SIEM合規(guī)審計(jì)平臺(tái)

SIEM合規(guī)審計(jì)平臺(tái)AgendaMcAfeeSIEM系統(tǒng)介紹相關(guān)報(bào)表儀表板介紹UseCase介紹資質(zhì)和成功案例介紹SIEM介紹SecurityInformation&EventManagement(SIEM)是兩種不同技術(shù)的演變和整合安全事件管理(SEM)主要目的是收集和統(tǒng)計(jì)安全事件信息安全管理(SIM)主要目的是標(biāo)準(zhǔn)化和關(guān)聯(lián)安全事件，進(jìn)行深入挖掘SecurityInformation&EventManagement(SIEM)采用了如下技術(shù):日志數(shù)據(jù)收集關(guān)聯(lián)統(tǒng)計(jì)標(biāo)準(zhǔn)化保存分析和工作流123驅(qū)動(dòng)SIEM部署實(shí)施的三個(gè)主要因素實(shí)時(shí)地威脅可視性安全運(yùn)維的高效性

合規(guī)和日志管理的需求分布式部署和Combo設(shè)備McAfeeADM應(yīng)用程序數(shù)據(jù)監(jiān)控Layer7數(shù)據(jù)解碼完整的原始數(shù)據(jù)收集應(yīng)用可視性100sofapplicationsand500+documenttypes數(shù)據(jù)可視性監(jiān)控主流數(shù)據(jù)庫(kù)的數(shù)據(jù)流McAfeeDBM數(shù)據(jù)庫(kù)訪問(wèn)行為監(jiān)控?cái)?shù)據(jù)庫(kù)日志采集會(huì)話審計(jì)風(fēng)險(xiǎn)評(píng)分發(fā)現(xiàn)潛在威脅高級(jí)關(guān)聯(lián)分析基于風(fēng)險(xiǎn)的關(guān)聯(lián)分析歷史數(shù)據(jù)關(guān)聯(lián)分析McAfeeACE資產(chǎn)信息和環(huán)境信息漏洞信息處于最高風(fēng)險(xiǎn)的資產(chǎn)McAfeeESM集中展現(xiàn)和分析合規(guī)和報(bào)表策略管理McAfeeReceiver第三方日志事件收集網(wǎng)絡(luò)流量數(shù)據(jù)收集支持Vmware虛擬化收集器McAfeeELM日志管理日志存儲(chǔ)存儲(chǔ)管理SAN/CIFS/NFS/LocalSIEM介紹DASCIFSNFSSANiSCSIEventReceiver3rdPartyLog/Event/FlowCollectionReceiverELMESMEnterpriseLogManagerFullyintegratedCompliantLogManagementReceiverAESEncryptedChannelAESEncryptedChannelReceiver原始日志數(shù)據(jù)的歸檔管理Receiver直接將原始日志轉(zhuǎn)發(fā)給ELMELM數(shù)據(jù)庫(kù)可同時(shí)管理原始日志和解析過(guò)的日志原始日志完整性管理完整性校驗(yàn),確保日志的不可辯駁性原始日志壓縮管理最高達(dá)20:1的壓縮比,有效節(jié)省存儲(chǔ)空間靈活的存儲(chǔ)管理支持本地,DAS,SAN,CIFS,NFS,iSCSI支持冗余ELM日志管理平臺(tái)介紹報(bào)表儀表板介紹缺省報(bào)表儀表板模板ISO27000BASELIIEU8thDirectiveFISMAGIODOGLBA數(shù)百?gòu)垐?bào)表模板GPG-13HIPAANERCPCISOXISO27000相關(guān)模板PCI相關(guān)模板SOX相關(guān)模板定制報(bào)表樣例AD用戶(hù)密碼超過(guò)180天未修改的帳戶(hù)清單定制報(bào)表樣例AD用戶(hù)密碼超過(guò)180天未修改的過(guò)期帳戶(hù)清單定制報(bào)表樣例UNIX/Linux服務(wù)器關(guān)機(jī)和重啟事件定制報(bào)表樣例UNIX/Linux服務(wù)器SU提權(quán)操作時(shí)間定制報(bào)表樣例UNIX/Linux服務(wù)器修改密碼事件定制報(bào)表樣例UNIX/Linux服務(wù)器用戶(hù)添加刪除事件定制報(bào)表樣例Windows服務(wù)器上所有的帳戶(hù)變更事件定制報(bào)表樣例Windows服務(wù)器上組變更事件定制報(bào)表樣例Windows服務(wù)器上密碼修改事件定制報(bào)表樣例Windows服務(wù)器上登錄成功事件定制報(bào)表樣例Windows服務(wù)器上登錄失敗事件定制報(bào)表樣例Windows服務(wù)器關(guān)機(jī)和重啟事件定制報(bào)表樣例數(shù)據(jù)庫(kù)連接訪問(wèn)事件定制報(bào)表樣例數(shù)據(jù)庫(kù)建用戶(hù)授權(quán)事件定制報(bào)表樣例應(yīng)急VPN登錄事件UseCase介紹開(kāi)箱即用的關(guān)聯(lián)分析規(guī)則200多種關(guān)聯(lián)規(guī)則免費(fèi)提供給用戶(hù)關(guān)聯(lián)規(guī)則可以分為外部攻擊威脅和內(nèi)部合規(guī)審計(jì)兩大類(lèi)根據(jù)用戶(hù)需要訂制關(guān)聯(lián)規(guī)則內(nèi)部合規(guī)審計(jì)類(lèi)外部攻擊威脅類(lèi)AttempteddatabaseconfigurationchangebyaremotehostBruteforceattemptsagainsttelnetserviceLogonwithoutcorrespondingLogoffonaninternalIPMultipleeventsforDatabaseusedetectedonahostMultipleeventsforPeer-to-PeeronahostMultipleeventsforunauthorizedIPaddressconnectiondetectedonahostMultiplefailedloginattemptsfromonesourceOff-hoursEventsfromaNon-CompanyGeolocationOff-hoursEventsfromaSuspiciousGeolocationRepeateddatabaselogonfailuresbysuperuserSameUserLogonfromDifferentGeolocationSameUserLogonfromDifferentHostSuccessfulHostloginaftermultiplefailedattemptsfromonesourceAnomalousactivityafterexploitBackdoorafterbuffer-overflowattackConfickerworm-possibleactivitydetectedGTI-RemoteShellCommunicationwithSuspiciousHostGTI-SuccessfulLoginfromSuspiciousHostHorizontalScanfromasinglesystemtomultipledestinationsPhishingattack-repeatedAccessDeniedandDatabaseAccessDeniedErrorsPossibleBotnetIRC/IMconnectionPossibleBotnetP2PconnectionProjectBlitzkrieg-CommunicationwithKnownCommandandControlServerSQLInjectionattack-fromsamesourceSuccessfullocalafterexploitattemptSuccessfullocalaftermalwareattemptVirusActivityAcrossMultipleSystems合規(guī)UseCase規(guī)則說(shuō)明：發(fā)現(xiàn)源地址為非堡壘機(jī)的訪問(wèn)登錄生產(chǎn)服務(wù)器的行為。事件案例：X月X日13:57，10.xxx.xx.xxx以root賬號(hào)登錄10.xxx.xx.xx（XX平臺(tái)），同時(shí)還訪問(wèn)過(guò)其他幾臺(tái)服務(wù)器10.xxx.xxx.2/3/4/5。該源地址不是來(lái)自堡壘機(jī)，SIEM判斷為違規(guī)訪問(wèn)。事件調(diào)研：經(jīng)排查這次訪問(wèn)有對(duì)應(yīng)變更，補(bǔ)交變更號(hào)后將源地址加入例外。跳過(guò)堡壘機(jī)訪問(wèn)生產(chǎn)服務(wù)器堡壘機(jī)合規(guī)UseCase規(guī)則說(shuō)明：在5分鐘之內(nèi)發(fā)現(xiàn)有2個(gè)以上的IP地址登錄堡壘機(jī)的事件，則可認(rèn)為是疑似帳戶(hù)濫用的行為。事件案例：xx月xx日22:38，waxxx1賬號(hào)同一時(shí)間在10.xx.xx.27和10.xx.xx.93登錄服務(wù)器10.xx.xx.xx（xxx管理系統(tǒng)），并從10.xx.xx.xx上執(zhí)行Linux命令“mkdirlomkdirlog”在服務(wù)器上創(chuàng)建文件夾。SIEM判斷為有共享堡壘機(jī)賬號(hào)存在。事件調(diào)研：經(jīng)聯(lián)絡(luò)當(dāng)事人的確有此類(lèi)行為發(fā)生，需后續(xù)整改。共享堡壘機(jī)賬號(hào)堡壘機(jī)I