Co może monitorować SOC Security Operations Center z użyciem rozwiązań opensource

W artykule opiszę istotny fragment działania rozwiązania SIEM (Security Information and Event Management): rozwiązanie host IDS: oprogramowanie Wazuh.

SIEM jest głównym narzędziem działania instytucji SOC Security Operation Center, która powinna istnieć w każdej organizacji świadomej zagrożeń cyberbezpieczeństwa, dla której analiza ryzyka wskazuje, że utrata danych lub środowiska IT, czy też jego uszkodzenie wiąże się z ryzykiem istotnym dla działania (czyli w zasadzie dla wszystkich ?).

SIEM jako narzędzie pozyskuje dane z różnych źródeł i poddaje je normalizacji czyli obróbce pozwalającej na jednakową interpretację zdarzeń i wyciągnięcie z nich podobnych wniosków w przypadku zastosowania różnych formatów wejściowych. Można zastosować tutaj analogię – SIEM rozumie różne języki i tłumaczy je tak aby wszystkie były dostępne w jednym wybranym języku w taki sposób, aby można było porównać wypowiedzi. SIEM poddaje dane również dodatkowej obróbce korelując dane, tj.  zestawiając dane z różnych źródeł w ciąg logiczny obrazujący np. propagację zagrożenia w sieci. Takie podejście pozwala na wczesne wykrywanie zagrożeń, każdy atak lub działanie z zakresu cyberbezpieczeństwa składa się  bowiem z fragmentów, stanowiących małe kroki, które prowadzą do finalnego celu.

W tej chwili zajmiemy się jednak jednym instrumentem generującym dane wejściowe dla systemu SIEM: rozwiązaniem host intrusion detection system: Wazuh

Przy użyciu Wazuh, czyli rozwiązania realizującego funkcje Host IDS (host intrusion detection system), możemy monitorować szereg „ciekawych” zdarzeń mających miejsce na stacjach roboczych, serwerach i innych końcówkach podłączających się do sieci.

Rozwiązanie działa przy wykorzystaniu agentów instalowanych na monitorowanych zasobach.

Otrzymujemy do analizy logi z systemów monitorowanych,  na podstawie których można wyciągać wnioski o potencjalnym ataku sieciowym lub zaistniałym problemie.

Monitoring w znakomitej większości ma charakter analizy zachowania  (logów) pod katem sygnatur pozwalających na wykrywanie różnego typu problemów i zdarzeń bezpieczeństwa. Jednak dzięki magazynowaniu zdarzeń w rozwiązaniu Elasticsearch możliwa jest  także statystyczna analiza zdarzeń.

Korelacja i analiza zdarzeń również pod kątem statystycznym pozwala nam na generowanie alertów dotyczących potencjalnych zagrożeń, przykładowo na podstawie ilości alertów ich częstotliwości, występowaniu ich w dużej ilości na konkretnej maszynie czy tez koncentracji zdarzeń wokół jednego użytkownika lub procesu.

W ramach działań Security Operations Center monitorujemy przykładowo:

• ataki na hasła: metodą brute force

[br]

Można dane o atakach typu brute force również przedstawić w zależności od adresów poddanych atakowi jak poniżej:

[br]

• monitorowanie integralności plików i rejestrów, czyli obserwacja jak zmieniają się lub są modyfikowane kluczowe zasoby stacji

[br]

Możemy monitorować także potencjalne rootkity zainstalowane na serwerach

• możliwe jest także wykrywanie malware

Zdarzenia Wazuha, które poddajemy również monitoringowi to przykładowo:

Pełną listę alertów oprogramowania Wazuh znajdziemy na stronie Wazuha.

Takie zdarzenia można wyfiltrować także za pomocą prostego filtra Elasticsearch identyfikującego zdarzenia Wazuh po id zdarzenia. Te informacje o zdarzeniach przedstawiamy klientowi w raportach SOC oraz poddajemy głębszej analizie.

[br]

System pozwala na prezentację zdarzeń w dowolny elastyczny sposób, przykładowo zdarzenia poddane agregacji po adresie IP generującym zdarzenia. To pozwala na detekcje potencjalnie najbardziej problematycznych urządzeń.

[br]

Stacje generujące najwięcej zdarzeń należy poddać dogłębnej weryfikacji.

Agregacje można także prowadzić z użyciem użytkownika, tę informację warto również monitorować udostępniając w raportach SOC.

[br]

Artykuł pokazał jedynie wycinek danych, jakich używa SOC do monitorowania i wykrywania zagrożeń.

Postaramy się wkrótce uzupełnić te informacje o kolejne istotne źródła : IoC Indicators of Compromise, Netflow: ruch sieciowy, IDS; network intrusion detection system.