Echtzeiterkennung von Cyber-Angriffen auf IT-Infrastrukturen. Frank Irnich SAP Deutschland

Transkript

1 Echtzeiterkennung von Cyber-Angriffen auf IT-Infrastrukturen Frank Irnich SAP Deutschland

2 SAP ist ein globales Unternehmen... unser Fokusgebiet... IT Security für... 1 globales Netzwerk > 70 Länder, > 220 Vertretungen...verbindet Endbenutzer PCs / Laptops SAP Systeme > Server Mobile Geräte: Blackberries ipads, iphones Androids BYOD Zentrale Kerngeschäftssysteme (inkl. ERP, HR, CRM, BW) 2014 SAP SE or an SAP affiliate company. All rights reserved. 2

3 SAP IT Security Monitoring Center Aktuelles Volumen *) : Ereignisse/Tag 1,691 Alarme/Tag 64 Vorfälle/Monat 13,009 überwachte Geräte *) Basis Oktober SAP SE or an SAP affiliate company. All rights reserved. 3

4 SAP s IT Security Vision Intelligentes und automatisiertes Security Monitoring Assets Situationskontext Externe Ressourcen A B C Scan Angriffspotentiale Lücken Metadaten Metadaten Auswirkungen Geschäftsrisiken Exploits Warnungen Alerts Anwendungen Metadaten Metadaten Metadaten Fraud Monitoring Security Analyse xy Real Time Analyse + Regeln statisch dynamisch Security Systeme 2014 SAP SE or an SAP affiliate company. All rights reserved. 4

5 Herausforderungen beim SAP IT Security Monitoring Unzureichende Performance Lange Verzugszeiten, Alarme werden zu spät generiert Geringe Zeitfenster bei der permanenten Analyse und der Korrelation von Daten Unzureichender Support anderer Logs, z.b. Relation von dynamischen IP-Adressen zu Endgeräten Unzureichende Anreicherung von Log Daten, z.b. Anreicherung eines Datensatzes mit der der IP-Adresse zugehörigen MAC-Adresse Unzureichende Integration von Meta-Informationen bei der Analyse Unzureichende Unterstützung von SAP Logs Diskussion mit SAP Product Development, dass ein SAP Enterprise Threat Detection benötigt wird 2014 SAP SE or an SAP affiliate company. All rights reserved. 5

6 Idee: SAP Enterprise Threat Detection (ETD) Hauptziel: Erkennung von Angriffen auf SAP Systeme von innen und von außen Zentrale, korrelierende Auswertung von Logs in Echtzeit Automatische musterbasierte Suche Verdachtsorientierte Ad-Hoc Auswertungen Korrelation von Alarmen mit Metainformationen ( white-list, exclude-list), um Fehlalarme zu vermeiden Integration weiterer Datenquellen (z.b. Zugangskontrollsystem, DHCP, Firewall, Log) Enterprise Threat Detection als neues SAP Produkt 2014 SAP SE or an SAP affiliate company. All rights reserved. 6

7 Mengengerüst (Abschätzung) Die Abschätzung basiert auf folgenden Annahmen Systemlandschaft mit 300 SAP Systemen Benutzer 1000 Benutzer parallel in jedem System tätig Betrachtung der wichtigsten SAP Logs Betrachtung wichtiger Netzwerk-Logs Ergebnis: Geschätztes Datenaufkommen pro Tag (10 Stunden): 40 Mio. bis zu 3 Mrd. Datensätze 120 GB bis zu 1 TB Memory Verbrauch in der SAP HANA DB: 40 GB bis 300 GB Spitzenbelastung: Datensätze pro Sekunde 2014 SAP SE or an SAP affiliate company. All rights reserved. 7

8 Value Wert der Daten Wert Real-Time heute Volumen, unstrukturierte Daten Zeit 2014 SAP SE or an SAP affiliate company. All rights reserved. 8

9 SAP Event Stream Processor Complex Event Processing (CEP) Datenfluss-Architektur Events Aus mehreren Quellen Echtzeit, In-Memory filtern, kombinieren, auswerten, aggregieren Performance > Events / Sekunde (2 CPU Linux Server) Skalierbar (Multithreading) Latenz im Millisekunden Bereich Klassische / typische Anwendungen Netzwerk Performance Monitoring, Smart Grids, Real-Time Click-Stream Analysis, Public Safety Automatisiertes Trading, Risikoanalyse 2014 SAP SE or an SAP affiliate company. All rights reserved. 9

10 SAP HANA Plattform Mehr als nur eine Datenbank Supports any Device Any Apps Any App Server SAP Business Suite and BW ABAP App Server SQL MDX R JSON Open Connectivity SAP HANA Platform SQL, SQLScript, JavaScript Spatial Search Text Mining Stored Procedure & Data Models Application & UI Services Business Function Library Predictive Analysis Library Database Services Planning Engine Rules Engine Integration Services Transaction Unstructured Machine HADOOP Real-time Locations Other Apps SAP HANA vereint Datenbank, Datenverarbeitung und Applikationsplattform sowie Bibliotheken für Predictive, Planung, Text, Geodaten und Business Analytics, um Informationen in Echtzeit zu verarbeiten SAP SE or an SAP affiliate company. All rights reserved. 10

11 Architektur: SAP Enterprise Threat Detection Sensor Data SAP ESP Alarme Sensoren Ereignisse SAP HANA Transaktionen Memory Disk (optional) Analysen und Dashboards SAP IQ 2014 SAP SE or an SAP affiliate company. All rights reserved. 11

12 Zusammenfassung Verarbeitung großer Datenmengen in Echtzeit Nutzung der SAP HANA Plattform und SAP ESP Korrelationen zwischen verschiedenen Datenquellen Konvertierung in relationales Datenbankformat Bereitstellung einer Vielzahl korrelierender Views Analyse von SAP Log-Daten SAP hat das ideales Wissen SAP kann den SAP Log kontinuierlich verbessern ETD kann am schnellsten reagieren ETD kann andere SAP Daten auswerten (z.b. Benutzerdaten) Analyse von weiteren Log-Daten z.b. Zugangskontrollsystem, DHCP, Firewall Log 2014 SAP SE or an SAP affiliate company. All rights reserved. 12

13 Vielen Dank für Ihre Aufmerksamkeit 2014 SAP SE or an SAP affiliate company. All rights reserved.

14 Frank Irnich Customer Value Sales Technology Cyber Security SAP Deutschland SE & Co. KG 2014 SAP SE or an SAP affiliate company. All rights reserved.