דוגמאות לשימוש ב-SIEM
חלק 1

בלי כתוביותעם כתוביות

מילון מושגים:

SIEM - מערכת שאוספת ומנתחת לוגים ואירועי אבטחה ממקורות רבים, לזיהוי איומים ולתגובה מרוכזת.

דרישות - התיאור של מה שמערכת או תוכנה צריכות לעשות, המשמש בסיס לפיתוח ולבדיקות.

סיסמה - מחרוזת תווים סודית שמשמשת לאימות זהות המשתמש בעת כניסה למערכת. ככל שהיא ארוכה ומורכבת יותר, כך קשה יותר לנחש אותה.

SOC - מרכז בקרת אבטחה: צוות ומערכות שמנטרים, מזהים ומגיבים לאירועי אבטחת מידע בארגון.

אירוע - התרחשות שהמערכת מזהה ויכולה להגיב לה, כמו לחיצת עכבר, הקשה או סיום פעולה.

שם משתמש - מזהה ייחודי שמשתמש מזין כדי להזדהות במערכת, לרוב יחד עם סיסמה.

לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.

חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.

דוגמאות לשימוש ב-SIEM חלק 1

בשיעור זה עוברים מהתיאוריה אל השימוש בפועל ב-SIEM, מבינים מהו use case, רואים דוגמה להתרעה על ניסיון פריצה בכוח, ולומדים את מחזור החיים המלא של פיתוח יכולת במערכת, מהדרישות ועד הכוונון השוטף בסביבת הייצור.

נושאי הסיכום המוצגים בשיעור:

1. מהו use case: use case הוא מקרה שימוש אמיתי במערכת, לדוגמה מצב של עשרה לוגינים כושלים שבו לא ניתן לדעת מיד אם מדובר במשתמש שהתבלבל בסיסמה או בתוקף שמנסה פריצה בכוח, מה שנקרא brute force attack, ואם זו התקפה צריך להקפיץ התראה לצוות ה-SOC על ניסיון פריצה לחשבון.

2. הרעיון הכללי של הזרימה: מערכות שונות מודיעות ל-SIEM על האירועים, הוא אוסף מידע מכל המקורות, מסיק מסקנה ומקפיץ התרעה לצוות ה-SOC שמנטר את המערכת, וזה הרעיון הכללי שמאחורי כל use case.

3. שלב הדרישות ונקודות האיסוף: מחזור החיים מתחיל בדרישות, כמו הגדרה שבה עשרה כישלונות לוגין בתוך ארבע דקות יפיקו התראה, ואחר כך עוברים ל-data points, נקודות איסוף המידע, ממכונות ווינדוס ולינוקס, תחנות עבודה, שרתים ואפליקציות כמו שרת SQL, ומקפידים שהמידע יכלול שם משתמש, טיימסטמפ, שעת האירוע, המקור והיעד, כדי לעמוד בדרישות שהוגדרו.

4. וולידציה של הלוגים: אחרי שאוספים מידע ומוודאים שמחוברים לכל המערכות הפנימיות עוברים לוולידציה, בדיקה שהלוג מגיע אל ה-SIEM בצורה תקינה וכולל את כל המידע שצריך, למשל לוג שמייצר הפיירוול.

5. יישום ותיעוד: השלב הבא הוא האימפלמנטציה, יישום בפועל של מערכת ההתרעות, עם אגרגציה של מידע מכל המקורות ווידוא שאין התרעות שווא, ואחר כך דוקומנטציה, תיעוד מלא של נהלים ברורים מה עושים בכל מקרה, גם מקרים וגם תגובות, כולל הגדרת אסקלציה, עליית דרגה לצוות טיר 2 או טיר 3 וקריאה למומחים חיצוניים.

6. אונבורדינג בסביבת ייצור: אחרי התיעוד מתחילים אונבורדינג, שימוש בפועל בסביבת production, הסביבה שבה המשתמשים האמיתיים עובדים והמוצרים נוצרים ולא מעבדה, כי עד אז הכל נבדק בצד.

7. כוונון שוטף: בסביבת הייצור תמיד יהיו false positives, התרעות שווא, ולכן במשך כל העבודה הרגילה עושים fine tuning, כוונונים קטנים ועדכונים לפי המשוב מהשטח, כי אם יהיו יותר מדי התרעות שווא אנשי ה-SOC יפסיקו להתייחס למערכת ברצינות, וכך מחזור החיים ממשיך להסתובב עם שיפור מתמיד של המערכת.

סיכום:

בשיעור זה הבנו איך בונים בפועל יכולת במערכת ה-SIEM, החל מהגדרת הדרישה ובחירת נקודות איסוף המידע, דרך וולידציה של הלוגים, יישום ההתרעות ותיעוד נהלים ואסקלציה, ועד העלאת השימוש לסביבת הייצור עם כוונון שוטף שמונע התרעות שווא ושומר על אמון הצוות במערכת, ובשיעור הבא נראה דוגמה ממשית לתהליך הזה.

פרקי ההרצאה: דוגמאות לשימוש ב-SIEM חלק 1

תמלול ההרצאה: דוגמאות לשימוש ב-SIEM חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «דוגמאות לשימוש ב-SIEM חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו נדבר על שימוש בפועל שעושים בסים, use cases, מקרים שהשתמשו בהם באמת. לדוגמה, מקרה שבו יש עשרה לוגינים נחשלים, אי אפשר לדעת האם זה יוזר התבלבל בסיסמה או איזשהו תוקף מנסה לעשות פריצה בכוח brute force attack.
00:23
אם זה brute force attack, אז אנחנו צריכים להקפיץ את צוות הסוק לקבל התראה שיש ניסיון של פריצה בכוח לחשבון. אז התהליך הוא כזה שמערכות שונות מודיעות לסים על האירועים, סים אוסף מידע מכל מיני מקורות, מסיק מסקנה ומקפיץ התרעה לצוות הסוק שמנטר את המערכת.
00:45
זה הרעיון הכללי. בפועל יש Life Cycle, מחזור החיים של פיתוח הסים. מה זה מחזור החיים? זה אומר שזה מתחיל בדרישות, אחרי זה עובר לשלב של Data Points.
00:58
Data Points זה נקודות איסוף המידע. אוספים מידע ממכונות של Windows, ממכונות של לינוקס, מכל מיני תחנות עבודה, משרתים, מכל מיני אפליקציות.
01:09
אפליקציה לדוגמה יכולה להיות שרת SQL. אוספים מידע מהכל, וצריך להקפיד שהמידע יכלול יוזרניים, טיימסטמפ, באיזה שעה זה קרה, מי המקור, מי היעד, כדי שנעמוד בדרישות שהגדרנו לפני כן.
01:23
דרישה זה יכול להיות מצב של עשרה לוגינים בארבע דקות. אם יש עשר פעמים כישלונות בלוגין, כניסה למערכת במשך ארבע דקות אני רוצה לקבל התראה זה למעשה הדרישה data points מאיפה אני אוסף את המידע אחרי שאספתי מידע ווידאתי שאני מחובר לכל המערכות הפנימיות שאני יודע לאסוף מכולם לוגים אז אני מתחיל ולידציה בדיקה של הלוג שמגיע אליי לשים זאת אומרת
01:52
firewall ייצר לוג אני רוצה לבדוק שהוא מגיע אליי באופן תקין והוא כולל את כל המידע שצריך השלב הבאה יהיה אימפלמנטציה, יישום בפועל של מערכת ההתרעות של סים עצמו.
02:06
אני עושה אגריגציה, אני אוסף מידע מכל מיני מקורות ומוודא שזה לא פולס פוזיטיב, שזה לא התרעות שווא. אחרי שיש לי כבר מערכת עובדת, אני צריך לעשות דוקומנטציה, לתעד, לעשות סטנדרט אופרטינג פרוסידג'רס, נהלים ברורים מה עושים באיזה מקרה.
02:25
הכל צריך להיות מתועד, גם מקרים וגם תגובות. כמובן שחלק מסוף מתהליכים סטנדרטיים בתוך הארגון יש גם אופציה של אסקלשן, לעלות דרגה, לקרוא לטיר 2, לטיר 3, לקרוא למומחים חיצוניים, זה נקרא אסקלציה.
02:42
אז הכל צריך להיות מתועד. אחרי שהכל מתועד, אנחנו מתחילים אונבורדינג. זה אומר להשתמש בזה בפועל בתוך Production Environment, בתוך סביבת Production, סביבת ייצור.
02:55
זאת אומרת, סביבה שבה