Security Information und Event Management (SIEM) erweiterte Sicherheitsanforderungen bei wachsender Datenflut

Transkript

1 TWINSOF T Security Information und Event Management (SIEM) erweiterte Sicherheitsanforderungen bei wachsender Datenflut GI Themenabend BIG DATA: Matthias Hesse, Twinsoft

2 Ablauf 1. Wer ist denn TWINSOFT? 2. Warum sprechen wir über dieses Thema? 3. Was ist SIEM und wo kommt es her? 4. Was hat Compliance / IT-Compliance damit zu tun? 5. Warum SIEM bei TWINSOFT? 6. Wie sieht SIEM aus? 2

3 Aufbau der TWINSOFT Aktuell ca. 100 Mitarbeiter Darmstadt, Ratingen, Köln 3

4 Twinsoft. Integrations & Sicherheitsexperte Auszug der Referenzen: 4

5 Stellen Sie sich vor Ihnen würde so etwas passieren RBS WorldPay (2008) 1,5 Mio Debitkarten-Accounts gehackt, 9 Mio US$ Schaden innerhalb 12 Stunden Lizenz für Kartenverarbeitung entzogen Google-Hack (2010) Anzahl betroffener Accounts unbekannt; Börsenwert sinkt um 1,5 Mrd. US$ Sony: Playstation Netzwerk (2011) mehrfache Angriffe über Tage hinweg, ohne erkennbare Gegenmaßnahmen 100 Mio. Accounts kompromittiert (Datendiebstahl) Burger King (2013) Kaperung des Onlineauftritts von Burger King. Hacker tauschten Werbebanner mit dem von McDonalds aus Wie es dazu kam 5

6 Hacker Angriffe Corporate HQ Public Network Mobile Users Home VPN Wireless Hot-Spot Public VPN Branch Office Remote Workers 6

7 Millionen von Log-Daten innerhalb einer Organisation Firewalls Firewalls/ VPN Intrusion Detection Systems Vulnerability Assessment Network Equipment Server and Desktop OS Anti-Virus Applications Anti Anti Databases Virus Virus Mainframes Sign-On Identity Management Directory Services User Attributes Physical Infrastructure Business Processes IT Abteilungen sind täglich konfrontiert mit Riesige Flut an Log-Daten (sog. Events ) Zeitaufwendige Untersuchungen Unterschiedliche Konsolen Verschiedenste Formate Manuelles Sammeln, Speichern und Analysieren ist zeitlich nicht zu bewerkstelligen 7

8 SIEM Treiber Security IT Operations Compliance Compliance IT Operations Wie entdecken und behandeln Sie Cyber Attacken? Wie werden Sie Fehler im Netzwerk finden? Wie bestehen Sie Ihre Sicherheits Audits?

9 Begriffe: SIEM / SIM / SEM / Log-Management Log-Management (LM) (zentrale) Sammlung und Analyse von Log-Daten, Suchen, Reporting SIM Security Information Management (im Wesentlichen: Log-Management) Reporting für Audits, Compliance-Anforderungen Application- und (privileged) User-Monitoring manuell SEM Security Event Management Erkennen von Bedrohungen in Echtzeit Benachrichtigung Korrelationen Zeit LM SIEM Funktionsumfang SIEM Security Information and Event Management (Begriffe sind nicht scharf definiert!) 9

10 Was machen SIEM-Tools? Sammlung der Log-Daten aus unterschiedlichen Quellen syslog, SNMP, Files, Zugriff über API, mit und ohne Agent (installierte Software auf dem überwachten System) Filtering uninteressante Daten gleich an der Quelle ausfiltern wichtig bei verteilten Standorten und WAN-Verbindungen Normalisierung / Kategorisierung Daten aus unterschiedlichen Quellen auf einheitliches Daten-Format abbilden Alarm action Korrelationen Beziehungen zwischen unabhängigen und zusammenhangslosen Event-Quellen herstellen Sichtbarkeit für sicherheitsrelevante Ereignisse, die sonst unentdeckt geblieben wären 10

11 Was macht ein SIEM Tool? Kategorisierung / Normalisierung Bedeutet: Daten aus unterschiedlichen Quellen auf einheitliches Daten-Format abbilden

12 Zentralisiertes Management und Auswertung von Logs Firewalls Firewalls/ VPN Intrusion Detection Systems Vulnerability Assessment Network Equipment Server and Desktop OS Anti-Virus Applications Anti Anti Databases Virus Virus Mainframes Sign-On Identity Management Directory Services User Attributes Physical Infrastructure Business Processes Sammeln Analysieren & Alarmieren Report & Archivieren Addressieren Bedrohungen Agieren Monitoren Compliance Status Sicherstellen Business Continuity 12

13 Gartners Magic Quadrant für SIEM-Lösungen (2012) TWINSOFT 13

14 Visualisierung der aktuellen IT-Infrastruktur Erkennen von Schwachstellen Schutz vor Angriffen Anzeige von IT-Complianceverstössen alles auf Basis der ohnehin vorhandenen Daten

15 Screens 15

16 Am Beispiel ArcSight (HP) Simples 3teiliges Dashboard zur Ansicht der Operating System Logon/Logoffs und damit verbundener Failures 16

17 Screenshots ArcSight 17

18 Screenshots ArcSight 18

19 Am Beispiel ArcSight (HP) Netzmodell zur Verfolgung zweifelhafter IP Adressen 19

20 20

21 TWINSOF T Europaplatz Darmstadt Tel: 06151/ Siemensstr Ratingen Tel: 02102/ Ihr Ansprechpartner: Matthias Hesse Tel.: Mobil: matthias.hesse@twinsoft.de Web: 21