Advanced Threats erkennen und untersuchen ÜBERBLICK

Transkript

1 Advanced Threats erkennen und untersuchen ÜBERBLICK HIGHLIGHTS RSA Security Analytics bietet: Sicherheitsüberwachung Vorfallsermittlung Compliance-Reporting Sicherheitsanalysen für große Datenmengen Das unternehmensweite Erfassen von Netzwerkverkehr und Protokollereignisdaten wird mit der automatisierten Bereitstellung von Bedrohungsinformationen gepaart und durch leistungsstarke Analysen unterstützt. So lassen sich Bedrohungen besonders schnell erkennen und untersuchen. GEGEN ADVANCED THREATS HILFT NUR EINE NOCH WIRKUNGSVOLLERE SICHERHEITSÜBERWACHUNG Hierzu benötigen Sicherheitsteams wirksamere Methoden der Bedrohungserkennung und müssen außerdem in der Lage sein, Sicherheitsermittlungen wesentlich schneller durchzuführen. Damit Sicherheitsteams so schnell wie möglich über die für ihr Unternehmen dringlichsten Sicherheitsrisiken informiert sind, ist ein System erforderlich, mit dem sich große Mengen an Sicherheitsdaten unterschiedlichster Natur erfassen und verwalten lassen. In dieser Hinsicht sind Sicherheitsteams auch darauf angewiesen, automatisierten Zugriff auf beste Bedrohungsinformationen zu haben. Sie müssen über die neuesten Tools, Techniken und Verfahren informiert sein, die in der Angreifer-Community zum Einsatz kommen, und diese Informationen sofort umsetzen können, indem sie automatisch und direkt in das System eingespeist werden. Und all dies muss mit einem einzigen integrierten Sicherheitssystem möglich sein. Klappt die Prävention nicht, kommt es auf schnelles Handeln an, und zwar zur Erkennung genauso wie zur Korrektur. SCHNELLE ERKENNUNG DURCH TRANSPARENZ RSA Security Analytics ist eine Sicherheitslösung, mit der Sicherheitsanalysten Bedrohungen, die von anderen Sicherheitstools oft übersehen werden, erkennen und untersuchen können. Vereint man die Erfassung, Verwaltung und Analyse großer Mengen an Sicherheitsdaten mit vollständiger netzwerk- und protokollbasierter Transparenz sowie mit automatisierten Bedrohungsinformationen, so sind Sicherheitsanalysten jetzt besser in der Lage, Bedrohungen zu erkennen, zu untersuchen und zu verstehen. Letztendlich können Unternehmen durch dieses höhere Maß an Transparenz und Geschwindigkeit die Zeit, die ein Angreifer in der Computerumgebung verbringt, von Wochen auf Stunden reduzieren und so die zu erwartenden Auswirkungen eines Angriffs drastisch einschränken. DATENBLATT

2 RSA Security Analytics ist eine Lösung von RSA, bei der die bewährte Technologie von RSA NetWitness genutzt wird, um konvergierte Netzwerksicherheitsüberwachung und zentralisiertes Sicherheitsinformations- und Ereignismanagement auch als SIEM bezeichnet zu ermöglichen. Im Gegensatz zu perimeter- oder signaturbasierten Sicherheitslösungen, denen es schwerfällt, in Bezug auf Risiken, und besonders in Bezug auf gezielte Angriffe, immer auf dem aktuellen Stand zu sein, unterstützt RSA Security Analytics Analysten dabei, interessantes oder ungewöhnliches Verhalten zu erkennen, ohne dass sie hierfür die speziellen, vom Angreifer eingesetzten Tools oder Techniken kennen müssen. Der Sicherheitsansatz von RSA lässt sich damit gleichsetzen, dass das Heu (positive Aspekte) herausgenommen wird, bis nur noch die Stecknadeln (negative Aspekte) vorhanden sind. Bei herkömmlichen Sicherheitsansätzen wird hingegen in einem riesigen Heuhaufen nach einigen Nadeln gesucht. Zudem unterstützt RSA Security Analytics Analysten dabei, Warnmeldungen und ungewöhnliche Aktivitäten schnell zu verstehen, indem diese mit Netzwerk- und Protokolldaten sowie mit den aktuellen Bedrohungsinformationen in Verbindung gebracht werden. RSA Security Analytics vereint die Sicherheitsanalyse und somit die Erkennung, die Ermittlung, das Reporting sowie die Inhalts- und Systemverwaltung auf einer einzigen, browserbasierten Schnittstelle, durch die Sicherheitsanalysten direkt von unternehmensweiter Transparenz profitieren. So lassen sich die Effizienz und Effektivität von Analysten erheblich steigern, weil sie beim Arbeiten nicht zwischen Sicherheitstools wechseln müssen. Kurz gesagt: RSA Security Analytics gestaltet die herkömmliche protokollzentrische SIEM neu, damit sie den Anforderungen der heutigen Bedrohungslandschaft gerecht werden. ANSPRUCHSVOLLE ANALYSEN FÜR ANALYSTEN RSA Security Analytics ermöglicht umfangreiche Sicherheitsüberwachung, Vorfallsermittlung, langfristige Archivierung und Analysen, Malware-Analysen und Compliance-Reporting über eine einheitliche browserbasierte Schnittstelle. Es sorgt dafür, dass Sicherheitsanalysten, die Teil eines Security Operations Center (SOC) sein können, aber nicht müssen, effektiver und effizienter arbeiten, wenn es um den Schutz der digitalen Ressourcen und der IT-Systeme des Unternehmens geht. ÜBERWACHUNG UND ANALYSE Bietet eine vereinheitlichte Plattform zum Erfassen und Analysieren großer Mengen an Netzwerk-, Protokoll- und anderer Daten Warnt automatisch vor verdächtigem Verhalten, indem Analysen angewandt und externe Bedrohungsinformationen über RSA Live bereitgestellt und mit intern erfassten Sicherheitsdaten vereint genutzt werden RSA Live bietet: Sicherheitsberichte, Open-Source-Community-Informationen, Command & Control-Berichte, Exploit-Kit-Erkennung, schwarze Listen, APT-getaggte Domains, verdächtige Proxys usw. Wendet den Unternehmenskontext auf Sicherheitsermittlungen an, wodurch Analysten bei ihrer Arbeit besser Prioritäten setzen können VORFALLSERMITTLUNG Schnellere Sicherheitsermittlungen, weil Analysten mit nur wenigen Mausklicks Terabyte von Metadaten, Protokolldaten und neu erstellten Netzwerksitzungen durchsuchen können

3 Nutzt die Analyse-Workbench, die branchenweit in Sachen Umfang und Verständlichkeit am besten abschneidet Nutzt die besten Forschungsergebnisse von Dritten und von RSA FirstWatch, dem hervorragend geschulten RSA Eliteforschungsteam für globale Bedrohungen und Informationen LANGZEIT-WAREHOUSE Bietet eine verteilte Computerarchitektur zum Archivieren und Analysieren von langfristigen Sicherheitsdaten, wodurch Leistungsstärke und Skalierbarkeit gewährleistet werden Skaliert linear durch das Hinzufügen von Rechen-Nodes mit hoher Performance oder Kapazität Ermöglicht compliance- sowie erkennungsorientiertes Reporting und die Ausgabe entsprechender Warnmeldungen durch die Datenmanagementinfrastruktur mit Daten-Parsing und Volltextsuche Bietet eine offene Schnittstelle für programmatischen Datenzugriff, Transformation und Analyse COMPLIANCE-REPORTING Integrierte Compliance-Berichte, die zahlreiche Regulierungsvorschriften (GLBA, HIPAA, NERC, SOX usw.) und Branchenanforderungen (PCI, BASEL II, ISO usw.) abdecken Automatisiert das regulierungs- oder governance-orientierte Reporting und ermöglicht es Sicherheitsteams den im Rahmen des Compliance-Programms erfassten Unternehmenskontext zu nutzen Stellt durch eine zweiseitige Integration mit RSA Archer GRC eine Verknüpfung zum umfassenderen Compliance-Reporting-System her; bietet Daten und Berichte für compliance-relevante Kontrollberichte und nutzt Unternehmenskontextinformationen über den Wert und Zweck einzelner IT-Systeme und -Ressourcen MALWARE-ANALYSE Vereint vier verschiedene Malware-Ermittlungstechniken, unter anderem Sandboxing, Community-Informationen, Dateiinhalt und Netzwerkverhaltensanalyse, damit Malware- Analysten entscheiden können, ob es sich um Malware handelt Erkennt ausführbaren Inhalt an beliebiger Stelle und beantwortet Fragen über das Verhalten von Dateien, wobei der Ort, an dem Malware festgestellt wurde, berücksichtigt wird und wie sie in die IT-Umgebung gelangt ist Bindet Virenschutz-Signaturen nur als einen von zahlreichen Faktoren zur Bestimmung des Malware-Typs ein EINHEITLICHES BROWSERBASIERTES DASHBOARD HTML5-basierte Benutzeroberfläche, die das anpassbare Analysieren und Überwachen von Benutzeroberflächen ermöglicht Überwachen, Erkennen, Untersuchen und Verwalten auf einer einzigen integrierten und anpassbaren Schnittstelle, wodurch die Effizienz von Analysten gesteigert wird An die jeweiligen Funktionen von Sicherheitsanalysten angepasste Ansichten

4 INFRASTRUKTUR VON SICHERHEITSANALYSEN FÜR GROSSE DATENMENGEN ERFASSEN, ANALYSIEREN UND UNTERSUCHEN IN ECHTZEIT Verteilte Erfassungsinfrastruktur zum gleichzeitigen Speichern von Protokoll- und vollständigen Netzwerkpaketen Parsen und Verwalten von Metadaten ermöglicht die Vermischung von Protokoll-, Netzwerk- und anderen Daten für automatisierte Analysen, Reporting-Funktionen und analystengesteuerte Ermittlungen Verteiltes Datenmanagement, das für Analysen, Reporting und Ermittlungen nahezu in Echtzeit optimiert wurde ERFASSUNG, ARCHIVIERUNG, FORENSIK, ANALYSE UND REPORTING MIT LANGZEITSICHT Verteilte Warehouse- und Analyse-Engine für langfristig angelegtes Archivieren, Analysieren und Berichterstatten für Sicherheits- und Compliance-Daten, einschließlich Protokollen, Protokollmetadaten, Netzwerkpaket-Metadaten und ausgewählten anderen Inhalten Branchenweit führende Datenkomprimierung zum Maximieren der Archivierungskapazität Linear skalierbar, indem Warehouse-Nodes hinzugefügt werden, wenn mehr Analyseleistung und Kapazität benötigt werden Integrierte Funktionen für Robustheit und hohe Verfügbarkeit, die der Hadoop-basierten Architektur eigen sind WICHTIGE ARCHITEKTURKOMPONENTEN RSA Security Analytics ist ein verteiltes und modulares System, das äußerst flexible Bereitstellungsarchitekturen ermöglicht, die sich an die Unternehmensanforderungen anpassen lassen. Wichtige Komponenten der Architektur: DECODER: Erfasst und parst sämtlichen Netzwerkverkehr der Schichten 2 bis 7 oder Protokoll- und Ereignisdaten von Hunderten von Geräten und stellt diesen bzw. diese wieder her. CONCENTRATOR: Indexiert Metadaten, die aus Netzwerk- oder Protokolldaten extrahiert wurden, und stellt sie für unternehmensweite Abfragen und Echtzeitanalysen zur Verfügung, wodurch auch das Reporting und die Ausgabe von Warnmeldungen erleichtert wird. WAREHOUSE: Hadoop-basiertes, verteiltes Computersystem, das langfristige Sicherheitsdatensätze (über Monate bzw. Jahre) erfasst, verwaltet und für Analyse und Reporting aufbereitet. Das Warehouse kann je nachdem, welche Anforderungen im Unternehmen in Sachen Analyse, Archivierung und Robustheit gestellt werden, aus drei oder mehr Nodes bestehen. ANALYTICS-SERVER/BROKER: Hostet den Webserver für das Reporting, die Ermittlung, die Verwaltung und für andere Aspekte der Analystenschnittstelle. Überbrückt die mehrfach vorhandenen Echtzeit-Datenspeicher, die sich durch die Infrastruktur in den verschiedenen Decoder-Concentrator-Paaren befinden. Ermöglicht auch das Reporting für Daten, die im Warehouse gespeichert sind.

5 KAPAZITÄT: RSA Security Analytics verfügt über eine Architektur mit modularer Kapazität, die auf direkt angeschlossene Kapazität (auch als DAC bezeichnet) oder Storage Area Networks (SANs) zurückzuführen ist und durch die den kurzfristigen Ermittlungsanforderungen des Unternehmens genauso entsprochen werden kann wie seinen langfristigen Analyse- und Datenaufbewahrungsanforderungen. SECURITY ANALYTICS-INFRASTRUKTUR FLEXIBLE BEREITSTELLUNG RSA Security Analytics lässt sich sehr flexibel bereitstellen, weil für die Architektur sowohl eine einzige Appliance als auch bis zu mehrere Dutzend physische Appliances verwendet werden können. Die Entscheidung hängt davon ab, welche Anforderungen der Kunde im Bereich Performance und Sicherheit stellt. Darüber hinaus wurde das gesamte RSA Security Analytics-System so optimiert, dass es auf virtualisierter Infrastruktur ausgeführt werden kann. KONTAKT Weitere Informationen darüber, wie Produkte, Services und Lösungen von EMC Sie bei der Bewältigung Ihrer geschäftlichen und IT-Herausforderungen unterstützen, erhalten Sie von Ihrem EMC Vertriebsmitarbeiter oder autorisierten Reseller vor Ort oder auf unserer Website unter germany.emc.com/rsa EMC 2, EMC, das EMC Logo und RSA sind eingetragene Marken oder Marken der EMC Corporation in den USA und anderen Ländern. VMware ist eine eingetragene Marke oder Marke von VMware, Inc. in den USA und anderen Ländern. Copyright 2012 EMC Corporation. Alle Rechte vorbehalten. 08/12 Datenblatt EMC ist der Ansicht, dass die Informationen in dieser Veröffentlichung zum Zeitpunkt der Veröffentlichung korrekt sind. Diese Informationen können jederzeit ohne vorherige Ankündigung geändert werden.