Καλώς ήρθατε πίσω.
Μάθατε πώς να εντοπίζετε Indicators of Compromise.
Τώρα ας δούμε πώς οι οργανισμοί παρακολουθούν τα συστήματα
συνεχώς για να εντοπίζουν απειλές καθώς συμβαίνουν.
Σε αυτό το μάθημα θα παρουσιάσουμε τα συστήματα Security Information and Event Management
(SIEM) ισχυρές πλατφόρμες που συλλέγουν,
αναλύουν και ειδοποιούν για περιστατικά ασφαλείας σε όλη την επιχείρηση.
Το Security monitoring είναι η πρακτική της συνεχούς παρακολούθησης
δραστηριότητας σε όλο το δίκτυο, τα συστήματα και τις εφαρμογές σας.
Βοηθά στον εντοπισμό ύποπτων logins,
ασυνήθιστης κίνησης,
συμπεριφοράς malware,
εσωτερικής κατάχρησης.
Το Monitoring σάς δίνει ορατότητα σε πραγματικό χρόνο (real time visibility) στο τι συμβαίνει
και βοηθά στον εντοπισμό απειλών πριν εξαπλωθούν.
Ένα σύστημα SIEM σημαίνει Security Information and Event Management.
Είναι μια κεντρική πλατφόρμα που συλλέγει logs και δεδομένα
από πολλαπλές πηγές, συσχετίζει γεγονότα για να βρει μοτίβα,
παράγει alerts για ύποπτη ή υψηλού κινδύνου δραστηριότητα.
Δημοφιλή εργαλεία SIEM περιλαμβάνουν το Splunk,
QRadar, ArcSight, και Microsoft Sentinel.
Ένα SIEM συγκεντρώνει
δεδομένα από πολλές πηγές, συμπεριλαμβανομένων firewalls και routers,
λειτουργικών συστημάτων, και file servers,
εργαλείων antivirus και EDR,
εφαρμογών όπως email και cloud platforms.
Όσο περισσότερα δεδομένα τροφοδοτείτε στο σύστημα,
τόσο πιο ολοκληρωμένη γίνεται η ορατότητά σας.
Να πώς ένα SIEM μπορεί να εντοπίσει μια επίθεση.
1. Ένα login συμβαίνει από μια νέα χώρα στις 3:12 π.μ.
2. Δέκα λεπτά αργότερα,
ο ίδιος χρήστης αποκτά πρόσβαση σε ευαίσθητα δεδομένα.
3. Το SIEM συσχετίζει αυτά τα γεγονότα και ενεργοποιεί ένα alert.
Ο αναλυτής βλέπει την πλήρη εικόνα σε ένα μέρος,
ερευνά και κλιμακώνει αν χρειαστεί.
Χωρίς ένα SIEM, αυτά τα στοιχεία μπορεί να χάνονταν σε ασύνδετα logs.
Στους περισσότερους οργανισμούς,
τα SIEMs είναι το κεντρικό νευρικό σύστημα του Security Operations Center (SOC).
Οι SOC analysts παρακολουθούν το SIEM dashboard
εξετάζοντας alerts, ερευνώντας ανωμαλίες,
κλιμακώνοντας πραγματικές απειλές στην Incident Response Team.
Ένα καλά ρυθμισμένο SIEM βοηθά στη μείωση του θορύβου, στην ανάδειξη πραγματικών κινδύνων,
και στην καθοδήγηση γρήγορων αποφάσεων.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη ποιος είναι ο σκοπός ενός συστήματος SIEM;
Α αποθηκεύει κωδικούς πρόσβασης με ασφάλεια.
Β φιλοξενεί εταιρικές ιστοσελίδες.
Γ συλλέγει και αναλύει περιστατικά ασφαλείας.
Δ διαγράφει αχρησιμοποίητα αρχεία.
Παύση.
Η σωστή απάντηση
είναι Γ. Ένα SIEM συλλέγει και συσχετίζει
γεγονότα από πολλαπλές πηγές για τον εντοπισμό ύποπτης δραστηριότητας.
Ερώτηση δύο γιατί είναι σημαντικό το συνεχές security monitoring;
Α για τη μείωση του χρόνου εκκίνησης του συστήματος.
Β για τον εντοπισμό απειλών πριν κλιμακωθούν.
Γ για τη συμπίεση αρχείων log.
Δ για την απεγκατάσταση παλιού λογισμικού.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι
Β. Το Security monitoring βοηθά στο να πιαστούν επιθέσεις σε εξέλιξη πριν συμβεί μεγάλη ζημιά.
Τελευταία ερώτηση ποια πηγή δεδομένων
τροφοδοτείται συνήθως σε ένα SIEM; Α επίπεδα
μελάνης εκτυπωτή.
Β προγράμματα γευμάτων εργαζομένων.
Γ firewall logs και γεγονότα συστήματος.
Δ προσκλήσεις ημερολογίου.
Παύση και σκεφτείτε.
Η σωστή
επιλογή απάντησης είναι Γ. Τα SIEMs εισάγουν logs από συστήματα,
εφαρμογές, firewalls, και άλλα για τον εντοπισμό ζητημάτων ασφαλείας.
Εξαιρετική δουλειά.
Τώρα ξέρετε πώς τα SIEMs και τα εργαλεία security monitoring δίνουν στους αμυνόμενους
ορατότητα σε πραγματικό χρόνο και βοηθούν τους αναλυτές να εντοπίζουν απειλές γρήγορα.
Στη συνέχεια, περνάμε από τον εντοπισμό στην απόκριση.
Τι συμβαίνει αφού επιβεβαιωθεί μια απειλή;
Ας ξεκινήσουμε την επόμενη φάση μας.
Incident response fundamentals.