کتاب شناخت و استفاده از splunk siem

 دنیای امروز، جهان سایبری است که در حجم گسترده ای تمام شئون زندگی ما را فرا گرفته است. هر روزه حملات انجام شده از سوی بدخواهان بر روی اشخاص، سازمانها و کشورها پیچیده تر میگردد. در میانه این پیچیدگی، لازم است روش های دفاع (مخصوصأ كشف نفوذ و مدیریت حادثه هم ارتقاء یابند. ابداع و استفاده از Threat Intelligence و Deception از جمله تلاشهای متخصصین امنیت برای بهتر کردن كشف تفوذ است که در کتاب به آنها پرداخته ایم. اما در عین حال این متخصصان با حجم بالایی از داده های فناوری های فوق و سایر تجهیزات و نرم افزارهای امنیتی روبرو هستند. برای کمک به پردازش این حجم از لاگ و داده، ساختارهای دیتابیسی معمول از کارایی کافی برخوردار نیستند لذا Bigdata به کمک آمده است. محصول Splunk که از زیرساخت داده های عظیم پشتیبانی میکند می تواند راهکار اجرایی برای پردازش این حجم از داده، كشف نفوذ و مدیریت حوادث امنیتی باشد. رشد سریع Splunk در جدول گارتنر در چند سال اخیر نشان از عملکرد بهینه این SIEM و رضایت بالای استفاده کنندگان است. هنگامیکه نرخ رویداد بر ثانیه (EPS) درSOC بالا می رود راهکارهای مبتنی بر دیتابیس های رابطه ای کارا نمی باشند مشکلی که گریبانگیر برخی SIEMها است زیرساخت قدرتمند اسپلانک از نظر اخذ و ذخیره سازی ماشینی بعلاوه امکان توسعه App و Add - On ها به توسعه گران و از سویی مدیران SOC اجازه داده است طیف وسیعی از نیازها را بتوانند در زمان کوتاهی از طریق اسپلانک پیاده سازی کند. این نیازها در حوزه توسعه سنسورها در زیرساخت، پارس و نرمال سازی لاگ، ذخیره سازی، گزارش گیری سریع و پیاده سازی انواع Usecaseها میباشد. توسعه گران در سراسر جهان هر روزه بر روی زیرساخت اسپلانک Appهای متنوعی را تولید و بعضا بصورت رایگان در اختیار همگان قرار می دهد. به یک مرکز عملیات امنیت برای انجام وظایف خود نیازمند زیرساخت مناسب و فرآیندهای بالغ و نیروی انسانی کارامد است. دیده میشود مفهوم SOC به پیاده سازی SIEM محدود می گردد و خود آن SIEM هم بنا به ناتوانی ذاتی یا پیاده سازی غلط یا نبود ادمین باسواد امکان ارایه خدمت به سازمان را بصورت کارا ندارد..

بارها در کلاس های مختلف امنیت اطلاعات خصوصأ دوره های اختصاصی SOC تأکید کرده ام که هدف و از راه اندازی مرکز عملیات امنیت کاهش «فاصله لحظه وقوع رخداد تا لحظه کشف» و «فاصله کشف تا رفع و مقابله» است. این دو جمله در عین سادگی بار معنایی بالایی دارند که تلاش بسیار و هزینه بالایی بعضا برای پیاده سازی آنها می طلبد و حتی در برخی مواقع بدلیل نبود زیرساخت و فرهنگ قابلیت اجرایی ندارند.

SOC شما بایستی نیروی انسانی در سطح های ۱ و ۲ و ۳، مدیر و شکارچی داشته باشد. به یک SIEM قدرتمند و سایر ابزارها مجهز بوده و فرآیندهای بالغ داشته باشد. برای اطلاع از زیرساخت های مورد نیاز SOC به انتهای کتاب و سایر کتابهای گروه آموزشی پژوهشی روزبه مراجعه نمایید. -

SOC بصورت کامل به همراه مقولاتی چون Threat intelligence و Deception جزیی واجب در پازل امنیتی سازمان است. مشکل بزرگ در حال حاضر عدم وجود نیروی متخصص در رده های مختلف به اندازه کافی و سوء مدیریت است. پروژه های SOC هم در اجرا هم در تحویل به مشتری پیچیده هستند و - اصولا پارامترهای بسیاری برای هدایت صحیح این پروژه ها بایستی مدنظر قرار گیرند.