया है। उदाहरण के लिए, Splunk, QRadar, ArcSight, ELK AWS का समर्थन करते हैं और यह सीधे इन निगरानी प्रणालियों के लिए प्रलेखन में कहा गया है, लेकिन वही RuSIEM या PT CRM समर्थन नहीं करता है।

यह ध्यान में रखा जाना चाहिए कि अलग-अलग सीएमजी अलग-अलग क्लाउड सेवाओं से अलग-अलग तरीकों से डेटा ले सकते हैं। उदाहरण के लिए ELK और Amazon को लें। कई क्लाउड सेवाएं और एप्लिकेशन S3 बाल्टी में अपने ईवेंट को अग्रेषित कर सकते हैं, और लॉगस्टैश फिर उन्हें अनुरोध पर उठा सकते हैं। पहले उल्लिखित AWS CloudWatch S3 में भी डेटा भेज सकता है, और इसे AWS लैम्ब्डा में स्ट्रीम कर सकता है (और Logstash उन्हें विश्लेषण के लिए ले जाता है) या ElasticSearch क्लाउड में होस्ट किया गया। खैर, निश्चित रूप से, ऐसे एप्लिकेशन हैं जो सीधे S3, लैम्ब्डा या क्लाउडवॉच को दरकिनार करते हुए ELK को डेटा भेज सकते हैं। IBM QRadar AWS CloudWatch सेवा के माध्यम से एक ही AWS GuardDuty का डेटा एकत्र करता है, Amazon VPC फ़्लो लॉग्स को S3 टोकरी में प्रकाशित करने के बाद उन्हें QRad में कैप्चर करता है, और AWS CloudWrail से या तो S3 टोकरी के माध्यम से या AWS CloudWatch के माध्यम से डेटा एकत्र करता है। निगरानी के लिए आपको कौन से डेटा की आवश्यकता है, इस पर निर्भर करते हुए, यह ज्ञान आपको कोलम्बिया का चयन करके एक घातक गलती नहीं करने में मदद कर सकता है, जिसे लागू करने के बाद आपको क्लाउड एप्लिकेशन और सेवाओं की आवश्यकता नहीं होगी।

AWS या Azure की लोकप्रियता के बावजूद, कई सेग्मेंट में अमेज़न और Microsoft क्लाउड्स के साथ काम करने के लिए बिल्ट-इन कनेक्टर नहीं हैं, लेकिन यह संभव है कि आप अपनी खुद की - या तो स्वतंत्र रूप से या निर्माता की मदद से बना सकते हैं, उदाहरण के लिए, कस्टम कनेक्टर के साथ PT के मामले में। यह ध्यान देने योग्य है कि एडब्ल्यूएस यह अनुमान लगाने के लिए सही उदाहरण नहीं है कि कैसे बादलों के साथ काम करता है। AWS दुनिया में सबसे लोकप्रिय क्लाउड बिजनेस प्लेटफॉर्म है और इसलिए सूचना प्रौद्योगिकी के क्षेत्र में शामिल कई निर्माता इसके साथ अपने उत्पादों को एकीकृत करने की कोशिश कर रहे हैं। लेकिन इस मामले में भी, हमें अभी भी यह स्वीकार करना चाहिए कि सामान्य तौर पर, आज के समय में सिएम में अक्सर आप क्लाउड प्लेटफॉर्म की निगरानी करने की अनुमति नहीं देते हैं। उदाहरण के लिए, आईबीएम क्यूराडार केवल निम्नलिखित क्लाउड सेवाओं के साथ काम करता है (क्लाउड आईबी सेवाओं जैसे सिस्को अम्ब्रेला, सिस्को मेरकी, सिस्को थ्रैट ग्रिड, आदि सहित):

एडब्ल्यूएस गार्डडॉट और एडब्ल्यूएस क्लाउडट्रायल (अन्य एडब्ल्यूएस सेवाएं अभी तक समर्थित नहीं हैं)
डिब्बा
क्लाउडेरा
सुश्री नीला
Salesforce।

सूची बहुत लंबी नहीं है। बादलों के साथ काम करने के लिए मॉड्यूल का एक ही स्पंक बेस बहुत व्यापक है। IBM Qradar के लिए उपरोक्त के अलावा, स्प्लंक का समाधान भी समर्थन करता है:

Office365
ServiceNow
अमेज़ॅन कीनेस
ढीला
JIRA
गूगल ड्राइव
Google मेघ
Nagios
जी सूट ऐप
डाक में काम करनेवाला मज़दूर
Kubernetes
और अन्य

कृपया ध्यान दें कि कोई भी GCP का समर्थन नहीं करता है।

AWS एक्सटेंशन के लिए स्प्लंक ऐप का उपयोग करना (विचार आर्किट या क्यूराडार के लिए समान होगा), आप उदाहरण के लिए, निम्नलिखित उपयोग के मामले की निगरानी परिदृश्यों को लागू कर सकते हैं, जो आपको सूचना सुरक्षा के दृष्टिकोण से महत्वपूर्ण सवालों के जवाब देने की अनुमति देगा:

किसने नियम को सुरक्षा समूह में जोड़ा जो हमारे एप्लिकेशन सर्वरों की सुरक्षा करता है?
VPC में अवरुद्ध ट्रैफ़िक कहाँ से आता है?
घटना से पहले और बाद में किसी विशेष उपयोगकर्ता की गतिविधि क्या थी?
मुझे सूचित करें जब एक सुरक्षा समूह सभी बंदरगाहों से पहुंच की अनुमति देता है
कौन से सुरक्षा समूह परिभाषित हैं लेकिन किसी भी संसाधन से संबद्ध नहीं हैं?
मुझे सूचित करें जब कंसोल बाहरी आईपी पते से एक्सेस किया जाएगा
जब कोई उपयोगकर्ता एजेंट वेब हमलों के लिए प्रतिबद्ध हो तो मुझे सूचित करें
उदाहरण के संसाधन X% से अधिक कब हैं?

विशेष रूप से कॉर्पोरेट नेटवर्क के लिए डिज़ाइन किए गए कुछ सीमेंस में बादलों के साथ वास्तु संबंधी समस्याएं हो सकती हैं। कम से कम, आपको अपने सभी क्लाउड सिस्टम के लिए नियमों की एक श्रृंखला खोलने की आवश्यकता होगी जो परिधि के आईटीयू पर आपके सिएम में लॉग भेजते हैं। एक और समस्या, और अधिक गंभीर, यह तथ्य है कि बादलों के साथ काम करने के लिए कनेक्टर्स होने का मतलब यह नहीं है कि इस भूमिका में सीमेंस उपयोग के लिए तैयार है। यदि हम 6 की शुरुआत में उल्लिखित मॉनिटरिंग सिस्टम के घटकों पर ध्यान देते हैं, तो यह पता चलता है कि कोलम्बिया में कनेक्टर आपको दो आवश्यक, लेकिन स्पष्ट रूप से अपर्याप्त कार्य - सूचना सुरक्षा घटनाओं को एकत्र करने और संसाधित करने में मदद करता है। स्टोरेज स्वयं ही एमएमआर द्वारा प्रदान किया जाता है, लेकिन विश्लेषण के साथ हमारे पास अभी भी एक बड़ा सवाल है। यदि किसी विशिष्ट कॉर्पोरेट सेग्मेंट का अनुपात वास्तव में उपयोगी है और "आउट ऑफ द बॉक्स" है, तो कुल नियमों की संख्या 20 से 80 है, तो क्लाउड सूचना सुरक्षा की निगरानी के लिए यह अनुपात लगभग 5 से 95 के आसपास या इससे भी कम होगा। इसलिए, यह मत भूलो कि बादलों के साथ काम करने वाले सिएम की उपस्थिति वह सब नहीं है जो उनकी वास्तविक सुरक्षा की निगरानी के लिए आवश्यक है। आपको अपने क्लाउड के लिए, साथ ही बादलों के लिए और कॉर्पोरेट वातावरण के लिए घटना सहसंबंध नियम लिखने के लिए और अधिक प्रयासों (योग्य कर्मियों का उल्लेख नहीं) की आवश्यकता होगी (क्योंकि आप संभवतः क्लाउड प्लेटफ़ॉर्म से जुड़े उपयोगकर्ता के स्थान डेटा को सहसंबंधित करना चाहेंगे) कॉर्पोरेट सुरक्षा सुविधाएँ)।

यदि IaaS / Paa निगरानी के साथ स्थिति कम या ज्यादा अच्छी है - स्रोतों की संख्या, निर्मित लॉग की मात्रा और घटना प्रकार उनके विश्लेषण के लिए पर्याप्त हैं, तो कई सास के लिए यह अभी भी कठिनाइयों का कारण बनता है। इसलिए, मैं निम्नलिखित गतिविधियों / घटनाओं पर ध्यान देना चाहता हूं जो सबसे गंभीर सास खिलाड़ियों के लिए उपलब्ध हैं और जिन्हें सास की निगरानी करते समय आपके कोलम्बिया में विश्लेषण करने की आवश्यकता है:

उपयोगकर्ता और व्यवस्थापक पहुंच
- सफल और असफल लॉगिन प्रयास
- प्रवेश का समय और स्थान
- इनपुट डिवाइस प्रकार और विशेषताएँ
- सफल के बाद असफल लॉगिन प्रयास
- SSO गतिविधि
- विज्ञापन गतिविधि
उपयोगकर्ता व्यवहार
- उपयोगकर्ता फ़ाइल गतिविधि (डाउनलोड करना, हटाना, प्रतिलिपि बनाना, मुद्रण करना, स्थानांतरित करना, भेजना)
- बाहरी और आंतरिक उपयोगकर्ताओं के साथ "साझा करना" फ़ाइलें
- खुले / साझा लिंक बनाना
- अनधिकृत / अविश्वसनीय मोबाइल उपकरणों से गतिविधि
- नेटवर्क गतिविधि
थर्ड पार्टी एपीआई एक्सेस
- एपीआई विशेषाधिकार बदल जाता है
- OAuth प्रमाणपत्र संबंधित गतिविधि
- OAuth टोकन से जुड़ी गतिविधि।

कम से कम, इन घटनाओं का विश्लेषण, जो, उदाहरण के लिए, Salesforce.com, Box या Dropbox आपको देगा, आपको अपने क्लाउड डेटा और उपयोगकर्ताओं के साथ बड़ी संख्या में घटनाओं की पहचान करने की अनुमति देगा।

कॉरपोरेट के साथ कॉर्पोरेट और क्लाउड वातावरण की निगरानी करने की क्षमता में इस तरह के अंतर को कैसे समझा जाए? कम बादल का प्रचलन? हम समझते हैं कि ऐसा नहीं है। बल्कि, सवाल उन ग्राहकों की परिपक्वता का है जो पहले से ही बादलों के लिए तैयार हैं, लेकिन अपनी सुरक्षा की निगरानी के लिए तैयार नहीं हैं, जैसा कि मैंने लेख की शुरुआत में लिखा था। और इसके बिना, व्यवसाय के मामलों की आवश्यक संख्या की भर्ती नहीं की जाती है और अपने उत्पादों में क्लाउड समर्थन को लागू करने के लिए अपनी खुद की पहल पर सिएम डेवलपर्स डेवलपर्स जल्दी में नहीं हैं; विशेष रूप से काम के तंत्र में नियमित परिवर्तन और क्लाउड प्रदाताओं से सुरक्षा घटनाओं की वापसी के संदर्भ में (आइए आजम के साथ अज़ोग की कहानी को याद करते हैं)।

जब आपके प्रदाता के पास निगरानी उपकरण न हों तो क्या करें

लेकिन क्या होगा यदि आपके क्लाउड प्रदाता के पास लॉग हैं, लेकिन उनके पास विश्लेषण और निगरानी के लिए अपने स्वयं के उपकरण नहीं हैं, तो आपका कोलम्बिया आपके चुने हुए क्लाउड का समर्थन नहीं करता है और इसके लिए कोई कनेक्टर लिखने का कोई तरीका नहीं है? एक विकल्प है जो आपको विशेष बिचौलियों का उपयोग करने की अनुमति देता है, जो मौजूदा क्लाउड एपीआई (यह होना चाहिए) का उपयोग करते हुए, अपने क्लाउड प्रदाता तक पहुंचते हैं और फिर लॉग से खींचते हैं, उन पर विभिन्न विश्लेषणात्मक उपकरण लागू करते हैं, विभिन्न घटनाओं और अन्य उल्लंघनों की पहचान करते हैं, जिसके बारे में डेटा फिर अपने CRM को दिया जा सकता है।

ऐसे बिचौलियों के उदाहरण क्लाउड एक्सेस सिक्योरिटी ब्रोकर, CASB सॉल्यूशंस (उदाहरण के लिए, सिस्को क्लाउडलॉक), या कुछ मल्टी-फैक्टर ऑथेंटिकेशन, एमएफए एडवांस्ड एक्सेस कंट्रोल क्षमताएं (उदाहरण के लिए, सिस्को डुओ) हैं। यह सच है, CASB या MFA, एक समस्या को हल करते हुए, दूसरा जोड़ें - एक और प्रबंधन कंसोल प्राप्त करना, जिसे आपके SOC में एकीकृत किया जाना चाहिए। लेकिन इस समस्या को हल करना आमतौर पर सरल है। अक्सर, बिना क्लाउड कनेक्टर के, सीएमईएस, सीएएसबी और एमएफए सहित सूचना सुरक्षा उपकरणों के साथ काम कर सकता है (आखिरकार, यह उनका मुख्य कार्य है)। इस मामले में, CASB और MFA में API मदद करते हैं, जो आपको कॉर्पोरेट सेगमेंट में एकत्रित और विश्लेषण की गई सुरक्षा घटनाओं को भेजने और उन्हें अपने SOCs में एम्बेड करने की अनुमति देता है। यह एक त्रिस्तरीय प्रणाली का पता लगाता है जिसमें डब्लूएमडी को सीधे क्लाउड के साथ एकीकृत करने की आवश्यकता नहीं होती है, इसके लिए CASB / MFA का उपयोग करता है (उपरोक्त मामले में सिस्को चुपकेस्ट क्लाउड के साथ यही कहानी है)।

सच है, CASB एक रामबाण भी नहीं है। सभी क्लाउड प्रदाताओं के पास अपने प्लेटफ़ॉर्म में API नहीं होते हैं जो डेटा को कॉर्पोरेट SOC और CRM को भेजने की अनुमति देते हैं। आमतौर पर यह यह विशेषता है जो कॉर्पोरेट निर्णयों को अलग करती है। कभी-कभी लोकप्रिय क्लाउड समाधानों में भी ऐसे एपीआई नहीं होते हैं, जैसा कि आप बहुत शुरुआत में देख सकते थे, जब मैंने बिट्रिक्स, "मेरा कार्यालय" या एसकेबी कांटूर समाधानों का उल्लेख किया था।

उदाहरण: सिस्को क्लाउडलॉक के साथ निगरानी सुरक्षा

सिस्को क्लाउडलॉक एक एपीआई-आधारित समाधान है जो मौजूदा लोकप्रिय क्लाउड सास प्लेटफार्मों की एक विस्तृत श्रृंखला के साथ एकीकृत करता है, जैसे कि जी सूट, सेल्सफोर्स, ऑफिस 365, ड्रॉपबॉक्स, बॉक्स, सर्विसनॉ, स्लैक, ओक्टा, आदि के साथ-साथ आईएएएस / पाएस। Salesforce और AWS जैसे प्लेटफार्म। प्रॉक्सी CASB के विपरीत, एपीआई-आधारित समाधान आपको डेटा के साथ काम करने की अनुमति देता है जो पहले से ही क्लाउड में लोड होता है, इंटर-क्लाउड ट्रैफ़िक का विश्लेषण करता है, और मोबाइल और अप्रबंधित कॉर्पोरेट और व्यक्तिगत उपकरणों से पहुंच को नियंत्रित करता है। उसी समय, सिस्को क्लाउडलॉक, जो धीरे-धीरे सिस्को छाता का एक अभिन्न अंग बन रहा है, उपयोगकर्ता के काम में हस्तक्षेप नहीं करता है और उनके एपीआई के कारण नियंत्रित बादलों से जुड़ता है, जो आपको उल्लंघन की निगरानी करने की अनुमति देता है जैसे:

पासवर्ड का अनुमान लगाना
एक atypical स्थान से लॉगिन करें (खाता चोरी)
गोपनीय जानकारी के साथ काम करने के लिए नियमों का उल्लंघन (जानकारी के बादल में भंडारण जो वहाँ नहीं होना चाहिए)
बादल में मैलवेयर
डेटा लीक
नियामक आवश्यकताओं का उल्लंघन
निषिद्ध या समाप्त अनुप्रयोगों से पहुंच।

इन घटनाओं तक पहुँच सिस्को क्लाउडलॉक सेवा और स्वयं, दोनों के माध्यम से और संभव है कि कोलम्बिया के माध्यम से, जो क्लाउडलॉक मौजूदा एपीआई के माध्यम से आवश्यक जानकारी प्रदान करता है। वर्तमान में, सिस्को क्लाउडलॉक स्प्लंक, क्यूराडार और आर्कसाइट के साथ एकीकृत कर सकता है।

एसओसी

इसलिए, हमें कुछ अंदाजा हुआ कि रूस में लोकप्रिय क्लाउड वातावरण में सूचना सुरक्षा निगरानी कैसे काम करती है। अब आप समझ गए हैं कि आप किस डेटा और किस तरह से अपने CRM में अपलोड कर सकते हैं। लेकिन इसका मतलब यह है कि आप एक अंतर्निहित आईएस क्लाउड निगरानी प्रणाली के बारे में बात कर सकते हैं? बिल्कुल नहीं। यह याद रखने के लिए पर्याप्त है कि लोकप्रिय के अनुसार, लेकिन काफी सही अवधारणा नहीं है, एसओसी लोगों, प्रक्रियाओं और प्रौद्योगिकियों का एक संयोजन है। हमने केवल तकनीक के बारे में बात की। अन्य घटकों के बारे में थोड़ी बात करने का समय आ गया है।

शुरुआत करने के लिए, क्लाउड दुनिया में आज एक स्पष्ट पसंदीदा और नेता नहीं है। कंपनियां अलग-अलग कार्यों के लिए अलग-अलग क्लाउड का उपयोग करती हैं। ऊपर, मैंने सिस्को का एक उदाहरण दिया, जो अपनी गतिविधियों में दुनिया भर के लगभग 700 क्लाउड प्रदाताओं का उपयोग करता है।और वे सभी अलग-अलग हैं, सूचना सुरक्षा और इसकी निगरानी सुनिश्चित करने के लिए विभिन्न दृष्टिकोणों के साथ। उन सभी को हमारे आईएस निगरानी केंद्र में एकीकृत करने के लिए, डेटा को लोड करने के तरीकों से परे देखना आवश्यक है, जो कि कोलम्बिया में लोड हो रहा है और एक पूर्ण बहु-क्लाउड निगरानी रणनीति का निर्माण करना है, जिसमें आवश्यक रूप से निम्न चरण शामिल हैं:

, ( use case). use case Splunk. , . , , - “”. , ? use case . — , .
playbook' runbook', .
, use case, . , , . Amazon — ( , , ..), ( , , Amazon EC2 VPC) (, , ). , , .
, , , , .
, . , , Threat Intelligence, , , ( Cisco Stealthwatch Cloud), (, Amazon Web Services ), , - . .
, .
, , , - . , - osquery.
, (, WORM — Write Once, Read Many), (, AWS Key Management System) (, Amazon S3 Glacier).
, , Threat Intelligence, (, GCP Azure), . , . , , .
(SIEM), CASB NTA (, Cisco Stealthwatch Cloud).
Threat Hunting, , . , , — . .
.

यह ध्यान में रखना चाहिए कि इनमें से कुछ घटक अन्य निगरानी कार्यों के साथ ओवरलैप होंगे जो आपके संगठन का सामना कर सकते हैं - एसएलए निगरानी, उपलब्धता निगरानी, आवेदन प्रदर्शन निगरानी, बाद के बिलिंग के लिए उपयोग निगरानी आदि। इसलिए, अपने क्लाउड की सूचना सुरक्षा निगरानी प्रणाली का निर्माण करते समय, पहले निर्दिष्ट करें कि क्या पहले ही हो चुका है और अन्य विभागों से आपके सहयोगियों द्वारा क्या करने की योजना है - आप पहले से उपलब्ध उपलब्धियों या उपकरणों का उपयोग करने या दूसरों के साथ कई कार्यों को साझा करने में सक्षम हो सकते हैं।

ऐसा लगता है जैसे मैंने कुछ खास और नया नहीं लिखा। यदि आपका एसओसी शुरू में सही ढंग से डिज़ाइन किया गया है, तो किसी भी नई नियंत्रित इकाई (यह क्लाउड, आईसीएस, या मोबाइल डिवाइस हो) को जोड़ने से पहले विकसित दस्तावेजों और प्रक्रियाओं का एक मजबूत परिवर्तन नहीं होना चाहिए। जब हम एक एसओसी ऑडिट डिजाइन या आयोजित करते हैं, तो हम शुरुआत में अपने काम में इन सभी पहलुओं को ध्यान में रखते हैं।

निष्कर्ष

सारांशित करना, यह फिर से दोहराने के लायक है कि क्लाउड वातावरण में सूचना सुरक्षा की निगरानी क्लाउड मार्केट के "पुराने" के लिए एक अपेक्षाकृत नया विषय है। इसलिए, इस सेगमेंट में लगातार बदलाव हो रहे हैं, और ऐसा कुछ संभव नहीं है जो हाल ही में क्लाउड प्रदाता के पोर्टफोलियो में दिखाई देता है। यही बात आईएस के निगरानी कार्यों पर भी लागू होती है। भले ही हम किस प्रदाता के बारे में बात कर रहे हैं, वे आपको कई निगरानी विकल्पों में से एक प्रदान कर सकते हैं:

— .
SIEM . , “” /.
API, “” . .
.
बिचौलियों के माध्यम से पहुंच जो आपके लिए ब्याज के बादल के डेटा को इकट्ठा करते हैं, उन्हें अतिरिक्त जानकारी के साथ समृद्ध करते हैं और विभिन्न विश्लेषणात्मक उपकरणों और एल्गोरिदम को लागू करते हैं, जिसके बाद वे विश्लेषण के परिणाम को आपके सीएमजी या सूचना सुरक्षा घटना विश्लेषण प्रणाली में स्थानांतरित करते हैं।

ये सभी पांच विकल्प उनके साथ काम करने की जटिलता, निगरानी और प्रतिक्रिया की कीमत और गति में भिन्न हैं। मैं यह नहीं कह सकता कि किसे चुनना है, क्योंकि यह बहुत हद तक न केवल इस बात पर निर्भर करता है कि आप किस बादल के साथ काम कर रहे हैं, बल्कि यह भी कि आपकी निगरानी रणनीति क्या है। आईबी। मैं केवल अपने और अपने क्लाउड प्रदाता से पूछने के लिए सवालों की एक सूची के साथ मदद कर सकता हूं, जिनके साथ आप "अपने जीवन को जोड़ने" का निर्णय लेते हैं:

क्या आप एक बादल के साथ या कई के साथ काम करने की योजना बनाते हैं?
आपके क्लाउड प्रदाता क्या सुरक्षा तंत्र प्रदान करता है? यह इस बात पर निर्भर करता है कि आप क्या देख सकते हैं और क्या नहीं।
ISO 27001, Fed-RAMP, SOC2/3? , - - .
? .
? ( )?
/ ? , , .
? ? ? threat hunting? - Threat Intelligence?
? / ?
API ?
SIEM ? /API ( )?
“” SIEM? use case ?
SIEM ? — SIEM?
SIEM CASB?
SIEM TI- ?

यहां प्रश्नों की एक छोटी सूची है, जिनके उत्तर आपको क्लाउड वातावरण की सूचना सुरक्षा की निगरानी की प्रक्रिया का निर्माण शुरू करने की अनुमति देगा, जिसे आपने या आपके व्यवसाय ने उपयोग करने का निर्णय लिया है। जितनी जल्दी आप इन सवालों के जवाब देने में रुचि लेते हैं, उतना ही सस्ता यह एक निगरानी प्रणाली बनाने के लिए खर्च करेगा और बाहरी क्लाउड प्रदाताओं को दिए गए आपके संसाधनों के साथ कम घटनाएं घटित होंगी। SOCs के निर्माण या ऑडिटिंग में सिस्को के अनुभव के रूप में, यहां तक कि सबसे सफल आईएस निगरानी केंद्र जो कॉर्पोरेट नेटवर्क के भीतर की घटनाओं से प्रभावी ढंग से निपटते हैं, हमेशा अपने वास्तुकला में क्लाउड निगरानी क्षमताओं को आगे नहीं बढ़ाते हैं, जो इसके पुनर्गठन की आवश्यकता होती है। मुझे उम्मीद है कि इन दो भागों में वर्णित टिप्पणियों और सिफारिशों से साइबर सुरक्षा सुनिश्चित करने में मदद मिलेगी।

क्लाउड सुरक्षा निगरानी। भाग २