數據安全對于大多數組織來(lái)說(shuō)是一個(gè)持續的挑戰，但利用您的 IT 管理數據可以使其變得更容易。數據安全改進(jìn)可能是一項昂貴的必需品，但有一些方法可以使用您的網(wǎng)絡(luò )和系統管理數據免費進(jìn)行這些改進(jìn)。雖然您的網(wǎng)絡(luò )和系統管理平臺無(wú)法取代您的 SIEM 或 IDS，但進(jìn)行這些改進(jìn)可以通過(guò)多種有價(jià)值的方式提高您的效率。

• 由于軟件的不同專(zhuān)業(yè)化，基于管理數據的安全性具有許多安全平臺以廉價(jià)或易于訪(fǎng)問(wèn)的方式缺乏的優(yōu)勢。
• 下面討論的一些好處也可能與 IDS 一起使用，但沒(méi)有人讓他們的 IDS 在其環(huán)境中的每個(gè)端口上運行。
• 使用現有工具而不是新工具可以減輕勞動(dòng)力負擔，從而節省培訓、維護和管理費用的時(shí)間和金錢(qián)。
• 此外，將安全功能集成到您的整體 IT 管理平臺可以大大提高您指揮中心的整體安全意識。這還可以通過(guò)提高跨多個(gè)團隊的可見(jiàn)性來(lái)減少響應安全事件所需的時(shí)間。

提高數據安全性的 5 種方法

1. 觀(guān)察網(wǎng)絡(luò )流量是否有異常行為

如果您監控到我們始終建議的單個(gè)交換機端口級別，您將擁有非常精細的數據，可用于發(fā)現行為變化。

流量突然激增可能是發(fā)現受感染系統或開(kāi)始執行網(wǎng)絡(luò )掃描或其他類(lèi)型偵察的系統的簡(jiǎn)單方法。為確保您不會(huì )遺漏任何內容，您還要監控接入交換機端口。這使您可以密切關(guān)注最終用戶(hù)系統，而無(wú)需在每個(gè)系統上安裝端點(diǎn)監控軟件的開(kāi)銷(xiāo)和麻煩。此外，如果入侵者可以禁用或規避端點(diǎn)監控，這甚至可以幫助發(fā)現端點(diǎn)監控可能遺漏的問(wèn)題。

從交換機的角度尋找入站流量的突然峰值是查找此類(lèi)流量來(lái)源的好方法，您甚至可以跨多個(gè)交換機、路由器和防火墻對其進(jìn)行跟蹤。

總體流量水平的長(cháng)期變化，或后臺流量水平的大幅躍升，都清楚地表明系統現在正在以不同的方式使用。因此，問(wèn)題就變成了這種行為變化是否可以解釋。我們有一個(gè)客戶(hù)使用這種方法發(fā)現一名 IT 工作人員已經(jīng)開(kāi)始將他們的數據庫備份到他的本地硬盤(pán)驅動(dòng)器上。您可以更好地相信他們與他就正確的備份過(guò)程和數據安全性進(jìn)行了很好的交談。

為了發(fā)現這種不尋常的行為，您需要有一種方法來(lái)發(fā)現它，而無(wú)需不斷生成手動(dòng)基線(xiàn)。畢竟，一個(gè)月中特定日期的流量激增對于系統來(lái)說(shuō)可能是完全正常的。使用我們的異常檢測技術(shù)解決了這個(gè)問(wèn)題。

為這些數據保留了大量的高分辨率遙測和統計數據，用于自動(dòng)生成基線(xiàn)行為模型。然后，我們將當前行為與一天中的某個(gè)時(shí)間、一周中的某天或其他基于時(shí)間的測量的正常行為進(jìn)行比較。您可以將靈敏度設置為高、中或低，具體取決于您的容差和環(huán)境，以及該統計數據的通常范圍，以微調過(guò)程。您還可以按需手動(dòng)運行此數據。

然后，該信息用于檢測何時(shí)發(fā)生異常情況，我們可以將其標記為異常，然后可以生成警報或報告。這使您可以發(fā)現這些意外行為，并收到有關(guān)它們的通知或將它們推送到您的 SIEM 進(jìn)行分析。

您還想觀(guān)察設備之間發(fā)生的情況。除了查找整體帶寬的異常之外，您還可以使用這些數據來(lái)監控網(wǎng)絡(luò )層結構，例如服務(wù)質(zhì)量 (QoS) 和 VRF 實(shí)例。這擴展了您的可見(jiàn)性，以查找諸如 QoS 錯誤配置之類(lèi)的問(wèn)題，您將流量發(fā)送到錯誤的隊列中。它還允許您查找通過(guò)錯誤 VRF 發(fā)送的流量；即使它不是主動(dòng)入侵，也可能是一個(gè)安全問(wèn)題，并為我們提供了另一個(gè)尋找異常流量的地方，特別是如果它來(lái)自許多不同的來(lái)源。

2. 利用過(guò)程級別的異常檢測技術(shù)

要監控的明顯數據點(diǎn)之一是正在運行的進(jìn)程或新運行進(jìn)程的總數。系統上出現新進(jìn)程時(shí)立即收到通知可能是一個(gè)很好的指標，表明需要進(jìn)行一些調查。如果您當前的 IDS/IPS 沒(méi)有擴展到服務(wù)器操作系統級別，則尤其如此，這是很多公司無(wú)法承受的。同樣重要的是要考慮并非所有 IDS 系統都會(huì )標記它，例如當服務(wù)器突然開(kāi)始運行瀏覽器或安裝程序時(shí)。

您還應該注意現有進(jìn)程的 CPU 或內存使用情況的突然變化。無(wú)論如何，出于性能原因，這通常是一個(gè)好主意。然而，如果 SQL CPU 使用率出現超過(guò)一天中正常時(shí)間的峰值，則可能表明未經(jīng)授權的登錄嘗試激增。您還可以觀(guān)察其他類(lèi)型的進(jìn)程行為，例如數據庫查詢(xún)或鎖定的數量或登錄用戶(hù)的數量，因為異?；顒?dòng)也可能是您想要調查的潛在安全問(wèn)題。

3. 監控日志異常

雖然這樣做通常是您的 SIEM 的領(lǐng)域，但您可以在這里做一些事情，這可能有助于使用異常檢測來(lái)補充這一點(diǎn)。 觀(guān)察每一條可能的日志消息——并試圖標記那些可能意味著(zhù)問(wèn)題的消息——通常太吵了，而且很難做好。此外，防火墻日志可能已由 SIEM 處理。因此，您觀(guān)察它們的方式是通過(guò)在日志中查找統計異常等操作。

生成的日志總量突然激增可能表明各種事情，包括安全問(wèn)題、暴力攻擊，甚至只是導致問(wèn)題的軟件錯誤。由于您正在查看日志消息的數量和類(lèi)型，這為您提供了一個(gè)有趣的視角來(lái)尋找異常行為。當然，您仍然可以自己鉆取日志消息，以便在系統標記異常后進(jìn)行故障排除或取證。您還可以創(chuàng )建規則來(lái)過(guò)濾您正在監視的日志消息。例如，如果您只想計算登錄失敗消息，您也可以輕松地做到這一點(diǎn)。

您可以創(chuàng )建靜態(tài)閾值來(lái)發(fā)現事情何時(shí)完全偏離軌道，但異常更容易使用。如果應用程序在每個(gè)星期一早上都有大量的登錄高峰，但在星期五幾乎沒(méi)有，那么當星期五由于憑據受損而突然出現高峰時(shí)，創(chuàng )建靜態(tài)警報就不會(huì )很好地工作。

4. 使用配置管理數據確保安全

這似乎是一個(gè)顯而易見(jiàn)的問(wèn)題，但即使您已經(jīng)在使用配置管理數據，也有一些關(guān)鍵點(diǎn)可以確保它是安全過(guò)程的一部分。要問(wèn)的第一個(gè)問(wèn)題是這些變更警報的去向。是網(wǎng)絡(luò )團隊，還是安全團隊，還是兩者兼而有之？變更管理數據呢？

這對于觀(guān)察防火墻配置的變化尤其重要。這聽(tīng)起來(lái)很明顯，但您會(huì )驚訝于這種情況發(fā)生的頻率。有時(shí)只是因為安全團隊和網(wǎng)絡(luò )團隊溝通不暢。但是讓每個(gè)人都知道設備配置何時(shí)以及發(fā)生了什么變化可以節省大量的故障排除時(shí)間。請特別注意這些配置更改警報何時(shí)發(fā)生。您是否有預定義和批準的變更窗口？您可能需要特別注意從這些窗戶(hù)外進(jìn)來(lái)的任何東西。

您還應該確保已將這些警報與您的 SIEM 或票務(wù)系統集成。最重要的是，確保每次收到配置更改警報時(shí)，都會(huì )根據您的更改控制流程對其進(jìn)行審核和審查，以便您知道不會(huì )對您的基礎架構或防火墻進(jìn)行未經(jīng)批準的更改。

5. 觀(guān)察交通流量數據

您可以使用 Netflow 或 IPFIX 等基礎設施設備中已內置的技術(shù)來(lái)收集有關(guān)網(wǎng)絡(luò )上誰(shuí)在與誰(shuí)通話(huà)以及正在使用哪些協(xié)議的信息。觀(guān)察網(wǎng)絡(luò )上突然出現的新協(xié)議是了解環(huán)境中正在發(fā)生的事情的好方法。但是，這在較大的環(huán)境中可能會(huì )有些棘手。例如，您可能有團隊幾乎不斷地部署新應用程序，如果您沒(méi)有良好的變更控制溝通，您可能并不總是知道新應用程序何時(shí)上線(xiàn)。

最容易尋找的事情之一是控制類(lèi)型流量的峰值，因為這些絕對是出現問(wèn)題的危險信號。這可能是路由更新、ICMP 流量、DNS 請求的突然激增，甚至是 VPN 流量的意外激增。也許遠程工作人員正在下載數據以離線(xiàn)工作，或者他正在復制客戶(hù)數據庫以出售給競爭對手——無(wú)論哪種方式，都值得研究。

監控您的應用程序響應時(shí)間

監控您的應用程序響應時(shí)間起初似乎沒(méi)有安全隱患，但它絕對可以。蠻力攻擊或 DDoS 攻擊可能會(huì )導致您的應用程序變慢，并且此數據可以與其他服務(wù)器性能指標相關(guān)聯(lián)，以查看流量??是否合法。

這對于云托管系統尤其重要，因為我們可能無(wú)法深入訪(fǎng)問(wèn)服務(wù)器級信息。在許多托管環(huán)境中，您可能根本沒(méi)有操作系統可見(jiàn)性，因此管理頂層性能是您必須使用的唯一真實(shí)指標，具體取決于您的應用程序的檢測方式。

云提供商通常會(huì )構建某種級別的 DDoS 保護，但很少提供針對暴力破解或密碼重放式攻擊的任何保護。因此，您無(wú)法控制——或者在大多數情況下，甚至無(wú)法看到——所有進(jìn)出系統的流量。一個(gè)簡(jiǎn)單的方法是使用異常檢測來(lái)觀(guān)察響應時(shí)間的突然變化。這也可以是一個(gè)很好的性能數據管理工具。

看大圖

一旦您擁有所有這些出色的數據，您需要確保您正在共享它。通過(guò)向價(jià)值流中的每個(gè)人提供數據，每個(gè)人都對現實(shí)有共同的看法，這有助于溝通，并展示透明度，從而增強信任。成功的一個(gè)關(guān)鍵是讓訪(fǎng)問(wèn)信息變得容易和快速。團隊不會(huì )覺(jué)得他們需要有自己的監控，這會(huì )產(chǎn)生大量的警報噪音和多余的工作，以及產(chǎn)生管理、支持和維護支出問(wèn)題。

如果受眾是非技術(shù)人員（并且總是有一些非技術(shù)人員需要參與其中），請不要猶豫，將數據簡(jiǎn)化或抽象為更易于理解的格式。一種方法是使用我們的業(yè)務(wù)工作流視圖，它允許您將整個(gè)應用程序及其所有組件部分滾動(dòng)到一個(gè)百分比分數中。共享此數據可以采用多種形式，具體取決于適合您的環(huán)境的方式。API、公共共享頁(yè)面或內網(wǎng)頁(yè)面、未經(jīng)身份驗證的狀態(tài)頁(yè)面和信息輻射器。

信息輻射器只是設計用于在公共區域顯示重要狀態(tài)信息的系統。例如，每個(gè)人都經(jīng)過(guò)的走廊墻上的監視器。團隊可以根據受眾顯示應用程序視圖或更多技術(shù)視圖。這使您可以讓所有團隊保持同步，不僅是狀態(tài)數據，還有有用的操作指標，如響應時(shí)間或事務(wù)速度。

使用信息輻射器還可以讓我們積極展示核心價(jià)值觀(guān)，例如團隊對訪(fǎng)問(wèn)者（客戶(hù)、利益相關(guān)者等）沒(méi)有什么可隱瞞的，對自己也沒(méi)有什么可隱瞞的。它承認并面對問(wèn)題。

與 SIEM 工具集成

我們討論的其中一件事是將所有這些數據與您的 SIEM 集成，并將安全警報滾動(dòng)到您的儀表板中。對于來(lái)自 SIEM 的入站警報，這很容易。有一個(gè)非常簡(jiǎn)單的 API，可以讓您的其他系統將警報直接“推送”到我們的平臺，然后您可以在自定義儀表板和視圖上顯示。這也可以集成到您的所有指揮中心操作中。

對于集成出站消息，例如配置更改警報或異常警報，您有許多不同的選擇。您可以使用 webhook、JSON，甚至是電子郵件消息、Syslog 或 SNMP 陷阱，如果您的平臺能夠支持的話(huà)。

我們提供了一種編輯這些消息格式的簡(jiǎn)單方法，因此您可以確保將它們定制為您的 SIEM 可以輕松處理和解析的格式。您還可以在這些消息中包含各種信息；包括文檔信息，如序列號、資產(chǎn)標簽、運行手冊信息或現場(chǎng)負責聯(lián)系信息。