सिस्को थ्रेट रिस्पांस और सिस्को स्टील्थवॉच एंटरप्राइज का एकीकरण

मैं सिस्को धमकी प्रतिक्रिया प्रणाली के विकास की कहानी जारी रखता हूं, जो धीरे-धीरे एक पूर्ण घटना प्रबंधन प्रणाली में बदल रही है जो सभी सिस्को सूचना सुरक्षा समाधानों को जोड़ती है; और मुक्त रहते हुए। पिछली बार, मैंने इस बारे में बात की थी कि ईमेल घटनाओं की जांच में मदद करने के लिए CTR को सिस्को ईमेल सुरक्षा के साथ कैसे एकीकृत किया जा सकता है। आज हम इस बारे में बात करेंगे कि CTR सिस्को स्टेल्थवर्च एंटरप्राइज नेटवर्क एनोमली डिटेक्शन सिस्टम के साथ कैसे एकीकृत होता है। यह एक नया एकीकरण है और हर कोई इसके बारे में अभी तक नहीं जानता है।

इस स्क्रीनशॉट को सिस्को स्टेलवॉच सिस्टम से देखें (यह, वैसे, ग्राहकों में से एक से एक वास्तविक तस्वीर है)। आप इस पर क्या देखते हैं? लगभग 10 मिनट के भीतर, ईरान से लगभग 3 जीबी डेटा नेटवर्क पर अपलोड किया गया था (यह स्क्रीनशॉट, जैसा कि आप देख सकते हैं, हालांकि जनवरी में लिया गया, 2019 का है, न कि 2020 का, और इसलिए इस कहानी का नवीनतम राजनीतिक घटनाओं से कोई लेना-देना नहीं है। मध्य पूर्व)।



क्या आप अक्सर ईरान के साथ संवाद करते हैं? क्या आप उसके साथ व्यापार करते हैं? नहीं? फिर कुछ आंतरिक नोड्स इस देश के बहुत सारे डेटा को क्यों लोड करते हैं। क्यों? क्या कारण है? यह संभावना नहीं है कि YouTube, Facebook, Gmail या Dropbox की साइटें ईरान में स्थित हैं। फिर ऐसी विसंगति का कारण क्या है?

और यहाँ एक और स्क्रीनशॉट है (दूसरे ग्राहक से पहले से)। उत्तर कोरिया के साथ असंगत और काफी तीव्र एसएमबी यातायात। क्यों? ऐसा ट्रैफ़िक कॉर्पोरेट नेटवर्क के अंदर हो सकता है, लेकिन बाहरी संसाधनों के साथ बातचीत करते समय?



एक और वास्तविक कहानी। सिस्को चुपके के अगले स्क्रीनशॉट पर एक नज़र डालें। इसमें आपको क्या आश्चर्य या परेशान करता है? बहुत NTP यातायात। शायद यह NTP के माध्यम से एक डेटा लीक है, जिसे कुछ लोग नियंत्रित करते हैं (DLP निश्चित रूप से नहीं करता है)। या शायद यह NTP के माध्यम से DDoS हमला है?



हमें एक विसंगति दिखाई देती है, लेकिन हम हमेशा यह बताने के लिए कि यह या उस संदिग्ध गतिविधि के साथ जुड़ा हुआ है, यह बताने के लिए Stealthwatch डेटा पर भरोसा नहीं कर सकता। कुछ मामलों में, Stealthwatch घटना संवर्धन कार्यक्षमता थ्रेट इंटेलिजेंस डेटा के साथ मदद करती है, लेकिन ऐसी परिस्थितियां हैं जिनके लिए अधिक विस्तृत जांच की आवश्यकता होती है। सिस्को स्टील्थवॉच आपको यह देखने का अवसर देती है कि आमतौर पर पारंपरिक सुरक्षा सुविधाओं से परे क्या होता है या उन्हें क्या दरकिनार किया जाता है। लेकिन विसंगतियों या दुरुपयोग की पहचान करना, हमारे पास तुरंत कई सवाल हैं:

• इस विसंगति का कारण क्या है?
• इसका स्रोत कौन है?
• क्या यह एक स्वतंत्र विसंगति या एक बड़ी घटना का हिस्सा है?
• इस विसंगति के साथ और क्या जुड़ा है?

स्टील्थवॉच से जानकारी प्राप्त करने के बाद, आपको अपने द्वारा उपयोग किए जाने वाले सभी थ्रेट इंटेलिजेंस स्रोतों के लिए प्रत्येक अलार्म की जांच करने की आवश्यकता है (सिस्को स्टेलवॉच में अंतर्निहित फीड्स के अलावा) और अन्य सुरक्षा सुविधाओं के साथ इसकी तुलना करें। यदि आपके पास CRM नहीं है, तो विशेषज्ञों के बीच भी यह एक अतिरिक्त और काफी लंबा समय लगता है। टीआई प्लेटफॉर्म के साथ अपने सहयोगियों की तरह, सिएम में बहुत पैसा खर्च होता है। इस दुविधा को कैसे हल करें?

सिस्को के पास एक समाधान है जिसके बारे में मैंने पहले ही एक से अधिक बार हैबे पर लिखा है - यह "बॉक्स से बाहर है" या सिस्को थ्रेट रिस्पांस - एक मुफ्त समाधान है जो आईएस विश्लेषकों के लिए सबसे अधिक काम करता है और विभिन्न सिस्को समाधान और समाधान से घटना डेटा प्राप्त करता है। तीसरी फर्म, स्वचालित रूप से उनकी तुलना करती है और विकास के पथ और सेकंड के एक मामले में घटना के पैमाने को प्रदर्शित करते हुए, विभिन्न TI स्रोतों से डेटा के साथ उन्हें समृद्ध करती है। CTR से, आप फ़ायरवॉल, हमले की रोकथाम प्रणाली, EDR- श्रेणी के समाधान या क्लाउड-आधारित DNS- ट्रैफ़िक मॉनिटरिंग टूल को उचित आदेश जारी करके पहचान की गई घटनाओं पर प्रतिक्रिया दे सकते हैं।

Stealthwatch पर नज़र रखने वाली विसंगतियाँ CTR हादसा प्रबंधक को भेजी जाती हैं, जो आपको इन आईबी घटनाओं को सिस्को फायरपावर, सिस्को एएमपी फॉर एंडपॉइंट्स, सिस्को थ्रेट ग्रिड, सिस्को अम्ब्रेला, सिस्को ईमेल सिक्योरिटी, आदि का उपयोग करके सुरक्षा अंतर्दृष्टि का उपयोग करने की अनुमति देता है। डैशबोर्ड, आप किसी भी विसंगति या घटना के लिए CTR के लिए एक अनुरोध भेज सकते हैं, जो आपके हित में है, CTR को सभी टेलीमेट्री दिए बिना और गोपनीय जानकारी प्रकट करने के जोखिमों को बढ़ाए बिना।



CTR को भेजी गई घटनाओं को फिर एक अतिरिक्त संदर्भ के साथ समृद्ध किया जाता है, जो CTR सुरक्षा के अन्य साधनों और कई बाहरी TI स्रोतों से प्राप्त करता है, उदाहरण के लिए, VirusTotal। CTR और Stealthwatch का एकीकरण विपरीत दिशा में भी काम करता है। उन साइटों के लिए जो आपको संदेहास्पद बनाते हैं या जो एंडपॉइंट के लिए सिस्को फायरपावर या एएमपी के लॉग में आते हैं, उदाहरण के लिए, आप सीटीआर से स्टील्थवॉच के लिए अनुरोध कर सकते हैं और उनके बारे में अधिक जानकारी प्राप्त कर सकते हैं।



हमारा एकीकरण आपको सीटीआर को एक एकीकरण बस के रूप में उपयोग करने की अनुमति देता है और इसके माध्यम से अन्य सिस्को उत्पादों के लिए अनुरोध करते हैं जो सीधे स्टेलवॉच के साथ एकीकृत नहीं हैं। उदाहरण के लिए, Stealthwatch में एक संदिग्ध होस्ट की पहचान करके, आप सिस्को एएमपी के लिए एंडपॉइंट समापन बिंदु सुरक्षा प्रणाली के लिए सभी संबंधित आईपी जानकारी का अनुरोध कर सकते हैं। आप इस सिस्को को बाहरी सिस्को तलोस टीआई स्रोत में सत्यापित कर सकते हैं (भले ही आपके पास सिस्को स्टेल्थवॉच थ्रेट इंटेलिजेंस लाइसेंस हो)।



केसबुक ब्राउज़र प्लगइन, जो आपको वेब पेजों से समझौता करने के सभी आवश्यक संकेतकों को स्वचालित रूप से अलग करने की अनुमति देता है, यह भी स्टालवॉच इंटरफ़ेस के लिए कर सकता है, जिससे जांच प्रक्रिया में तेजी आ सकती है और सभी आवश्यक जानकारी एकत्र करने में लगने वाले समय को कम किया जा सकता है। लेकिन गति घटनाओं की जांच करने और उनसे होने वाले नुकसान को कम करने में महत्वपूर्ण सफलता कारकों में से एक है।



Stealthwatch के बाद आप CTR में रुचि रखने वाली घटनाओं को स्थानांतरित करते हैं, एक घटना कार्ड बनाया जाता है जिसमें विसंगति के बारे में सभी आवश्यक जानकारी होती है, जो कि CTR द्वारा एकीकृत तृतीय-पक्ष समाधानों सहित सुरक्षा के अन्य साधनों से डेटा के साथ समृद्ध किया जा सकता है। यदि Stealthwatch खुद को सिस्को ISE के साथ एकीकृत करके हमलों को अवरुद्ध करने की अनुमति देता है, तो CTR खतरों को बेअसर करने के लिए व्यापक विकल्प प्रदान करता है - उन्हें सिस्को पावर के माध्यम से इंटरनेट पर सिस्को पावर के माध्यम से परिधि पर एएमपी के लिए एक विशिष्ट नोड पर अवरुद्ध किया जा सकता है।



यदि Stealthwatch आपको नेटवर्क उपकरण से प्राप्त नेटवर्क टेलीमेट्री डेटा पर आधारित विसंगति जांच करने की अनुमति देता है, तो CTR इस सुविधा का विस्तार करता है (और मुझे याद है कि CTR एक निशुल्क समाधान है) और आपको ग्राफिकल इंटरफ़ेस में अधिक संबंधित सुरक्षा घटनाओं को प्रदर्शित करने की अनुमति देता है, समझने के लिए। हमारे लिए ब्याज की मात्रा पीड़ित या खतरे का स्रोत है जब हमला शुरू हुआ, चाहे वह लक्ष्य हो या हम दुनिया भर के कई अन्य पीड़ितों के साथ वितरण के तहत गिर गए।



हमारे सिस्को 2019 CISO बेंचमार्क स्टडी के प्रति उत्तरदाताओं द्वारा नोट की गई समस्याओं में से एक सूचना सुरक्षा सेवा की गतिविधि में रोजमर्रा के कार्यों का खराब स्वचालन है। आईएस नेताओं के 79% ने कहा कि विभिन्न प्रकार के सुरक्षा उपकरणों से आईएस की घटनाओं के साथ काम करना 2018 की तुलना में अधिक कठिन हो गया है। Cisco Threat Response solution को स्वचालन के माध्यम से सिस्को की सूचना सुरक्षा तकनीक में निवेश से अधिक प्राप्त करने के लिए डिज़ाइन किया गया है, जिसे बॉक्स के ठीक बाहर हासिल किया गया है। यदि आपके पास अभी तक सीमेंस नहीं है, और सूचना सुरक्षा प्रणाली मुख्य रूप से सिस्को समाधानों पर बनाई गई है, तो आप नि: शुल्क सिस्को खतरा प्रतिक्रिया के साथ सेकॉप्स प्रक्रियाओं का निर्माण शुरू करने का प्रयास कर सकते हैं। इसके अलावा, CTR घटनाओं की जांच करने के लिए आवश्यक समय और प्रयास को काफी कम कर देता है, जिससे आपकी सूचना सुरक्षा कार्रवाई अधिक कुशल और प्रभावी हो जाती है।