SIEM i SOAR - profesjonalne narzędzia służące cyberbezpieczeństwu

SIEM (Security Information and Event Management) to automatyczne rozwiązanie informatyczne monitorujące infrastrukturę IT w celu wykrywania i reagowania na zagrożenia bezpieczeństwa. W skład SIEM wchodzą różne narzędzia, np. modele sieci neuronowych, które służą do wykrywania anomalii i podejrzanych zachowań użytkowników, a także agregaty wiedzy, które pozwalają na korelację danych dla podejrzanych kont użytkowników systemu. Zestawienie zdarzeń, które oceniane są na podejrzane skutkuje zwykle wystąpieniem alertu lub wysłaniem informacji do SOAR, a następuje to najczęściej na podstawie ustalanych reguł biznesowych.

Architektura SIEM zapewnia podstawowe funkcje, takie jak:

• Zbieranie i przetwarzanie logów
• Monitorowanie i analiza zdarzeń
• Korelacja wiedzy
• Powiadamianie i tworzenie raportów

W zależności od konfiguracji i potrzeb organizacji, SIEM może zbierać różnego rodzaju informacje i zdarzenia. Mogą to być:

• Logi systemowe, w tym logi zdarzeń i dzienniki systemowe,
• Informacje o zdarzeniach związanych z bezpieczeństwem, przykładowo: próby logowania, zachowanie użytkowników lub inne wykryte zagrożenia,
• Dane z urządzeń sieciowych: Informacje z urządzeń sieciowych, takie jak routery, przełączniki, firewalle,
• Logi z poszczególnych aplikacji: Na przykład logi błędów.

Systemy SIEM są integrowane z wieloma innymi narzędziami w celu zapewnienia jak najszerszego kontekstu i jak najbardziej szczegółowej wiedzy o zdarzeniach w infrastrukturze sieciowej. SIEM może być zintegrowany z protokołami zdarzeń zainstalowanymi na urządzeniach sieciowych, np. Syslog.

Ponadto SIEM może współpracować z wieloma zewnętrznymi narzędziami do gromadzenia i przetwarzania informacji o zdarzeniach, typu: Elasticsearch, Splunk, Apache Kafka; a także z bazami i hurtowniami danych, w których odkładane są przydatne informacje. W wielu rozwiązaniach możliwe jest wykorzystanie innych narzędzi cyberbezpieczeństwa, takich jak: programy antywirusowe, firewalle, inne systemy generujące alerty czy na przykład systemy EDR (Endpoint Detection and Response), dzięki którym na urządzeniach końcowych instalowane są agenty EDR służące monitorowaniu bieżących zdarzeń.

W celu wdrożenia architektury SIEM w organizacji oprócz zintegrowania narzędzia ze źródłami logów konieczne jest zdefiniowanie reguł biznesowych służących do wykrywania zdarzeń składających się na konkretny atak lub niebezpieczne zachowanie. Reguły pozwalają oprócz wykrywania podejrzanych zdarzeń na zdefiniowanie automatycznych i skutecznych reakcji na dany incydent. Fakt ten sprawia, że są jedną z najistotniejszych części architektury SIEM.

W najbardziej typowym podejściu SIEM będzie potrafił generować alerty oraz raporty. Co jednak w sytuacji, gdy infrastruktura informatyczna padnie ofiarą długotrwałego, rozproszonego ataku hakerskiego. Być może będzie to atak wymierzony w konta użytkowników lub pracowników, których są tysiące, a może nawet miliony.

Atak będzie pochodził z wielu niezależnych przestrzeni sieciowych, a należy liczyć się z tym, że tego typu ataki mogą wystąpić codziennie. W takiej sytuacji niemożliwym jest obsłużenie przez pracowników działu bezpieczeństwa wszystkich alertów. Zostaną oni "zasypani" alertami, co najprawdopodobniej wpłynie negatywnie na jakość ich pracy, przez co każdy z incydentów będzie traktowany pobieżnie, o ile nie będzie pomijany.

Rozwiązaniem tego problemu jest SOAR (Security Orchestration, Automation and Response), czyli narzędzie do zarządzania zdarzeniami bezpieczeństwa, które integruje różne systemy związane z bezpieczeństwem, w celu umożliwienia szybkiego reagowania na zagrożenia.

SOAR automatyzuje procesy związane z bezpieczeństwem, aby zminimalizować czas reakcji na zagrożenia. Działa na zasadzie reguł, które definiują, jakie akcje należy podjąć w przypadku danego zdarzenia bezpieczeństwa.

Przykładowo SOAR może powiadamiać pracowników działu bezpieczeństwa, administratorów oraz właścicieli kont lub urządzeń sieciowych, dla których wystąpiło niebezpieczne zdarzenie. W przypadku infekcji złośliwym oprogramowaniem urządzenia końcowego SOAR może: odizolować zainfekowane urządzenie od reszty sieci, uruchomić procedurę automatycznego usuwania oprogramowania wirusowego lub przywracania kopii zapasowej. Poza tym SOAR może przeszukać logi z innych urządzeń w celu wykrycia czy podobna infekcja na nich nie występuje.

Z kolei gdybyśmy mieli do czynienia z atakiem na konta użytkowników systemu, możliwe jest odcięcie atakującej przestrzeni adresów IP, blokowanie kont w celu uniemożliwienia dalszego rozwoju negatywnych zdarzeń. Dodatkowo SOAR zebrałby informacje o przyczynie i źródle ataku - jeśli przyczyną ataku był phishing SOAR namierzałby innych odbiorców podejrzanych wiadomości e-mail/SMS-ów, usuwał niebezpieczne treści i powiadamiał użytkowników o incydencie.

Na rynku większość rozwiązań klasy SIEM oferuje możliwość integracji z różnymi platformami SOAR, aby zapewnić pełny wgląd w zdarzenia związane z bezpieczeństwem IT i umożliwić automatyzację oraz orkiestrację działań w oparciu o te dane. Można też spotkać rozwiązania łączące w sobie możliwości obu platform: SIEM i SOAR, co może być istotną zaletą z racji tego, iż w jednym produkcie, pochodzącym od jednego producenta mamy tak szerokie możliwości.

Implementacja narzędzi klasy SIEM/SOAR powinna być rozważana przez organizacje, które posiadają wielu użytkowników, wiele urządzeń i systemów informatycznych, a także te, które przechowują dużą ilość poufnych informacji. Wdrożenie narzędzi SIEM/SOAR może być szczególnie istotne dla organizacji z branży finansowej, opieki zdrowotnej, energetycznej oraz dla sektora rządu i wojska. Niestety z racji wielu zalet i sporej innowacyjności systemów SIEM/SOAR, ceny takich rozwiązań są bardzo wysokie.