АНАЛИЗ СУЩЕСТВУЮЩИХ СИСТЕМ ИНФОРМИРОВАНИЯ И УПРАВЛЕНИЯ СОБЫТИЯМИ БЕЗОПАСНОСТИ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ В КОРПОРАТИВНЫХ СЕТЯХ

Аннотация: Изучены существующие на рынке свободные SIEM решения. Описывается архитектура решения реализации системы информирования и управления событиями безопасности для корпоративных сетей

Ключевые слова: SIEM-решения, безопасность сетей, предотвращение вторжений, сенсоры безопасности, система управления.

В настоящее время широко внедряются технологии SIEM для анализа и управления сенсорами безопасности в компьютерных сетях. Существующие решения по защите сетей строятся на стандартном наборе инструментов: межсетевой экран, корпоративные антивирусы, система обнаружения атак, программа поиска известных уязвимостей, сетевой сканер и другие. Каждый из этих сенсоров отлично выполняет свои функции, выдавая внушительный объем информации. Анализировать и сопоставлять полученные данные приходится в полуавтоматическом режиме, т.к. от вида события зависит выбор следующего сенсора. В результате для полного понимания текущей обстановки в сети требуется перевернуть горы отчетов, созданных сенсорами, на что уходит невероятное количество времени.

SIEM или система информирования и управления событиями безопасности обеспечивает управление информационной безопасностью (SIM) и управление событиями безопасности (SEM). Классическое SIEM-решение, сочетающее в себе только инструменты по работе с журналами событий, поступающих от сенсоров (сбор, хранение, корреляция, проверка на соответствие требованиям, уведомление), является устаревшим. Сейчас от SIEM-решений требуются новые функции и механизмы, способные более быстро и точно не только выявлять, но и предотвращать инциденты ИБ, не ограничиваясь анализом данных только из журналов событий.

Важно понимать, что SIEM не может заменить системы предотвращения вторжений, межсетевые экраны, антивирусные технологии. При обнаружении атаки непосредственно SIEM не остановит её; она осуществляет связь с другими органами управления безопасности, и изменяет конфигурацию таким образом, чтобы блокировать вредоносную активность.

Организации следует рассматривать продукты SIEM неразделимо со всеми сенсорами безопасности. Такие решения существуют от многих поставщиков, каждый из которых создает продукт на основе собственных конкретных функциональных и эксплуатационных требований.

SIEM Bro считается одной из лучших систем мониторинга безопасности в сети. Её недостатками являются некачественные анализ и визуализация журналов безопасности. Лучшим инструментом анализа логов для этой системы - Logstash. Logstash использует простой в освоении и удобный интерфейс Kibana GUI для просмотра журналов.

Вторая система - Untangle, которая включает в себя защиту от спама, фильтрацию контента, антивирус, анти-фишинг, анти-шпион, средство обнаружения вторжений, межсетевой экран, веб-кэш. В режиме маршрутизатора или режиме моста, Untangle действует как прозрачный фильтр для трафика. Компьютеры в сети будут использовать Untangle в качестве шлюза и это заставит их трафик течь через систему, которая будет анализировать события в этом процессе.  Система может устанавливаться как на существующую рабочую станцию для дополнительной защиты, так и на выделенный сервер с полным набором компонент.

Система OpenNMS (Open Network Monitoring System) осуществляет мониторинг сервисов и внутренних систем сетевого и серверного оборудования. Система имеет доступ к информации о состоянии сетевых устройств. В системе упрощено добавление новых сетевых устройств и основан на их автоматическом обнаружении. OpenNMS имеет подробную документацию. Но несмотря на это конфигурирование системы является сложным занятием в виде правки большого количества файлов.