Hegyi Béla, technikai tanácsadó. Cisco MARS Bemutatása

Átírás

1 Hegyi Béla, technikai tanácsadó Cisco MARS Bemutatása

2 Tartalom Hálózati eszközök menedzsmentje a probléma CS-MARS terminológia, alapfogalmak MARS termékcsalád MARS bevezetése A megvalósított megoldás előnyei, tapasztalatok

3 Hálózati eszközök menedzsmentje Problémák Túl sok és elosztott információ, nehéz kiválasztani az igazán fontosakat Nehezen értelmezhető naplóüzenetek Lassúreakció Emberi erőforrásigény magas Igények Gyors reakció Hatékony válaszlépések Csak a szükséges üzenetek megjelenítése Támadás nyomon követése, összefüggések felismerése Riportok készítése

4 Hálózati eszközök menedzsmentje

5 MARS terminológia Event: MARS-ra riportoló eszközök által küldött nyers log-üzenetek. Firewall Log Switch Log Switch Cfg. Router Cfg. IDS Event Firewall Cfg. NAT Cfg. Netflow. Server Log AV Alert App Log VA Scanner Session: korrelált event-ek (események). Incident: szabályra illeszkedő, korrelált események által kiváltott riasztás. Correlation Isolated Events Sessions Rules Verify Valid Incidents Reduction

6 MARS termékcsalád Egyszerű telepítés Agent nélküli esemény gyűjtés Incidensek topológiai megjelenítése L2, L3 védekezési mechanizmusok Hibajegy kezelés Magas rendelkezésre állás

7 MARS termékcsalád Web interface és CLI

8 MARS termékcsalád Támogatott eszköztípusok Router Switch Tűzfal IDS/IPS VPN Anti-vírus Operációs rendszerek Web-szerverek Adatbázis szerverek AAA szerverek Támogatott gyártók Cisco eszközök nagy része Alapértelmezetten támogatott gyártók Egyedileg illesztett megoldások (Custom Parser)

9 MARS termékcsalád Local Controller Global Controllerarchitektúra

10 MARS termékcsalád Local Controller Models Event/sec NetFlows/Sec Storage Cisco Security MARS 20R GB (non-raid) Cisco Security MARS GB (non-raid) Cisco Security MARS GB RAID 0 Cisco Security MARS 100e GB RAID 10 hot-swappable Cisco Security MARS GB RAID 10 hot-swappable Cisco Security MARS ,000 GB RAID 10 hot-swappable Cisco Security MARS 110R ,500 GB RAID 10 hot-swappable Cisco Security MARS ,500 GB RAID 10 hot-swappable Cisco Security MARS ,000 GB RAID 10 hot-swappable

11 MARS termékcsalád Global Controller Models LC Models Supported Maximum Connections Storage Cisco Security MARS GCm MARS 20/50 only 5 1 TB RAID 10 hotswappable Cisco Security MARS GC MARS 20/50/100/100e/200 only Not currently restricted 1 TB RAID 10 hotswappable Cisco Security MARS GC2 R MARS 20/50 only 5 2 TB RAID 10 hotswappable Cisco Security MARS GC2 All Cisco Security MARS Not currently restricted 2 TB RAID 10 hotswappable

12 MARS bevezetés Sok log-üzenet Logok tárolása hosszú időre visszamenőleg Szerepkör alapú adminisztráció Incidensek/riasztások küldése célcsoportoknak Magas rendelkezésre állás Törvényi előírások PSZÁF ajánlások

13 MARS bevezetés PSZÁF ajánlások Mai állapot előzményének a 2000-ben megjelent felügyeleti ajánlás tekinthető A Pénzügyi Szervezetek Állami Felügyelete Felügyeleti Tanácsának 11/2006. számú ajánlása a belső védelmi vonalak kialakításáról és működtetéséről A Pénzügyi Szervezetek Állami Felügyeletének 1/2007. számú módszertani útmutatója a pénzügyi szervezetek informatikai rendszerének védelméről (COBIT 3. verzió hivatkozásokkal)

14 MARS bevezetés Az informatika biztonsági felelősnek gondoskodnia kell arról, hogy a biztonságot érintő eseményekről nyilvántartást vezessenek, továbbáarról, hogy a rendszer a biztonsági intézkedések megsértésére utaló jelzésekről azonnal értesítse az összes, belső és külső, érintett felet és kellő időben megtegyék a szükséges válaszlépéseket. A rendszerek által készített naplók biztonsági szempontú elemzését folyamatosan, dokumentált módon kell végezni. Több rendszer, vagy nagyobb szervezet esetén a naplóelemzés megfelelő informatikai támogatásának biztosítása szinte elengedhetetlen a megfelelő színvonalú és költség-hatékony munkához.

15 MARS bevezetés MARS modell kiválasztása MARS-ra riportoló eszközök száma Eszközök jelenlegi logolási beállításainak vizsgálata Logolási szintek vizsgálata Tárkapacitás figyelembe vétele Days = Usable storage / (Event size * EPS *86.400)

16 MARS bevezetés Model Total storage Available storage MARS-20R 120 GB 77 GB MARS GB 77 GB MARS GB 155 GB MARS-100E 750 GB 565 GB MARS GB 565 GB MARS GB 795 GB MARS-110R 1500 GB 866 GB MARS GB 866 GB MARS GB 1221 GB

17 MARS bevezetés MARS modell kiválasztása Átlagos és maximum EPS Megfelelő tartalék Jelenlegi logkezelés, archiválás áttekintése Az új rendszer feleljen meg a jelenlegi rendszerrel szemben támasztott követelményeknek is. Mentési rendszerhez való illeszthetőség vizsgálata Jövőbeli igények

18 MARS bevezetés Szerepkör alapú adminisztráció Konfigurációs jogok beállítása Riasztások beállítása Megfelelő riasztások a megfelelő személyeknek Csoportok bevezetése

19 MARS bevezetés Szerepkörök Admin Security Analyst Operator Notifications Only

20 MARS bevezetés Szabály létrehozása Cél/Forrás IP cím Szolgáltatás Esemény Eszköz Kulcsszó Eseményszám Eseménysorozatok

21 MARS bevezetés Action beállítása szabályonként Példa riasztás küldése e- mail-ben címzettek testre szabása: csoportok, felhasználók Riasztást a szükséges incidensekről, a megfelelő személyeknek, csoportoknak

22 A bevezetett rendszer előnyei Kisebb emberi erőforrás igény Gyorsabb reakcióaz incidensekre, eseményekre Az incidensekről csak a megfelelő személyek kapnak tájékoztatást letisztult jogkörök, feladatok Egyedi igényeinek megfelelő szabályok létrehozása

23 A bevezetett rendszer előnyei Könnyen összeállíthatólekérdezések Gyors riportkészítési lehetőségek

24 További információk Hegyi Béla

25 Hegyi Béla, technikai tanácsadó Köszönöm figyelmüket!