SIEM () — объединение двух терминов, обозначающих область применения ПО: SIM (Security information management) — управление информацией о безопасности, и SEM (Security event management) — управление событиями безопасности.
Технология SIEM обеспечивает анализ в реальном времени событий (тревог) безопасности, исходящих от сетевых устройств и приложений, и позволяет реагировать на них до наступления существенного ущерба.
Обзор С растущим объемом информации, которая обрабатывается и передается между различными информационными системами (ИС), организации и отдельные пользователи все больше зависят от непрерывности и корректности выполнения данных процессов. Для реагирования на угрозы безопасности в ИС необходимо иметь инструменты, позволяющие анализировать в реальном времени происходящие события, число которых только растет. Одним из решений данной проблемы является использование SIEM-системH. Karlzen, „An Analysis of Security Information and Event Management Systems: The Use of SIEMs for Log Collection, Management, and Analysis.,“ p. 45, January 2009.. Основополагающий принцип системы SIEM заключается в том, что данные о безопасности информационной системы собираются из разных источников, и результат их обработки предоставляется в едином интерфейсе, доступном для аналитиков безопасности, что облегчает изучение характерных особенностей, соответствующих инцидентам безопасности. SIEM представляет собой объединение систем управления информационной безопасностью (SIM) и управления событиями безопасности (SEM) в единую систему управления безопасностью. Сегмент SIM, в основном, отвечает за анализ исторических данных, стараясь улучшить долгосрочную эффективность системы и оптимизировать хранение исторических данных. Сегмент SEM, напротив, делает акцент на выгрузке из имеющихся данных определенного объема информации, с помощью которого могут быть немедленно выявлены инциденты безопасности. По мере роста потребностей в дополнительных возможностях непрерывно расширяется и дополняется функциональность данной категории продуктов.
Одной из главных целей использования SIEM-систем является повышение уровня информационной безопасности в имеющейся архитектуре за счет обеспечения возможности манипулировать информацией о безопасности и осуществлять упреждающее управление инцидентами и событиями безопасности в близком к реальному времени режимеКотенко И.В., Саенко И.Б., Полубелова О.В., Чечулин А.А. Применение технологии управления информацией и событиями безопасности для защиты информации в критически важных инфраструктурах // Труды СПИИРАН. Вып.1 (20). СПб.: Наука, 2012. С.27-56..
Упреждающее управление инцидентами и событиями безопасности заключается в принятии решений еще до того, как ситуация станет критической. Такое управление может осуществляться с использованием автоматических механизмов, которые прогнозируют будущие события на основе исторических данных, а также автоматической подстройки параметров мониторинга событий к конкретному состоянию системыКотенко И.В.Интеллектуальные механизмы управления кибербезопасностью// Управление рисками и безопасностью. Труды Института системного анализа Российской академии наук (ИСА РАН). Т.41, Москва, URSS, 2009. С.74–103..
SIEM представлено приложениями, приборами или услугами, и используется также для журналирования данных и генерации отчетов в целях совместимости с прочими бизнес-данными.
Понятие управление событиями информационной безопасности (SIEM), введенное Марком Николеттом и Амритом Вильямсом из компании Gartner в 2005 г., описывает функциональность сбора, анализа и представления информации от сетевых устройств и устройств безопасности, приложений идентификации (управления учетными данными) и управления доступом, инструментов поддержания политики безопасности и отслеживания уязвимостей, операционных систем, баз данных и журналов приложений, а также сведений о внешних угрозах. Основное внимание уделяется управлению привилегиями пользователей и служб, службами каталогов и другим изменениям конфигурации, а также обеспечению аудита и обзора журналов, реакциям на инцидентыWilliams, Amrit (2005-05-02). "Improve IT Security With Vulnerability Management". Retrieved 2016-04-09. Security information and event management (SIEM).
Решаемые задачи
сбор, обработка и анализ событий безопасности, поступающих в систему из множества источников; обнаружение в режиме реального времени атак и нарушений критериев и политик безопасности; оперативная оценка защищенности информационных, телекоммуникационных и других критически важных ресурсов; анализ и управление рисками безопасности; проведение расследований инцидентов; принятие эффективных решений по защите информации; формирование отчетных документов.
Источники данных
Access Control, Authentication. Применяются для мониторинга контроля доступа к информационным системам и использования привилегий. DLP-системы. Сведения о попытках инсайдерских утечек, нарушении прав доступа. IDS/IPS-системы. Несут данные о сетевых атаках, изменениях конфигурации и доступа к устройствам. Антивирусные приложения. Генерируют события о работоспособности ПО, базах данных, изменении конфигураций и политик, вредоносном коде. Журналы событий серверов и рабочих станций. Применяются для контроля доступа, обеспечения непрерывности, соблюдения политик информационной безопасности. Межсетевые экраны. Сведения об атаках, вредоносном ПО и прочем. Сетевое активное оборудование. Используется для контроля доступа, учета сетевого трафика. Сканеры уязвимостей. Данные об инвентаризации активов, сервисов, программного обеспечения, уязвимостей, поставка инвентаризационных данных и топологической структуры. Системы инвентаризации и asset-management. Поставляют данные для контроля активов в инфраструктуре и выявления новых. Системы веб-фильтрации. Предоставляют данные о посещении сотрудниками подозрительных или запрещенных веб-сайтов.
Архитектура Обычно, SIEM-система разворачивается над защищаемой информационной системой и имеет архитектуру «источники данных» — «хранилище данных» — «сервер приложений». SIEM-решения представляют из себя интегрированные устройства (all-in-one) либо двух-трехкомпонентные комплексы. Распределенная архитектура чаще всего предполагает большую производительность и лучшие возможности по масштабированию, а также позволяет развернуть SIEM-решение в IT-инфраструктурах с несколькими площадками.
Агенты выполняют первоначальную обработку и фильтрацию, а также сбор событий безопасности.
Передача информации от источников данных может осуществляться несколькими способами:
источник сам инициирует передачу событий (например, отправляет по syslog-протоколу); события с источника забираются пассивно.
Рассмотрим использование этих способов на практике. С первым вариантом все достаточно просто: на источнике указывается IP-адрес устройства, осуществляющего сбор событий (коллектора), и события отправляются адресату. Второй вариант включает агентный или безагентный сбор информации, причем в некоторых SIEM-системах для части источников доступны оба способа. Агентный способ предполагает использование специальной программы-агента, безагентный — настройки источника событий, такие как создание дополнительных учетных записей, разрешение удаленного доступа и/или использования дополнительных протоколов.
Собранная и отфильтрованная информация о событиях безопасности поступает в хранилище данных, где она хранится во внутреннем формате представления с целью последующего использования и анализа сервером приложений.
Сервер приложений реализует основные функции защиты информации. Он анализирует информацию, хранимую в репозитории, и преобразует ее для выработки предупреждений или управленческих решений по защите информации.
Исходя из этого, в SIEM-системе выделяются следующие уровни ее построенияStevens M. Security Information and Event Management (SIEM). Presentation // TheNEbraska CERT Conference, August 9-11, 2005. http://www.certconf.org/presentations/2005/files/WC4.pdf:
сбор данных: осуществляется от источников различных типов, например, файловых серверов, межсетевых экранов, антивирусных программ; управление данными: данные, хранящиеся в репозитории, выдаются по запросам моделей анализа данных; анализ данных: результатом являются отчеты в предопределенной и произвольной форме, оперативная корреляция данных о событиях, а также выдаваемые предупреждения.
Функционирование SIEM Для решения поставленных задач SIEM-системы первого поколения применяют нормализацию, фильтрацию, классификацию, агрегацию, корреляцию и приоритезацию событий, а также генерацию отчетов и предупреждений. В SIEM-системах нового поколения к их числу следует добавить также анализ событий, инцидентов и их последствий, а также принятие решений и визуализацию.
Нормализация приводит форматы записей журналов, собранных из различных источников, к единому внутреннему формату, который затем будет использоваться для их хранения и последующей обработки. Фильтрация событий безопасности заключается в удалении избыточных событий из поступающих в систему потоков. Классификация позволяет для атрибутов событий безопасности определить их принадлежность определенным классам. Агрегация объединяет события, схожие по определенным признакам. Корреляция выявляет взаимосвязи между разнородными событиями. Приоритезация определяет значимость и критичность событий безопасности на основании правил, определенных в системе. Анализ событий, инцидентов и их последствий включает процедуры моделирования событий, атак и их последствий, анализа уязвимостей и защищенности системы, определения параметров нарушителей, оценки риска, прогнозирования событий и инцидентов. Генерация отчетов и предупреждений означает формирование, передачу, отображение или печать результатов функционирования. Визуализация предполагает представление в графическом виде данных, характеризующих результаты анализа событий безопасности и состояние защищаемой системы и ее элементов.
Функциональность Агрегация данных: управление журналами данных; данные собираются из различных источников: сетевые устройства и сервисы, датчики систем безопасности, серверы, базы данных, приложения; обеспечивается консолидация данных с целью поиска критических событий. Корреляция: поиск общих атрибутов, связывание событий в значимые кластеры. Технология обеспечивает применение различных технических приемов для интеграции данных из различных источников для превращения исходных данных в значащую информацию. Корреляция является типичной функцией подмножества Security Event Management. Оповещение: автоматизированный анализ коррелирующих событий и генерация оповещений (тревог) о текущих проблемах. Оповещение может выводиться на «приборную» панель самого приложения, так и быть направлено в прочие сторонние каналы: e-mail, GSM-шлюз итп. Средства отображения (информационные панели): отображение диаграмм помогающих идентифицировать паттерны отличные от стандартного поведения. Совместимость (трансформируемость): применение приложений для автоматизации сбора данных, формированию отчетности для адаптации агрегируемых данных к существующим процессам управления информационной безопасностью и аудита. Хранение данных: применение долговременного хранилища данных в историческом порядке для корреляции данных по времени и для обеспечения трансформируемости. Долговременное хранение данных критично для проведения компьютерно-технических экспертиз, поскольку расследование сетевого инцидента вряд ли будет проводиться в сам момент нарушения. Экспертный анализ: возможность поиска по множеству журналов на различных узлах; может выполняться в рамках программно-технической экспертизы.
Обзор современных систем Согласно исследованию Garther, в число лидеров в 2018 году вошли следующие системы: Splunk, IBM и LogRhythmK. Kavanagh, T. Bussa, G. Sadowski. Magic Quadrant for Security Information and Event Management. Gartner, 3 December 2018. Приведем их краткую характеристику: