Co może monitorować SOC? Potencjał Security Operations Center opartego na open source

Security Operations Center (SOC) nie musi opierać się wyłącznie na licencjonowanych, kosztownych systemach. Fundamentem skutecznego centrum operacji bezpieczeństwa jest nie samo narzędzie, a odpowiednia strategia monitorowania i korelacji danych. Wykorzystując rozwiązania Open Source, organizacje mogą uzyskać widoczność na poziomie enterprise, zachowując pełną kontrolę nad infrastrukturą. Poniżej opiszemy istotny fragment działania rozwiązania wykorzystywanego w monitoringu – SIEM (Security Information and Event Management). Jest to rozwiązanie host IDS: oprogramowanie Wazuh.

Czym jest SIEM?

SIEM jest głównym narzędziem działania Security Operation Center, które powinno istnieć w każdej organizacji świadomej zagrożeń cyberbezpieczeństwa. Pomaga w analizie ryzyka, wskazując utraty danych lub środowiska IT i ich uszkodzenia, których konsekwencje może odczuć cała organizacja pod kątem strat finansowych i wizerunkowych.

SIEM jako narzędzie pozyskuje dane z różnych źródeł i poddaje je normalizacji, czyli obróbce pozwalającej na jednakową interpretację zdarzeń i wyciągnięcie z nich podobnych wniosków w przypadku zastosowania różnych formatów wejściowych. Można zastosować tutaj analogię – SIEM rozumie różne języki i tłumaczy je tak, aby wszystkie były dostępne w jednym wybranym języku, co jest potrzebne do porównywania wypowiedzi.

SIEM poddaje dane również dodatkowej obróbce korelując dane, tj.  zestawiając dane z różnych źródeł w ciąg logiczny obrazujący np. propagację zagrożenia w sieci. Takie podejście pozwala na wczesne wykrywanie zagrożeń, każdy atak lub działanie z zakresu cyberbezpieczeństwa składa się  bowiem z fragmentów, stanowiących małe kroki, które prowadzą do finalnego celu.

Wazuh – jak wspiera funkcjonowanie SIEM?

Głównym zadaniem SOC jest zbieranie logów, ich analiza oraz reagowanie na anomalie. W modelu Open Source sercem takiego systemu często staje się stos ELK (Elasticsearch, Logstash, Kibana) lub Wazuh, które integrują dane z rozproszonych źródeł.

Przy użyciu Wazuh, czyli rozwiązania realizującego funkcje Host IDS (host intrusion detection system), możemy monitorować szereg zdarzeń mających miejsce na stacjach roboczych, serwerach i innych końcówkach podłączających się do sieci. Rozwiązanie działa przy wykorzystaniu agentów instalowanych na monitorowanych zasobach.

Otrzymujemy do analizy logi z systemów monitorowanych,  na podstawie których można wyciągać wnioski o potencjalnym ataku sieciowym lub zaistniałym problemie. Monitoring w znakomitej większości ma charakter analizy zachowania  (logów) pod kątem sygnatur pozwalających na wykrywanie różnego typu problemów i zdarzeń bezpieczeństwa. Jednak dzięki magazynowaniu zdarzeń w rozwiązaniu Elasticsearch możliwa jest także statystyczna analiza zdarzeń.

Korelacja i analiza zdarzeń również pod kątem statystycznym pozwala nam na generowanie alertów dotyczących potencjalnych zagrożeń, przykładowo na podstawie ilości alertów ich częstotliwości, występowaniu ich w dużej ilości na konkretnej maszynie czy tez koncentracji zdarzeń wokół jednego użytkownika lub procesu.

Co monitoruje Security Operations Center?

Skuteczność Security Operations Center zależy od zdolności do szybkiej korelacji danych z wielu źródeł. Wykorzystując systemy klasy EDR/XDR (takie jak Wazuh), SOC monitoruje infrastrukturę w kilku kluczowych wymiarach:

1. Detekcja ataków na tożsamość i dostęp

Ataki typu Brute Force pozostają jedną z najczęstszych metod przełamywania zabezpieczeń. SOC monitoruje nie tylko sam fakt wystąpienia takich prób, ale analizuje je w szerszym kontekście:

• Geolokalizacja ataków: Identyfikacja adresów IP, z których pochodzą próby logowania.

• Analiza celów: Grupowanie ataków według kont użytkowników lub konkretnych serwerów.

• Anomalie czasowe: Wykrywanie prób logowania poza godzinami pracy lub w seriach wskazujących na automatyzację.

Można dane o atakach typu brute force również przedstawić w zależności od adresów poddanych atakowi jak poniżej:

2. Integralność zasobów i ochrona przed Malware

System monitoruje w czasie rzeczywistym krytyczne zasoby stacji roboczych i serwerów. Każda nieautoryzowana modyfikacja plików systemowych lub rejestrów jest natychmiast raportowana.

• FIM (File Integrity Monitoring): Wykrywanie zmian w kluczowych plikach konfiguracyjnych.

• Rootkit Detection: Poszukiwanie ukrytych procesów i modyfikacji jądra systemu (Kernel level rootkits), które mogą świadczyć o głębokiej kompromitacji hosta.

• Wykrywanie Malware i Adware: Automatyczna identyfikacja złośliwego oprogramowania na systemach Windows i Linux.

3. Monitoring zdarzeń w systemie Wazuh – przykłady alertów

W ramach usług SOC poddajemy analizie setki typów zdarzeń. Poniżej przedstawiamy kluczowe kategorie alertów, które pozwalają na wczesne wykrycie incydentu:

4. Zaawansowana analityka i korelacja (SIEM)

Surowe dane z agentów to dopiero początek. System SOC pozwala na elastyczną prezentację i agregację zdarzeń, co jest kluczowe dla szybkiej reakcji:

• Agregacja po adresach IP: Pozwala na natychmiastową identyfikację hostów generujących największy szum lub będących źródłem ataku.

• Ranking „Top Talkers”: Stacje generujące największą liczbę alertów są priorytetyzowane do dogłębnej weryfikacji (Deep Forensic Analysis).

• Analityka behawioralna użytkowników: Monitorowanie zmian w grupach zabezpieczeń (np. dodanie użytkownika do grupy administratorów) pozwala wykryć próby przejęcia uprawnień wewnątrz organizacji.

Raportowanie i przejrzystość

Wszystkie zidentyfikowane zdarzenia są filtrowane przy użyciu filtra Elasticsearch identyfikującego zdarzenia Wazuh po id zdarzenia. Dzięki temu nasi klienci otrzymują przejrzyste raporty SOC, które zawierają nie tylko statystyki, ale przede wszystkim rekomendacje naprawcze. Zamiast tysięcy nieistotnych logów, dostarczamy konkretną wiedzę o stanie bezpieczeństwa Twojej infrastruktury.

Podsumowanie: Budowa SOC to proces

Wdrożenie narzędzi to dopiero początek. Skuteczny SOC (Security Operations Center) to synergia technologii Open Source, predefiniowanych procesów oraz czujności analityków. Dzięki odpowiedniemu monitorowaniu, Twoja firma zyskuje odporność na incydenty, które w innym przypadku mogłyby pozostać niewykryte przez miesiące.

Ekspercka rada: Zacznij od monitorowania krytycznych zasobów (serwery baz danych, kontrolery domeny), a następnie stopniowo rozszerzaj zakres widoczności SOC o kolejne segmenty sieci.