SIEM

Zibersegurtasun arloan, segurtasun-informazio eta gertaera-kudeaketa (Security information and event management, SIEM) software produktu eta zerbitzuak segurtasun-informazio kudeaketa  (Security Infromation Management ,SIM) eta segurtasun-gertaera kudeaketak (Security_event_manager) konbinatzen ditu. Aplikazio eta sare-dispositiboek sortutako alertak momentuan aztertzea ahalbidetzen dute.

 Laburpena 
SEM, SIEM eta SIM akronimoak nahastuak izan dira askotan . Momentuko monitorizazio, gertaeren korrelazio, notifikazio eta ikuskatzearekin zerikusia duen atala segurtasun-gertaera kudekata (SEM) bezala ezagutzen da. Bestalde, segurtasun-informazio kudeaketa (SIM) atalak informazioa luzaroan gordetzen du, SEM-ak bildutako beste informazioarekin batera. Esate baterako, log erregistroekin, eta beste segurtasun erregistroekin batera.

Erakundeak SIEM-aren gaitasuna osatzeko, datu handiko plataformak erabiltzen hasi dira, bertan informazio biltzea egiteko, baita datuen aztertzea gauzatzeko. Hauetako plataforma bat Apache Hadoop izan daiteke, non bertan milaka nodo dituen aplikazioak lanean jar daitezkeen eta petabyte datuak erabili.

SIEM terminoa Mark Nicolett eta Amrit Williams egileengatik sortua izan zen 2005ean zeinek hurrengo funtzionaltasunak batzen dituen,

 Sare eta segurtasun dispositiboen informazioa bildu, aztertu eta azaltzen du.
 Kalteberetasun kudeaketa eta politika-onespen lanabesa
 sistema eragile, aplikazio eta datu-base erregistroak
 mehatxu informazioa

Helburua erbailtzaile eta zerbitzu pribilegioak eta gainontzeko sistema-konfigurazioa monitorizatzea da. Beste helburua bat erregistro horniketa eta gertaerei erantzuna ematea da.

 Gaitasunak 
 Datu-agregazioa: Erregistro kuadeaketak informazioa batzen du datu-iturri desberdinetatik (sare, segurtasun, zerbitzari, datu-base eta aplikazio datuak barne) hauen ikuskatze aukerarekin gertaera garrantzitsurik dal ez dadin.
 Korrelazioa: atributu komunak bilatzen ditu eta gertaerak batzen ditu informazio baliagarria sortuz. HAu datu-iturri desberdinetatik datorren informazioarekin gauzatzen da, korrelazioa izanik SIEM soluzioen zati nagusienetakoa.
 Alertak: korrelazioaren erantzunak dira alertak, zeinak bai medio batetik bidaliak izan daitezkeen baita interfaze grafiko batean ikusi ere.
 Interfaze grafikoa: gertaeren informazioa azaltzen da ereduak aurkitu ahal izateko, baita ezohiko aktibitatea ikusteko.
 informazio-bilketa: korrelazioa ahalbidetzen duen denbora luzeko informazio bilketa posible bihurtzen du.

 Erabilera kasuak 
Chris Kubecka zibersegurtasun ikertzaileak, hurrengo erabilera kasuak identifikatu zituen, zeinak 28C3 (Chaos Communication Congress) konferentzian aurkeztu zituen:

 Zero eguneko kalteberatasunak hauteman eta ikusarazi dezake. Hauek antibirusakin ezin dira antzeman.
 Erregistro normalizazioa, parseoa eta kategorizazioa automatizatu daiteke, hauen tiurburua zein den jakin behar izan gabe.
 Ezkutatuta, enkriptatuta eta maleziatsuak dire komunikazioak detekta ditzake.
 Gerra zibernetikoak geldi ditzake, bai biktima bai erasotzailea hautemanez.

 Alerta-abisu adibideak 
SANS Institutuko David Swift-ek monitorizatu daitezkeen aktibitateei buruz idatzi zuen, baita gertaeren korrelazioa erebiliz idatzi zitezkeen erregelei buruz ere. Bakoitzaren erara egokitutako erregela batzuk hurrengo taulan azaltzen dira, zeinetan erabiltzaile autentikazio erregelak edota eraso detekzioa ager daiztezkeen:
+ErregelaHelburuaArrazoiaGertaeraEraso errepikatua - Login iturriaIndar bortitzeko erasoa, pasahitz asmaketa eta gaizki konfiguratutako aplikazioen inguruan abisua emateaIturri batetik minutu batean login saiakerak 3 edo gehiago izateaDirektorio aktibo, Syslog, RADIUS, TACACS, monitorizatutako aplikazioakEraso errepikatua - SuhesiaEskaneatze abisuak emateaMinutu batean IP helbide batetik suhesian 15 arbuiatu/uko egin motako gertaerakSuhesiak, bideratzaileakEraso errepikatua - Sare intrusio prebentzio sistemaEskaneatze abisuak emateaMinutu batean IP helbide batetik 7 IDS motako alertak jasotzeaSare intrusioko detekzio eta probentzio gailuakEraso errepikatua - Ekipo intrusio prebentzio sistemaInfektatuta daude ekipoak aurkitzeaMinutu batean IP helbide batetik 3 gertakizun edo gehiago jasotzeaEkipo intrusio prebentzio sistemakBirus detekzioa eta ezabatzeaBirus, programa espioi edo bestelako programa maleziatsuEkipoak maleziatsua den programa zati bat ikusten dueneanAntibirus, ekipotan intrusio prebentzioa egiten duen softwarea

 Ahoskatzea 
SIEM akronimoa SIM edo SEEM bezala ahoskatzen da.

 Erreferentziak 

 Ikus, gainera 
 IT arriskuak
 Erregistro kudeaketa
 Segurtasun gertaera kudeatzailea
 Segurtasun informazio kudeaketa

 Kanpo estekak 

Kategoria:Segurtasun softwarea
Kategoria:Datuen segurtasuna