🛁 👩🏼‍🤝‍👨🏾 💼 सूचना सुरक्षा स्वचालित घटना प्रतिक्रिया मंच 👵🏻 👩‍🎓 Ⓜ️

एक बड़ी कंपनी में सूचना सुरक्षा के लिए एक विशिष्ट स्थिति केंद्र की कल्पना करें। एक आदर्श दुनिया में, सॉफ्टवेयर संदिग्ध गतिविधि का पता लगाता है, और "व्हाइट हैकर्स" की टीम कीबोर्ड पर अपने हाथों को टैप करना शुरू कर देती है। और ऐसा महीने में एक बार होता है।

वास्तविक दुनिया में, ये सैकड़ों झूठे सकारात्मक और थकाऊ सहायक कर्मचारी हैं। उन्हें प्रत्येक घटना से निपटने के लिए मजबूर किया जाता है जब उपयोगकर्ता पासवर्ड भूल गया है, खेल को एक धार से डाउनलोड नहीं कर सकता है, * .exe प्रारूप में एक और फिल्म, नेटवर्क विफलताओं को देखें और आम तौर पर कई स्थितियों की जांच करें।

सिएम सिस्टम स्रोतों से घटनाओं को व्यवस्थित और सहसंबंधित करने में मदद करता है। और वे सकारात्मकता उत्पन्न करते हैं, जिनमें से प्रत्येक के साथ निपटा जाना चाहिए। इनमें से "सभी", बहुमत झूठे हैं। आप अलार्म प्रसंस्करण के लिए स्क्रिप्ट होने, दूसरी ओर इस मुद्दे पर संपर्क कर सकते हैं। हर बार जब कुछ काम करता है, तो अलार्म का कारण न होना अच्छा होगा, और फिर अलग-अलग डेटा के लिए चार से पांच सिस्टम में चढ़ जाएं, और तुरंत स्वचालित रूप से संपूर्ण निदान एकत्र करें।

हमने इस तरह के ऐड-ऑन किए, और इससे ऑपरेटरों पर भार कम करने में बहुत मदद मिली। क्योंकि जानकारी एकत्र करने की लिपियों को तुरंत लॉन्च किया जाता है, और यदि कोई विशिष्ट कार्य होता है, तो उन्हें तुरंत लिया जाता है। यही है, यदि आप सिस्टम शुरू करते हैं "तो ऐसी स्थिति में, हम ऐसा करते हैं और", तो ऑपरेटर के लिए कार्ड पहले से काम कर चुके स्थिति के लिए खुल जाएगा।

सिएम सिस्टम में क्या गलत है?

कच्चे डेटा के साथ ऑफसेट की सूची अत्यधिक भरी हुई है। भरने के लिए एक विशिष्ट घटना कार्ड हमारे मंच पर स्थानांतरित कर दिया जाता है।

विशिष्ट मामलों में नमूना प्रतिक्रिया प्रवाह होता है।

उदाहरण के लिए, उपयोगकर्ता प्रमाणीकरण त्रुटियों के बारे में डेटा विश्लेषण रिपोर्ट:

झूठी सकारात्मकता के लिए मानदंड हैं: उदाहरण के लिए, मैंने इसे दो बार आज़माया - मैं तीसरे से गया। उपयोगकर्ता को केवल एक पत्र प्राप्त होता है जिसमें कहा जाता है कि पासवर्ड सावधानी से टाइप किया जाना चाहिए, टिकट बंद हो जाता है। यदि उसने पांच या छह बार कोशिश की, तो विस्तृत जानकारी पहले से ही इकट्ठा होना शुरू हो गई है: आगे क्या हुआ, इससे पहले क्या हुआ, और इसी तरह। यदि वह 10 वीं बार लॉग इन हुआ, और फिर ज्ञानकोष में गया और 10 फ़ाइलों को डाउनलोड करना शुरू कर दिया, तो कार्यवाही के अंत तक "ज्ञान के आधार तक पहुंच को अवरुद्ध करने और ऑपरेटर को सूचित करने" के लिए एक सेटिंग हो सकती है। सबसे अधिक संभावना है, अगर उपयोगकर्ता दुर्भावनापूर्ण नहीं है, तो इस मामले में आईटी विभाग स्वचालित रूप से विवरण के साथ एक ईमेल प्राप्त करेगा। शायद वे उपयोगकर्ता को सही ढंग से पासवर्ड दर्ज करने या इसे बदलने में मदद करने के लिए सिखाएंगे।

यदि गतिविधि अधिक खतरनाक है, तो स्तर "मेल में निष्पादन योग्य फ़ाइल खोल दिया, और फिर कुछ वेब पर रेंगना शुरू कर दिया", तो एक संपूर्ण खंड या सबनेट स्वचालित रूप से अवरुद्ध हो सकता है। हां, डिएगो अपने दम पर ऐसा कर सकता है, लेकिन फाइन-ट्यूनिंग के बिना, शायद, ऐसे उपाय स्वचालन की सीमा है।

फिर से, एक आदर्श दुनिया में, ऑपरेटर की सभी प्रणालियों तक पहुंच होती है और तुरंत जानता है कि क्या करना है। वास्तविक दुनिया में, उसे अक्सर किसी को कुछ स्पष्ट करने के लिए जिम्मेदार खोजने की आवश्यकता होती है। और वह छुट्टी पर या एक बैठक में भी है। इसलिए, एक और महत्वपूर्ण हिस्सा - प्रतिक्रिया फ़्लोचार्ट में सिस्टम और विभागों के विशिष्ट वर्गों के लिए तुरंत जिम्मेदार होना चाहिए। यही है, आपको कर्मचारी के सेल फोन, उसके मालिक और उसके फोन के नाम की तलाश करने की आवश्यकता नहीं है, लेकिन तुरंत उन्हें एक खुले कार्ड में देखना होगा।

हमने क्या किया है

, (), - .
, ( ), , .
, -. : , , .
, .
.
( , , ).
.
GUI -.

हमारे प्रमुख ग्राहकों में से एक है, क्यूआर क्यूडर। एक अच्छा खतरा पहचान प्रणाली, प्रत्येक घटना के लिए कार्य और चरण हैं, लेकिन आप एक मानव ऑपरेटर के लिए काम की सूची नहीं दे सकते। जब एक पेशेवर सुपरक्लास की बात आती है, तो यह आवश्यक नहीं है। जब पहली पंक्ति के ऑपरेटर की बात आती है, तो उसे यह निर्देश देना बहुत महत्वपूर्ण है कि उसे क्या और कैसे करना है, और वह एक शांत विशेषज्ञ के स्तर पर अधिकांश विशिष्ट घटनाओं को कवर करने में सक्षम होगा।

अर्थात्, हमने पहली पंक्ति में सभी स्पष्ट रूप से उबाऊ घटनाओं को बाहर निकाल दिया और लिपियों से उन मानदंडों को जोड़ा जो उबाऊ से अलग उबाऊ हैं। पहले की तरह, सब कुछ एटिपिकल है।

कई डेटा सेंटरों में और कई सर्वर केंद्रों में अपने सर्वर कैपेसिटी के साथ दसियों कंपनियों के लिए मामलों पर काम किया गया और उन्हें लगभग एक वर्ष के लिए निर्धारित किया गया (विभागों के बीच कठिन संबंध हैं, जिन्होंने विभिन्न प्रणालियों में एकीकरण को मुश्किल बना दिया)। लेकिन अब कार्ड में किसी भी उप-कार्य के लिए एक विशिष्ट व्यक्ति प्रभारी है, और यह हमेशा प्रासंगिक होता है।

ऑपरेटरों के लिए सादगी का अंदाजा इस बात से लगाया जा सकता है कि कार्यान्वयन के दौरान, सिस्टम को पहले क्षेत्रों में रोल आउट किया गया था, और फिर, कुछ हफ़्ते के बाद, आधिकारिक दस्तावेज भेजे जाने लगे। इसलिए इस समय के दौरान, लोगों ने पहले से ही विश्वास करना बंद कर दिया है।

यह कैसे शुरू हुआ?

वहाँ है, लेकिन यह स्पष्ट नहीं है कि लगातार क्या हो रहा है। अधिक सटीक रूप से, क्यूराडार बहुत सारी घटनाओं को उत्पन्न करता है, वे सूचना सुरक्षा विभाग में आते हैं, और सब कुछ सही ढंग से और विस्तार से इकट्ठा करने के लिए बस कोई हाथ नहीं हैं। नतीजतन, रिपोर्टों को केवल सतही रूप से देखा जाता है। इस दृष्टिकोण के साथ आरएमबी से लाभ बहुत अधिक नहीं है।

एक परिसंपत्ति प्रबंधन प्रणाली है।

नेटवर्क को स्कैन करने के लिए सर्वर हैं, बहुत अच्छी तरह से कॉन्फ़िगर किया गया है।

रिपोर्ट उत्कृष्ट होने जा रही थी, लेकिन उन्होंने उसे थके हुए से देखा और लगा दिया।

ग्राहक वही चाहते थे जो उन्होंने उत्पादन परिणाम शुरू करने के लिए खरीदा था।

हमने सुरक्षा गार्ड के लिए सर्विस डेस्क को शीर्ष पर रखा (वास्तव में एक टिकट प्रणाली, सामान्य समर्थन के रूप में), डेटा विश्लेषण की कल्पना की, और आईबीएम रेसिलिएंट + जोड़ा ठेठ प्रतिक्रियाओं के आधार पर वर्णित स्वचालन मंच लिखा। लचीला नग्न आता है, यह सिर्फ एक ढांचा है। हमने क्यूडर से सहसंबंध नियमों को एक आधार के रूप में लिया और उपयोगकर्ता मामलों के लिए प्रतिक्रिया योजनाओं को अंतिम रूप दिया।

कई महीनों तक उन्होंने हर चीज का रसेशन किया और एपीआई द्वारा सही बंडलों को लटका दिया। जैसे ही हमने समाप्त किया, विक्रेता ने रुसिफिकेशन जारी किया, और हम थोड़ा दुखी हुए।

लगभग एक महीने वे प्रशिक्षण और दस्तावेज से परिचित थे (विशेष रूप से, कार्ड के लिए नए फ़्लोचार्ट कैसे आकर्षित करें)। जितना वे सीखते गए, उतने ही सरल मामले बनते गए: पहले कार्यों की विशाल लिपियों को लिखा गया, और फिर यह पता चला कि वे विशिष्ट मामलों की एक तरह की लाइब्रेरी बन गए। और एक लगभग किसी भी प्रतिक्रिया में उन्हें संदर्भित कर सकता है।

प्रतिक्रिया की तुलना

घटना "कम समय में एक ही मैलवेयर के साथ दोहराया वायरस संक्रमण।" यही है, वायरस का पता वर्कस्टेशन पर लगाया जाता है, लेकिन कर्मियों को यह समझने की जरूरत है कि यह कहां से मिलता है। संक्रमण का स्रोत सक्रिय है।

क्लासिक:

192.168.10.5 के मेजबान के बार-बार वायरस का संक्रमण था, उसी मालवेयर के साथ कम समय के लिए, ईवेंट्स को CRM में भेजा गया था, और इसी नियम ने काम किया।
.
.
.
.
/CMDB-.
.
- , .
/ .
Service Desk .
एक मेज के संक्रमित होने के कारण भेद्यता को समाप्त करने के लिए एक जांच के परिणामों के आधार पर सेवा डेस्क प्रणाली में एक आवेदन भरता है।
वह सेवा डेस्क अनुप्रयोगों के बंद होने की प्रतीक्षा करता है, और फिर उनके निष्पादन की जांच करता है।
एक घटना कार्ड भरता है और घटना को बंद कर देता है।
यह अपने काम के परिणामों पर प्रबंधन को रिपोर्ट करता है।
प्रतिक्रिया प्रक्रिया की प्रभावशीलता का विश्लेषण करने के लिए विश्लेषक घटना के आंकड़े एकत्र करता है।

हमारे मंच पर:

192.168.10.5 के मेजबान को बार-बार एक ही मैलवेयर के साथ वायरस के संक्रमण का सामना करना पड़ा, इवेंट्स को सिएम में भेजा गया, और इसी नियम ने काम किया।
ऑपरेटर घटना कार्ड को देखता है, जिसमें इस मेजबान के बारे में जानकारी, एंटी-वायरस प्रोटेक्शन टूल की स्थिति और इसके लॉग, होस्ट पर भेद्यता, संबंधित घटनाएं और इस होस्ट के लिए जिम्मेदार व्यक्ति पहले ही डाउनलोड किए जा चुके हैं।
, : , , Service Desk , - .
Service Desk , .
.
.

यह थोड़ा तेज हो गया। लेकिन मुख्य बात यह नहीं है, लेकिन यह है कि कार्यों को "पहली पंक्ति के ऑपरेटर संभाल लेंगे" और "विशेष जरूरतों" को हल करना संभव है। यही है, औसतन, प्रत्येक टिकट के लिए समाधान काफी सस्ता हो गया है, और सिस्टम अधिक स्केलेबल है।

कई झूठी सकारात्मकताओं के अलावा, कई डुप्लिकेट थे जो सिस्टम द्वारा पता लगाने के लिए सुविधाजनक थे।

कार्ड एक रिपोर्ट से अस्पष्ट डेटा के एक सेट की तरह नहीं दिखते हैं, लेकिन "वास्या ने ऐसा किया है और एक मेजबान पर। ये गलत है। मेजबान पेट्या के लिए जिम्मेदार है। ठीक ऐसा ही हुआ। हमें पेट्या में जाने की जरूरत है और कहा जा सकता है कि कार्य क्षेत्र के वासियों के कंप्यूटर का इस्तेमाल सम्मेलनों में प्रस्तुतियाँ दिखाने के लिए नहीं किया जा सकता है। ”

इस सब में एक और महत्वपूर्ण बात यह है कि प्राथमिक आंकड़ों के संग्रह के आधार पर, टिकटों को प्राथमिकता देना संभव हो गया है। यही है, मुख्य संभावित खतरे पॉप अप करते हैं और तुरंत ध्यान देने की आवश्यकता होती है, न कि एक जीवित कतार में।

आईटी टिकट के साथ इंटरफेस पर स्वचालन ने न केवल घटना के बारे में सभी जानकारी एकत्र करना संभव बना दिया, बल्कि आईटी विभाग को तत्काल टिकट भी दिया। यदि आपको राउटर पर कुछ सेटिंग्स बदलने की आवश्यकता है, तो अब आईटी से एक टिकट स्वचालित रूप से उत्पन्न होता है, उदाहरण के लिए। आश्चर्यजनक रूप से, मामले सामने आने लगे "सेवा में खाता बदलना भूल गया, और वह एक महीने के लिए जुड़ने की कोशिश कर रहा है।" आईटी ऐसी स्थितियों को नहीं देखता है या बुनियादी ढांचे की अनदेखी नहीं करता है। और यहाँ IS का कहना है - सेवा लॉग इन नहीं कर सकती है। और उन्होंने टिकट लगा दिया।

प्रतिक्रिया कार्डों के टाइपिंग के लिए धन्यवाद, घटनाओं को मानक तरीकों से हल किया जाना शुरू हुआ। पहले, प्रत्येक को रचनात्मक रूप से तय किया गया था: अलग-अलग लोगों ने अलग-अलग क्रियाएं कीं।

परिणाम आधुनिक सीआरएम के रूप में एक अच्छा वर्कफ़्लो है। घटना एक फ़नल से होकर गुजरती है। अंतिम चरण में एक और समस्या हल हो गई थी: पहले लोग कभी-कभी टिकट केवल इसलिए बंद कर देते थे क्योंकि वह थका हुआ होता था। यही है, परिणाम खराब निर्धारित किया गया था। और अब आपको सिस्टम को साबित करने की आवश्यकता है कि यह एक गलत सकारात्मक है। यही है, आप इसे पहले की तरह बंद कर सकते हैं, लेकिन यह स्पष्ट है कि, किसने और किन परिस्थितियों में इसे किया है, और जाम को खोलना बहुत आसान है। न केवल "उपयोगकर्ता फ़ाइल को चला नहीं सकता था", लेकिन "गेम को यूएसबी फ्लैश ड्राइव पर लाया, इसे स्थापित करना चाहता था - उन्होंने जीवन के नियमों को एक बार फिर से समझाया"। और यह पहले से ही स्पष्ट है कि क्या हुआ।

चंचलता

अब उत्पादन में कुछ एकीकरण हैं (एक क्यूराडार के साथ बहुत बड़ा है और एक परिसंपत्ति प्रबंधन प्रणाली है, दूसरा एक छोटा है)। मानक एपीआई का उपयोग करके किसी भी आरईएम के साथ जुड़ना संभव है, लेकिन, ज़ाहिर है, एकीकरण के लिए कनेक्टर्स के लिए समय, फ़ाइल शोधन, और लोगों के लिए प्रतिक्रिया नियमों को लिखने की आवश्यकता होती है। फिर भी, यह वास्तव में सुरक्षा घटनाओं का जवाब देने और अपेक्षाकृत जल्दी और अपेक्षाकृत सस्ते में करने में बहुत मदद करता है। यह संभावना है कि 10 साल में खुद सेलेम्स सिस्टम यह करने में सक्षम हो जाएगा, लेकिन अभी तक हमारे ऐड-ऑन ने खुद को अच्छी तरह से दिखाया है।

यदि आप इसे हमारे साथ महसूस करना चाहते हैं या चर्चा करना चाहते हैं कि यह आपके साथ कैसे दिख सकता है, तो यहां मेरा मेल AAMatveev@technoserv.com है।

सूचना सुरक्षा स्वचालित घटना प्रतिक्रिया मंच

सिएम सिस्टम में क्या गलत है?

हमने क्या किया है

यह कैसे शुरू हुआ?

प्रतिक्रिया की तुलना

चंचलता

More articles: