Heu im Nadelhaufen - SIEM mit Fakten und freier Software

Transkript

1 Heu im Nadelhaufen - SIEM mit Fakten und freier Software René Lynx Pfeiffer DeepSec GmbH rpfeiffer@deepsec.net IT-SeCX 2015 Freitag, 6. November 2015 Fachhochschule St. Pölten.

2 SIEM? Loganalyse! SIEM? Loganalyse!

3 SIEM? Loganalyse! SIEM? SIEM? Loganalyse (vor 2005) SIEM = Security Information and Event Management (nach 2005) umfaßt Gesamtpaket mit Datensammlung (Data Aggregation) Korrelation (Correlation) Alarmierung (Alerting) Bedienoberflächen (Dashboards) Compliance Speicherung (Retention) forensische Analyse (forensic analysis)

4 Heu im Nadelhaufen - SIEM mit Fakten und freier Software SIEM? Loganalyse! Warum möchte man das? Warum möchte man das?

5 SIEM? Loganalyse! Vielleicht möchte man mehr sehen... Vielleicht möchte man mehr sehen...

6 SIEM? Loganalyse! Vorteile Vorteile Statistik Erforschung Normal- und Ausnahmezustand Archiv von Betriebsdaten für Ursachenforschung bei Problemen Zukunftsplanung Erkennen von IT Security Ereignissen Trends bei Angriffen Isolierung von Quellen

7 SIEM? Loganalyse! Sind Datenquellen bereits vorhanden? Sind Datenquellen bereits vorhanden?

8 Grundlegende Strategie Grundlegende Strategie

9 Grundlegende Strategie Transport der Daten Transport der Daten Echtzeit? Periodisch? rsyslog Bulk Transfer (FTP, SCP, rsync, SMTP,...) ØMQ (ZeroMQ) Verschlüsselt! Transaktionsbasiert? Umgang mit abgebrochenen Transfers richtiges Zählen von Logfiles Rückhalteperiode (a.k.a. Vorratsdatenspeicherung )

10 Prototyp Prototyp

11 Prototyp Strategie Prototyp Strategie Prototyp

12 Prototyp Vielversprechende Datenquellen Vielversprechende Datenquellen NetFlow Daten OpenVPN Server OpenSSH Server Postfix SMTP Server Suricata (Intrusion Detection System) Alerts Blocked Hosts TLS Zertifikate Ergänzung: HTTP/HTTPS Proxy Server

13 Prototyp NetFlow / IPFIX NetFlow / IPFIX NetFlow auf vielen Netzwerkkomponenten Internet Protocol Flow Information Export (IPFIX) basiert auf NetFlow v9 Sonden schicken an Kollektoren fprobe, ntopng, NfSen, pflow,... Nachschlagen von Netzwerkinformationen Hilfe bei Recherche von Anomalien

14 Prototyp NfSen (1) NfSen (1)

15 Prototyp NfSen (2) NfSen (2)

16 Prototyp Log-Indikatoren für Probleme Log-Indikatoren für Probleme Authenticate/Decrypt packet error Connection refused Failed password for Invalid user lost connection NOQUEUE TLS error WARNING: Bad encapsulated packet length from peer Herausforderung: Finden von relevanten Meldungen.

17 Prototyp Suricata to the Rescue Suricata to the Rescue Suche nach offensichtlichen Fehlern in Logs Abwälzen des Rests auf Intrusion Detection Engine Suricata (Snort Nachfolger) Basisset von Rules (Snort & Emerging Threats) frei konfigurierbar Suricata Alerts extrahieren detektierte TLS Zertifikate extrahieren Suricata bietet noch weitere Logdaten an (DNS, Files,...)

18 Prototyp Datenbank - NoSQL? Datenbank - NoSQL?

19 Prototyp Datenbank - PostgreSQL Datenbank - PostgreSQL aufbereitete Logs werden in Tabellen sortiert Tabellen enthalten Rohdaten des übersetzten Eintrags möglich wenn nicht zuviele Daten alternativ per Referenz auslagern Datenbank ist Basis für Auswertungen leichte Verknüpfungen von Daten

20 Prototyp SQL Struktur SQL Struktur

21 Prototyp Praktisches Beispiel: OpenVPN Zertifikate Praktisches Beispiel: OpenVPN Zertifikate OpenVPN mit X.509 Zertifikaten Config hat Schlüssel, Zertifikat und Passwort (optional) Suche in den Logs name Common Name Extraktion Zeitstempel Key Negotiation Darstellung der Verwendung als ical

22 Prototyp Praktisches Beispiel: OpenVPN Kalender Praktisches Beispiel: OpenVPN Kalender

23 Zusammenfassung Zusammenfassung Logananalyse SIEM mit Freier Software ist möglich. Logdaten müssen ohnehin aufbereitet/archiviert werden. In-house Lösungen sind dichter an den eigenen Problemen. NetFlow / IPFIX / Suricata wichtige Bausteine. FOSS Projekte in diesem Bereich verfügbar (Logstash, Graylog,...) Wer keine Fragen stellen kann, benötigt ohnehin dringend Hilfe.

24 Fragen? Fragen?

25 Kontakt Über die DeepSec Die DeepSec GmbH veranstaltet seit 2007 jährlich im November die DeepSec In-Depth Security Conference in Wien. Die DeepSec bringt als neutrale Plattform die Sicherheitsexperten aus allen Bereichen zum Gedanken- und Erfahrungsaustausch zusammen. Dort erhalten IT- und Security-Unternehmen, Anwender, Behördenvertreter, Forscher und die Hacker-Community in über 42 Vorträgen und Workshops die Chance, sich über die aktuellen und zukünftigen Sicherheitsthemen auszutauschen. Die Konferenz möchte insbesondere dem verbreiteten Vorurteil entgegen wirken, dass Hacker zwangsläufig Kriminelle sind.

26 Kontakt Über den Autor René Pfeiffer ist selbstständiger Systemadministrator und Vortragender an der Fachhochschule Technikum Wien im Bereich Computer- und Datensicherheit. Mit über 15 Jahren Berufs- und 30 Jahren Computererfahrung sowie einem akademischen Hintergrund in theoretischer Physik verbindet er in Schulungen und Projekten erfolgreich Theorie und Praxis. Seine Themenschwerpunkte liegen im Bereich IT Administration, Aufbau sicherer Infrastrukturen (Host-/Netzwerkbereich), sichere Kommunikation in Organisationen und Infrastruktur (VPN Technologien, Nachrichtensysteme), Wireless Security, technische Dokumentation, Betreuung von Forschungsarbeiten in der IT Security, technischem Auditing und Evaluierung von Software. Herr Pfeiffer hält seit 2000 jährlich Fachvorträge und Schulungen auf Tagungen und Seminaren (Institute for International Research (I.I.R.), Business Circle, Confare, Linuxwochen Österreich, SAE Institute Wien, DeepSec In-Depth Security Conference, Bundesverband Sicherheitspolitik an Hochschulen, Kundenveranstaltungen).

27 Kontakt Kontakt (Threema, TextSecure & RedPhone) Videos

28 Kontakt Quellenverzeichnis Bild eines Heuhaufens (Cover), Wikipedia. Bild regnerischer Küste, Orkan, Misthaufen, Katze im Vogelhaus, Wikipedia.