Ta kontroll över dina loggar och gör dem användbara!

Transkript

1 Ta kontroll över dina loggar och gör dem användbara! Robin Crohns Technical Specialist Symantec Security Information Manager 1

2 Loggböcker i en marin värld Loggbok, även skeppsdagbok eller skeppsjournal, är en bok där man antecknar löpande i en kronologisk ordning uppgifter ombord vid lastning eller lossning av gods, angöring och avgång. Under sjöresa införs dagliga anteckningar alltefter som resan framskrider, uppgifter är såsom fart, kurs, avverkad distans och positionsbestämning. Symantec Security Information Manager 2

3 Ansvaret för loggboken Anteckningarna i loggboken skall göras av styrman med överseende av befälhavaren löpande om fartygets säkerhet och tillstånd, till sjöss i allmänhet senast vid vaktbyte, och uppgifter får inte strykas, utan måste vid behov rättas med en skild anteckning. Logg används i överförd bemärkelse om andra anteckningar av motsvarande karaktär, såsom i datorers loggfiler. Symantec Security Information Manager 3

4 Loggböcker i en IT värld Dagens utmaningar som minskar central kontroll För många olika system som hanteras oberoende av varandra Säkerhetsprodukter genererar massiva mängder loggposter Förstårelationen mellan händelser och olika system Mer information krävs för att avgöra om ett intrång har inträffat Krav på öppenhet mot kunder, partners och omvärlden Firewalls Applications Routers Intrusion Detection Systems Servers Symantec Security Information Manager 4

5 Från loggdata till information och kunskap Firewalls/ VPN Intrusion Detection Systems Server and Desktop OS Network Equipment Vulnerability Assessment Anti-Virus Applications Databases User Activity Monitoring Critical file modifications Policy Changes Malicious IP Traffic Web Traffic Identified. threats Known vulnerabilities Business-critical IT assets Tens of Millions: Raw Events Millions: Security Relevant Events Hundreds: Correlated Events Risk-based Prioritization Threat Determined Symantec Security Information Manager 5

6 Centralt system för logghantering Symantec Security Information Manager Management console Firewall logs Antivirus Server Mail and Groupware Security server Vulnerability Management Server Symantec Security Information Manager 6

7 Vad är Security Information Manager? Broad and customizable High volume processing Meaningful normalization Assured reliability Flexible capacity Archive segmentations Quick queries/searches Retention Policy Automation Security Information Manager Pattern based rules Global Intelligence Network integration Asset groupings Over 400 out of box queries Customizable consoles Web based portals Raw event data viewer Over 150 out of the box compliance reports Presentation Identifier Goes Here 7 7

8 Traditionella SIEM lösningar fokuserar bara på interna aktiviteter... Firewall breaches Infected systems Virus outbreaks Privileged user activities Other internal events Antivirus Mail and Groupware OS Corporate Network Database Firewalls Syslogs Other sources IDS/IPS Vulnerability Scanners Symantec Security Information Manager 8

9 Externa aktiviteter blir än mer viktiga! OS Additional Intelligence on: Malicious IPs Botnet IPs Firewall breaches Infected systems Virus outbreaks Privileged user activities Antivirus Mail and Groupware Corporate Network Database Firewalls Worm IPs Other internal events Syslogs Other sources IDS/IPS Vulnerability Scanners Symantec Security Information Manager 9

10 Fördelar med central logghantering Möjlighet att korrelera händelser från olika system. All loggdata centralt och tillgängligt för befälhavarna utan att vara beroende av en styrman. Centralt och proaktivt reagera på säkerhetsincidenter. Reaktivt använda insamlade loggar för att enkelt söka efter svar på frågor eller finna bevis för att fälla eller fria. Symantec Security Information Manager 10

11 Hur kommer verksamheten in i denna tillämpning? Bättre överblick minimerar dyra brandkårsutryckningar. Effektivisera organisationen och förtydliga roller för hantering av säkerhetsincidenter. Informationen finns kvar för analys av händelser långt bak i tiden för att finna händelser och mönster som inträffat. Verksamheten kan oftare och schemalagt få tätare statusrapportering. Symantec Security Information Manager 11

12 Hantera IT säkerhet med SIEM FÖRHINDRA INFORMERA EFTERLEVA Monitorera access överträdelser av användare ndare Prioritera attacker när n de inträffar Minimera påverkan p med snabbare åtgärder Assistera vid forensiska analyser Etablera mätvm tvärden och trender Korrelera med global hotbild Samla, fråga och analysera loggdata Uppfyll långsiktiga l lagringskrav av loggdata Tillhandahåll information till revisorer Symantec Security Information Manager 12

13 SIEM är inte bara teknik! Ta ut en bäring Verifiera att befälhavaren är delaktig Hur många systemöar skall ingå i resan Symantec Security Information Manager 13

14 Tack för uppmärksamheten! Robin Crohns Copyright 2010 Symantec Corporation. All rights reserved. Symantec and the Symantec Logo are trademarks or registered trademarks of Symantec Corporation or its affiliates in the U.S. and other countries. Other names may be trademarks of their respective owners. This document is provided for informational purposes only and is not intended as advertising. All warranties relating to the information in this document, either express or implied, are disclaimed to the maximum extent allowed by law. The information in this document is subject to change without notice. Symantec Security Information Manager 14