Tekninen näkökulma: Lokienhallinta vai SIEM? Esitetty SIEM -seminaarissa 16.9.2014 (c) Nixu Oy, Pietari Sarjakivi, Jussi-Pekka Liimatainen Lue Nixun sivuilta lisää lokienhallinnasta https://www.nixu.com/fi/palvelualueet/lokienhallinta ja SIEM:stä https://www.nixu.com/fi/palvelualueet/tietoturvatiedon-ja-tapahtumien-hallinta-siem

1. Tekninen näkökulma: Lokienhallinta vai SIEM?
Pietari Sarjakivi, Jussi-Pekka Liimatainen
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 1

2. Aiemmat esitykset tilannekuvasta
 Mittaristot kyberturvan tilannejohtamiseen, Kyberturvallisuusmessut 4.9.2014
 Miten tietomurron voi havaita lokeista?, Talentum Events Infosec SUMMIT 19.11.2013
 SIEM-tilannekuva yritykselle: Yhden casen anatomia, ME 600min Tietoturva 16.4.2013
 Mittarit tietoturvan johtamiseen - Tilannekuva hallintaan, Tietoturvatapahtuma 8.2.2012
 Tietoturvan tilannekuva, Energia-alan seminaari 14.12.2011
 SIEM-projekti ketterasti vaatimukset huomioiden,̈ Tietoturvatasot-seminaari 21.9.2010
 Lisäksi julkaisuja Nixun verkkosivuilla ja blogissa…
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 2

3. 16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 3
Teknologiset erot

4. SIEM**SIEM**
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 4
CMDB-tietoisuus
•Konfiguraatiotietoisuus
•Kriittisyys-luokitus
•Haavoittuvuustieto
Hälytykset
•Korreloidut
hälytykset
•Threat intelligence
Tilannekuva
•Organisaation
laajuinen mittarointi
•Kaikki tapahtumatieto
samassa näkymässä
Näkyvyys verkkoon
•Verkkotapahtumia käsitellään
kuten lokeja
JärjestelmälokiJärjestelmäloki
KäyttöjärjestelmälokiKäyttöjärjestelmäloki
TietoturvatapahtumatTietoturvatapahtumat
Verkkoliikenne
Konfiguraatiotieto
Haavoittuvuustieto
Käyttäjätieto
** Security Information & Event Management

5. 16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 5
Toteutuksen erot

6. 16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 6
Raportit
Hälytykset
Näkymät
Loki
Loki
Loki
Loki
Loki
50% 10% 40%
Lokienhallintaprojektin työn jakautuminen
SIEM-projektin työn jakautuminen
70% 10% 20%

7. Mitä normalisointi tarkoittaa?
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 7
Linux OS:
Aug 16 03:13:53 server1 sshd(pam_unix)[15180]: authentication failure;
logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=2.1.251.17 user=root
AIX OS:
Jul 17 10:28:42 server2 auth|security:warn|warning adclient[4587672]: WARN
<fd:24 PAMVerifyPassword > audit User ’testerman' not authenticated: bad
password
Microsoft SQL server:
Login failed for user '%.*ls'. The login is a SQL Server login and cannot be used
with Windows Authentication.%.*ls
BMC BSA:
[13 Dec 2012 08:13:43,649] [Authentication-Service-Thread-1] [INFO]
[BLAdmin::1.2.1.73] [Appserver] user authentication failed: BLAdmin
Windows:
An account failed to log on. Subject: Security ID: S-1-0-0 Account Name: -
Account Domain: - Logon ID: 0x0 Logon Type: 3 Account For Which Logon Failed:
Security ID: S-1-0-0 Account Name: administrator Account Domain: kone1 Failure
Information: Failure Reason: Unknown user name or bad password ……
Sääntö lokienhallinnassa
Tekstihaku=
authentication failure
| authenticat.*bad.password
| Login failed
| authentication failed
| failed to log on
Sääntö SIEMissä
Catergory = Authentication
Outcome = Failure

8. 16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 8
Kustannuksien erot

9. Mistä TCO koostuu?
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 9
Järjestelmä
• Lisenssi ja tuki: Datan
määrä, lokilähteet,
ominaisuudet
• Infra: Suorituskyky
(CPU, RAM),
tallennustila (HD)
Projekti
• Integraatioiden
kehittäminen
lokilähdetyypeittäin
• Raporttien tuottaminen
• Hälytysten tuottaminen
Ylläpito
• Integraatioiden
päivittäminen
• Versiopäivitykset
• Hälytysten ja raporttien
kehittäminen
Reagointi
• Esille nousseiden
ongelmien korjaus
(incident response)
• Havaittujen ongelmien
perusteella tehdyt
korjaukset

10. Mikä SIEMissä maksaa enemmän?
1. Ohjelmiston ominaisuudet
2. Lokilähdeintegraatiot ei tuettuihin järjestelmiin
3. Huolellisuus
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 10

11. 16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 11
Käyttötapausten erot

12. Lokienhallinnan kypsyystasot
© Nixu 2014 - Julkinen - SIEM-seminaari 2014 12
*Log_Event_Mgmt_WP_DrAntonChuvakin_March2010_Single_en.pdf
16.9.201416.9.2014

13. Pääsynhallinnan valvonta
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 13

14. PCI DSS vaatimustenmukaisuus
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 14

15. Yritysverkon valvonta
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 15

16. Nimipalvelun valvonta
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 16

17. Kiitos!
Nixu Oy
www.nixu.fi/blogi - www.tietovastuu.fi - twitter: @nixutigerteam
P.O. Box 39 (Keilaranta 15), FI-02150 Espoo, Finland
Tel +358 9 478 1011, Fax +358 9 478 1030, nixu.sales@nixu.com
16.9.2014 © Nixu 2014 - Julkinen - SIEM-seminaari 2014 17