سلام، من محمد قنبری هستم و شما دارید به اپیزود دوم پادکست سیم‌باز گوش می‌دید.
این پادکست برای اوناییه که دورهٔ Splunk Enterprise Security من رو گذروندن یا در مسیر یادگیریش هستن و همچنین مهندسان SIEM طراحی شده و هدفمان اینه که مفاهیم تاکتیکی، تجربه‌های واقعی، و دیدگاه‌های تحلیلی رو بیرون از فضای کلاس، با زبانی ساده‌تر ادامه بدیم.
بریم شروع کنیم.

در دنیای امروز، لاگ‌ها و تحلیل اون‌ها دیگه یک انتخاب نیست، بلکه یک ضرورت قطعی برای هر تیم امنیتیه. اگه شما هم به هر شکلی با تحلیل لاگ‌ها درگیر هستید، چه به تازگی کارتون رو شروع کرده باشید و چه سال‌هاست که یک سیستم SIEM رو مدیریت می‌کنید، این پادکست برای شماست.

هدف اصلی ما در این قسمت اینه که ببینیم چطور می‌تونیم لاگ‌هامون رو عملیاتی کنیم و از یک SIEM که صرفاً برای رفع تکلیف و انطباق‌پذیری (Compliance) پیاده‌سازی شده، به سمت یک SIEM تاکتیکی، هوشمند و واقعاً کارآمد حرکت کنیم.

در این مسیر، ابتدا تفاوت این دو رویکرد رو بررسی می‌کنیم، بعد وارد دنیای برنامه‌ریزی و استراتژی‌های جمع‌آوری داده می‌شیم و در نهایت، به محاسبات فنی و مشکلات رایجی که خیلی از سازمان‌ها باهاش دست و پنجه نرم می‌کنند، می‌پردازیم.

پس بیایید با هم اولین قدم رو برداریم و ببینیم که در دوراهی بزرگ پیاده‌سازی SIEM، کدوم مسیر ما رو به مقصد می‌رسونه.

بسیاری از سازمان‌ها سفر خودشون رو در دنیای SIEM با یک هدف مشخص شروع می‌کنند: انطباق‌پذیری یا همون Compliance. این موضوع می‌تونه هم یک فرصت عالی باشه و هم یک تهدید بزرگ. درک تفاوت بین رویکرد مبتنی بر انطباق‌پذیری و رویکرد تاکتیکی، یک تصمیم استراتژیک هست که سرنوشت کل پروژه SIEM شما رو مشخص می‌کنه.

باید منصف باشیم؛ انطباق‌پذیری می‌تونه نقطه شروع خیلی خوبی باشه.  اغلب این الزامات قانونی یا صنعتی هستند که باعث میشن مدیریت بودجه لازم برای خرید و طراحی یک SIEM رو تأیید کنه. این یک اتفاق مثبته، چون حداقل استانداردهای امنیتی رو در سازمان تعریف می‌کنه. اما مشکل اینجاست که این الزامات معمولاً خیلی کلی و مبهم هستند و به ندرت مشخص می‌کنند که دقیقاً چه چیزی باید لاگ‌برداری بشه.

و اینجاست که مشکلات شروع میشن. چون الزامات واضح نیستند، خیلی از تیم‌ها به سمت جمع‌آوری هر لاگی که به دستشون می‌رسه حرکت می‌کنند. نتیجه؟ یک سیستم SIEM “متورم”، کند و غیرپاسخگو. سیستمی که پر از لاگ‌های بی‌ارزشه و وقتی واقعاً بهش نیاز دارید، شما رو ناامید می‌کنه. بذارید اینطور بگم: اگر اجرای یک جستجوی ساده در SIEM شما نیاز به یک استراحت و نوشیدن قهوه داره، شما یک مشکل جدی دارید.

در مقابل، یک SIEM تاکتیکی قرار داره. هدف این رویکرد، شناسایی و پاسخ به رخدادهای امنیتی و ایجاد ارزش افزوده برای سازما‌نه. یک SIEM تاکتیکی، یک موجود زنده است؛ دائماً در حال تکامل و تنظیمه. جالبه بدونید که این سیستم‌ها اغلب با داده‌های بسیار کمتر، ارزش بسیار بیشتری تولید می‌کنند.

البته، ساخت و نگهداری یک SIEM تاکتیکی کار ساده‌ای نیست و نیاز به تلاش و تخصص زیادی داره.  برای مثال، برای به‌روز نگه داشتن یک SIEM تاکتیکی، شما باید آخرین تکنیک‌های نفوذ رو در یک محیط آزمایشگاهی شبیه‌سازی کنید، ببینید چه رخدادهای کلیدی تولید میشن و بعد اون‌ها رو به سیستم SIEM خودتون اضافه کنید. این یک فرآیند پویا و بی‌پایانه.

پس قبل از هر چیز باید هدف اصلی خودمون رو مشخص کنیم. بیایید ببینیم تعریف رسمی و هدف واقعی یک سیستم SIEM چیه.

صرف نظر از اینکه رویکرد شما تاکتیکیه یا مبتنی بر انطباق‌پذیری، یک SIEM اهداف مشخصی داره. درک این اهداف به ما کمک می‌کنه تا از پیاده‌سازی‌های شکست‌خورده جلوگیری کنیم.

موسسه معتبر گارتنر، SIEM رو اینطور تعریف می‌کنه:

“فناوری SIEM از طریق جمع‌آوری و تحلیل (هم به صورت نزدیک به زمان واقعی و هم تاریخی) رخدادهای امنیتی و همچنین طیف گسترده‌ای از منابع داده متنی و رخدادهای دیگر، از شناسایی تهدید، انطباق‌پذیری و مدیریت حوادث امنیتی پشتیبانی می‌کند.”

اگر این تعریف رو بشکافیم، به چهار مؤلفه اصلی می‌رسیم:

اما واقعیت همیشه با این تعریف ایده‌آل مطابقت نداره. اکثر هشدارهای پیش‌فرض محصولات SIEM نیاز به تنظیم دقیق یا حتی غیرفعال‌سازی دارند تا از حجم بالای هشدارهای غلط جلوگیری بشه. همچنین، خیلی از محصولات در زمینه تحلیل تاریخی ضعف دارند و این قابلیت رو صرفاً به ذخیره لاگ‌ها برای تحلیل‌های دستی محدود می‌کنند.

این یک حقیقت مهمه که باید با اون روبرو بشیم:  هیچ راه‌حل SIEM “آماده مصرف” یا “out of the box” وجود نداره. هر محیط سازمانی منحصر به فرد و پیچیده‌ست. یک سازمان با ده هزار سیستم، به راحتی می‌تونه بیش از ۱۰۰ منبع رخداد مختلف داشته باشه. جمع‌آوری و همبسته‌سازی لاگ‌ها از این همه منبع متنوع، کار فنی دشواری نیست. بخش سخت ماجرا، پیدا کردن افراد و زمان لازم برای پیکربندی مداوم این سیستم‌هاست.

با توجه به این پیچیدگی‌ها، یک چیز کاملاً روشنه: برنامه‌ریزی دقیق، حیاتی‌ترین گام برای موفقیته.

بسیاری از پروژه‌های SIEM قبل از اینکه حتی شروع بشن، شکست می‌خورند و دلیل اصلی اون، فقدان برنامه‌ریزیه.  این مرحله استراتژیک، سنگ بنای کل سیستم شماست.

قبل از نوشتن حتی یک خط کد یا خرید هرگونه سخت‌افزاری، باید از خودتون این سوالات رو بپرسید:

در مورد نحوه پیاده‌سازی، دو رویکرد اصلی وجود داره:

تصمیم‌گیری در مورد استراتژی، ما رو به یک سوال مهم‌تر می‌رسونه: استراتژی ما برای خودِ «جمع‌آوری داده» چیه؟

انتخاب استراتژی جمع‌آوری داده یکی از مهم‌ترین تصمیمات در طراحی یک SIEM کارآمده. گارتنر در این زمینه دو اصطلاح کلیدی رو معرفی کرده: input-driven و output-driven.

حالا که می‌دونیم «چگونه» جمع‌آوری کنیم، سوال بعدی اینه که «چه چیزی» رو جمع‌آوری کنیم؟

انتخاب منابع لاگ از میان گزینه‌های بی‌شمار مثل سیستم‌عامل‌ها، فایروال‌ها، پایگاه‌داده‌ها، تجهیزات شبکه و… می‌تونه یک چالش بزرگ باشه.

همونطور که گفتیم، الزامات مبهم انطباق‌پذیری خیلی از سازمان‌ها رو به سمت این ذهنیت اشتباه سوق میده که “باید همه چیز را لاگ‌برداری کنم”. توصیه ما اینه: الزامات انطباق‌پذیری خودتون رو با دقت تحلیل کنید. در اکثر موارد، اون‌ها اونقدرها هم که فکر می‌کنید سخت‌گیرانه نیستند.

دان مورداک (Don Murdoch)، یکی از متخصصان برجسته امنیت، یک توصیه طلایی داره که می‌تونه راهنمای ما باشه. او می‌گه:

 “اگر مجبور به انتخاب هستید، داده‌های قابل انتساب به کاربر را بر همه چیز ترجیح دهید. این کار یک نقطه تماس برای شما فراهم می‌کند که ممکن است رفتار مشاهده‌شده را بهتر از هر حدس و گمانی توضیح دهد.”

این توصیه فوق‌العاده مهمه. تمرکز بر لاگ‌هایی که به یک کاربر خاص مرتبطه (مثل لاگین‌ها، دسترسی به فایل‌ها و…) به شما قدرت توضیح میده. به جای ساعت‌ها حدس و گمان برای تحلیل یک رفتار مشکوک، شما می‌تونید خیلی ساده از خود اون کاربر بپرسید که چه اتفاقی افتاده. این کار می‌تونه یک رخداد امنیتی رو در چند دقیقه حل کنه، نه چند ساعت.

خب، حالا که استراتژی‌ها رو مشخص کردیم، وقتشه که وارد بخش فنی و یکی از حساس‌ترین مراحل بشیم: محاسبات و سایزبندی SIEM.

سایزبندی نادرست SIEM می‌تونه به راحتی کل پروژه شما رو با شکست مواجه کنه. اگر سیستم شما نتونه حجم لاگ‌ها رو پردازش کنه، شما شروع به از دست دادن لاگ‌ها (Log Dropping) می‌کنید و این یعنی از دست دادن دیده‌بانی. دو معیار اصلی در اینجا وجود داره: EPS و فضای ذخیره‌سازی.

با وجود بهترین برنامه‌ریزی‌ها و محاسبات، هنوز هم دام‌هایی وجود داره که می‌تونن موفقیت پروژه شما رو تهدید کنند.

این بخش یک چک‌لیست از اشتباهات رایجه که باید از اون‌ها دوری کنید:

این دام‌ها، هشدارهای نهایی ما بودند. حالا بیایید تمام نکات رو در یک جمع‌بندی نهایی مرور کنیم.

در این پادکست، ما یک سفر فشرده به دنیای ساخت یک SIEM تاکتیکی داشتیم. یاد گرفتیم که باید از ذهنیت صرفاً انطباق‌پذیری فاصله بگیریم و به سمت یک رویکرد تاکتیکی و ارزش‌آفرین حرکت کنیم. دیدیم که برنامه‌ریزی دقیق، انتخاب هوشمندانه استراتژی جمع‌آوری داده (ترجیحاً رویکرد ترکیبی) و محاسبات واقع‌بینانه برای حجم لاگ و فضای ذخیره‌سازی، ستون‌های اصلی یک پروژه موفق هستند.

و در نهایت، پیام کلیدی اینه:  یک SIEM موفق یک محصول نیست که بخرید و نصب کنید؛ بلکه یک فرآیند مداوم است که به تخصص، زمان و مراقبت همیشگی نیاز دارد.

از اینکه در این قسمت با ما همراه بودید، سپاسگزارم. امیدوارم این نکات برای شما مفید بوده باشه. تا قسمت بعدی، امن و هوشیار باشید.