सिएम सिस्टम: क्या ओपनसोर्स के लिए कोई संभावनाएं हैं?

मैं इस लेख को पढ़ने वाले सभी लोगों का स्वागत करना चाहता हूं।
प्रारंभ में, मैं "सैंडबॉक्स" ( habrahabr.ru/post/157183 ) पर लेख "ओएसएसआईएम सुरक्षा प्रबंधन प्रणाली" पर टिप्पणी करना चाहता था, लेकिन टिप्पणी बहुत बड़ी थी। मुख्य प्रश्न यह है कि ओएसएसआईएम किस प्रकार के एसईएम से संबंधित है?
अब कई लोगों की रुचि कोलम्बिया में है, लेकिन उनमें से एक विचार मुख्य रूप से सुंदर मार्केटिंग पत्रक से बनता है। ज्यादातर मामलों में, ये पत्रक "प्रश्न की आवश्यकता क्यों है, हम खराब जवाब देते हैं" हमें एक विशिष्ट "आधुनिक" कोलम्बिया उत्पाद के विज्ञापन पर अधिक ध्यान देना चाहिए।

और अब क्या "आधुनिक" सिएम उत्पाद माना जा सकता है? आइए देखें कि क्या आम तौर पर सीएमडी सिस्टम हैं। फिलहाल, 2 पीढ़ियों के सिस्टम हैं। ज्यादातर मामलों में दूसरी पीढ़ी को "नेक्स्ट-जेनेरेशन कोलम्बिया" कहा जाता है।
आइए देखते हैं कि पहली पीढ़ी के CRM में क्या हैं:

यहां जानिए नेक्स्ट-जेनेरेशन के सीएम कौन से हैं:


जैसा कि आप देख सकते हैं, दूसरी पीढ़ी के कोलम्बिया को बड़ी संख्या में स्रोतों की विशेषता है और उन्हें "आपातकालीन" स्थितियों का जवाब देने का अवसर मिला: उदाहरण के लिए, यदि उपयोगकर्ता ने अचानक गतिविधि बदल दी (पहले वह सिर्फ HTTP का उपयोग करके पृष्ठों को देखता था, लेकिन अब वह सक्रिय रूप से अन्य माध्यम से ट्रैफ़िक चला रहा है। प्रोटोकॉल, उदाहरण के लिए) - यह एक "घटना" उत्पन्न करने का एक अवसर है। इसके अलावा, नेक्स्ट-जेनेरेशन सेगमेंट अतिरिक्त हार्डवेयर या सॉफ़्टवेयर का उपयोग करके नेटवर्क के माध्यम से गुजरने वाले ट्रैफ़िक का विश्लेषण करने में सक्षम है (एक निशुल्क सीएमआर सर्वर नेटवर्क कार्ड को "निष्क्रिय" मोड में स्थानांतरित करके), एप्लिकेशन गतिविधि की निगरानी करें - और यह, शेष मुख्य फ़ंक्शन के अलावा, "लॉग एकत्रित करना" स्रोतों से ”और“ घटनाओं का विश्लेषण ”। नेक्स्ट-जेनेरेशन के सेग्मेंट्स वर्चुअल इन्फ्रास्ट्रक्चर को भी ट्रैक कर सकते हैं, जो पहली जनरेशन की सेग्मेंट हमेशा अच्छा नहीं करती हैं।
और विश्लेषण स्वयं अधिक बुद्धिमान हो गया है - "अपराधों" की संख्या, जिसे एक विशेषज्ञ द्वारा जांचने की आवश्यकता है, जब दूसरी पीढ़ी के कॉलेजों का उपयोग करते हुए, लगभग 25-30% कम हो जाता है, यह इस तथ्य के कारण प्राप्त होता है कि नियमित संचालन के कुछ आंकड़े पहले से ही जमा हो गए हैं, कुछ "एटिपिकल" ऑपरेशन के लिए प्रतिक्रिया सीमा (कहते हैं, उपयोगकर्ता 1 आमतौर पर smtp के माध्यम से दस्तावेजों को संपादित और भेजता है, लेकिन अगर वह अचानक भेजने के लिए एक अलग प्रोटोकॉल का उपयोग करना शुरू कर देता है, तो एक घटना जिसे ध्यान देने की आवश्यकता है वह तुरंत उत्पन्न नहीं होगी। और केवल जब इस तरह की घटनाओं की एक निश्चित आवृत्ति सीमा (या राशि) पर काबू पाने। बेशक, दर्ज आंकड़ों नेटवर्क गतिविधि, आदि)।
लेकिन! कई प्रबंधकों का दावा है कि अगर आपके पास सिएम% siem_name% है, तो DLP, IDS, भेद्यता बैनर आदि को स्थापित करने की कोई आवश्यकता नहीं है। वास्तव में, ऐसा नहीं है। नेक्स्ट-जेनेरेशन CRM नेटवर्क स्ट्रीम में किसी भी विसंगति को ट्रैक कर सकता है, लेकिन यह एक सामान्य विश्लेषण नहीं कर सकता है। वास्तव में, अन्य सुरक्षा प्रणालियों के बिना, RM बेकार है। कोलम्बिया का मुख्य लाभ - लॉग का संग्रह, भंडारण और विश्लेषण - इन समान लॉग के स्रोतों के बिना 0 पर कम हो जाएगा।
पत्रक में एक लगातार वाक्यांश "सिएम% siem_name% - कार्यान्वयन की आसानी और गति, झूठी सकारात्मक की एक न्यूनतम, मौजूदा सुरक्षा उपकरणों के पुन: कॉन्फ़िगर करने की आवश्यकता नहीं है ..."। ऐसा नहीं है। आप निश्चित रूप से, कम से कम सामंजस्य के साथ प्राप्त कर सकते हैं - उपकरणों और सुरक्षा प्रणालियों से घटनाओं की पूरी धारा को पुनर्निर्देशित करके सिएम से। ठीक से कॉन्फ़िगर किए गए CRM पर, यह झूठी सकारात्मकता की संख्या में उल्लेखनीय वृद्धि का कारण नहीं होगा, लेकिन यह गंभीरता से डेटाबेस सर्वर को लोड करेगा (और डेटाबेस बढ़ने का कारण होगा)। जो अंत में डेटाबेस रखरखाव समय में वृद्धि का परिणाम देगा और, संभवतः, कुछ वास्तव में महत्वपूर्ण सुरक्षा घटनाओं का मार्ग। इसलिए, यह सोचने के लिए आवश्यक होगा कि मौजूदा उपकरणों से सिएम को क्या भेजा जाए, और मौजूदा सुरक्षा प्रणाली की दया पर क्या छोड़ना है। उदाहरण - आप सीधे उपयोगकर्ता के पीसी पर स्थापित एंटीवायरस के सभी लॉग को पुनर्निर्देशित कर सकते हैं - डेटाबेस को अपडेट करने के बारे में घटनाओं सहित - लेकिन क्या आपको इसकी आवश्यकता है? खासकर जब आप विचार करते हैं कि कुछ स्रोत एक ही प्रकार या आवर्ती घटनाओं को उत्पन्न कर सकते हैं। बेशक, ज्यादातर मामलों में, CRM उन्हें संयोजन करने की संभावना प्रदान करता है, लेकिन इससे फिर से CRM सर्वर पर अनावश्यक भार पड़ता है।
प्रवाह-धाराओं (नेटफ्लो, एसफ्लो, आदि) को इकट्ठा करने की क्षमता पर विशेष ध्यान दिया जाना चाहिए - नेटवर्क पर यातायात के बारे में अनावश्यक जानकारी काटने के लिए एक उपयोगी चीज और, उसी समय, नेटवर्क से सीधे प्राप्त नेटवर्क की स्थिति के बारे में अतिरिक्त उपयोगी जानकारी प्राप्त करना। उपकरणों।
जैसे कोई आसान कार्यान्वयन नहीं है। शुरू करने से पहले, आपको बहुत सारे विश्लेषणात्मक कार्य करने की आवश्यकता है, यह निर्धारित करें कि कौन सी घटनाएं महत्वपूर्ण हैं, जो नहीं हैं, आदि।
अंततः - सवाल यह है कि - इस वर्ग की प्रणालियों की आवश्यकता किसे है? ये सिस्टम, लेखक की राय में, उन लोगों के लिए आवश्यक हैं जिनके पास एक बड़ा नेटवर्क इन्फ्रास्ट्रक्चर है और जो कम से कम किसी तरह की घटनाओं को व्यवस्थित करना चाहते हैं और घटनाओं के बारे में जानते हैं। लेकिन एक ही समय में, यह उच्च लागतों के लिए तैयार है, ऐसी प्रणालियों का भुगतान तात्कालिक नहीं है, पहली नज़र में लाभ, स्पष्ट नहीं हैं। इसके अलावा, ये सिस्टम हार्डवेयर की मांग कर रहे हैं। हालांकि एक पत्रक में एक सफल वाक्यांश था: "सर्जियो सीआईओ को व्यावसायिक भाषा में आईटी समस्याओं की व्याख्या करने की अनुमति देता है।" इसके अलावा, ये सिस्टम हार्डवेयर पर मांग कर रहे हैं।
वाक्यांश बिना कारण के नहीं है: आधुनिक सिएम द्वारा बनाई गई रिपोर्टें, न केवल विभिन्न स्वरूपों में, बल्कि एक विशेष संगठन की आवश्यकताओं के लिए भी अनुकूलन योग्य हैं, जो आपको अक्सर ए 4 प्रारूप के दो या तीन शीटों पर सभी आवश्यक डेटा प्राप्त करने की अनुमति देती हैं, जो स्पष्ट और सहज ज्ञान युक्त ग्राफ़ के रूप में प्रस्तुत की जाती हैं। अंक।
अंत में, मैं संक्षेप में प्रस्तुत करना चाहता हूं: सिएम (या उत्पाद जो खुद को ऐसे कहते हैं) - बहुत कुछ। लेकिन, चूंकि वे केवल बड़े ग्राहकों के लिए सस्ती हैं, इसलिए वे नेताओं पर ध्यान देंगे। आज केवल 3 निरपेक्ष नेता हैं: आर्कसाइट ईएसएम, क्यूमर्डार सेगमेट्स (आईबीएम Q1 लैब्स से), मैक्फी ईएसएम (पूर्व में नाइट्रो व्यू ईएसएम)। वे गार्टनर के अनुसार लॉगररिड और नेटआईक्यू के एक दिलचस्प विकास को भी शामिल कर सकते हैं।
इस के प्रकाश में, यह स्पष्ट नहीं है कि ओपन-सोर्स केएमईजी सिस्टम के लिए क्या संभावनाएं हैं, जो कि अधिकांश भाग के लिए, पहली पीढ़ी के हैं, मेरी राय में, यह ऐसा उत्पाद नहीं है जिसे नियमित अपडेट के रूप में लाभ खोने के जोखिम के बिना आसानी से ओपन-सोर्स द्वारा प्रतिस्थापित किया जा सकता है। और योग्य समर्थन। दूसरी ओर, OpenBSD का एक सकारात्मक उदाहरण है ...
और क्या आपको लगता है कि अब खुले स्रोत के लिए संभावनाएं हैं।

PS> हाल ही में, मैंने सोचा था कि सिएम पर कोई सरल और समझने योग्य लेख नहीं थे, यह देखकर खुशी हुई कि इस स्थिति को धीरे-धीरे ठीक किया जा रहा था। Securitylab.ru पर, "Analytics" खंड में, सेमेस्टर पर लेखों की एक श्रृंखला है, मेरे विचार से अनिवार्य लेखों की श्रेणी से लेख पढ़ने से पहले। काम करते हैं। वे इस वर्ग के सिस्टम के संचालन के सिद्धांत को अच्छी तरह से समझाते हैं।