مرکز عملیات امنیت شبکه یا SOC (بخش سوم)

واحد تحلیل و Correlation رخدادها در مرکز عملیات امنیت، وظیفه آنالیز رخدادهای جمع آوری شده از سراسر زیرساخت اطلاعاتی را بر عهده دارد. تحلیل رخدادها به منظور کشف تهدیدها، بر اساس اطلاعاتی است که در پایگاه دانش ذخیره و نگهداری می‌شود.

روش‌ها و الگوریتم‌های آنالیز رخدادها و تشخیص حملات در حال حاضر از موضوعات روز تحقیقاتی در سراسر دنیا می‌باشد از آنجا که هر کدام از الگورتیم‌های تحلیل و Correlation دسته‌های خاصی از حملات را تشخیص می‌دهند، باید ماژول‌های متعددی جهت آنالیز رخداد در SOC طراحی و پیاده‌سازی گردند. سامانه SOC باید همواره امکان اضافه کردن ماژول جدید تحلیل را به سهولت فراهم نماید.

زیرسامانه دیگری در واحد تحلیل رخدادها وجود دارد که وظیفه واکنش به رویدادهای تولید شده را بر عهده خواهد داشت. این زیر سامانه نسبت به برخی از رویدادهای امنیتی کشف شده توسط موتورهای تحلیل، درصورت اضطرار و بر اساس قواعد واکنش تعریف شده در SOC واکنش های لازم را انجام می‌دهد.

پورتال و کنسول

یکی از مهمترین قسمت‌های سامانه، بخش داشبورد و کنسول که از طریق آن می‌توان با ماشین‌ها و تنظیمات مختلف دسترسی پیدا کرد و همچنین بتوان نتایج حاصل از عملیات انجام گرفته بر روی لاگ‌ها و رخدادها را مشاهده نمود.

قلب SOC

• ابزار SIEM (Security Information and Event Management)، به عنوان قلب یک مرکز عملیات امنیت است.
• ابزار ارزیابی آسیب پذیری (VULNERABILITY ASSESMENT)
• ابزار شناسایی دارایی‌ها (ASSET DISCOVERY)

SIEM (مدیریت اطلاعات و رخدادهای امنیتی) نخستین بار در سال  ۱۹۹۷ پدیدار شدند.

بخش‌های اصلی SIEM

• تولید کننده وقایع ( (Event Generator این ماژول، شامل تمامی تجهیزات امنیتی (سخت افزاری و نرم افزاری) که در بخش‌های مختلف شبکه قرار گرفته‌اند و وقایع امنیتی را شناسایی و برای تجهیزات مربوط به ماژول Event Collector ارسال می‌نمایند.
• جمع کننده وقایع (Event Collector) این ماژول، شامل تجهیزاتی است که مسئول دریافت وقایع از تجهیزات داخل شبکه یا تولید کننده‌های وقایع می‌باشند که بعد از دسته بندی برای ماژول‌های دیگر ارسال می‌شود.
• پایگاه داده وقایع (Event Database )این ماژول شامل پایگاه داده‌هایی می باشد که بعد از دریافت اطلاعات از جمع کننده وقایع، آن‌ها را ذخیره کرده و در اختیار ماژول‌های دیگر قرار می‌دهد.
• تحلیلگر وقایع (Event Analysis) این ماژول شامل تجهیزاتی می‌باشد که بعد از ثبت وقایع در پایگاه داده، آن‌ها را آنالیز و بررسی کرده و نتیجه آن را در اختیار ماژول‌های دیگر قرار می‌دهد. این تحلیل می‌تواند منجر به شناسایی رخداد در شبکه شده که با ارائه آن به ماژول واکنش دهنده از بروز رخداد جلوگیری نماید.
• واکنش دهنده وقایع (Event Reaction) این ماژول در صورت تشخیص رخداد توسط تحلیلگر وقایع، می‌تواند به تجهیزات امنیتی فرمان داده و از عبور ترافیک مخرب در شبکه جلوگیری نماید.
• گزارش دهنده وقایع (Event Reporting) این ماژول به منظور ارائه گزارش رخدادهای صورت گرفته در شبکه به مدیران شبکه و یا اپراتورهای بخش SOC می‌باشد. اطلاعات رخدادها توسط ماژول تحلیلگر، شناسایی گشته و توسط ماژول گزارش، اعلام خواهند شد.

ورودی‌های مرکز عملیات شبکه

ترافیک کل شبکه :

• ارسال ترافیک خام به صورت mirror از سوئیچ اصلی و دیگر سوئیچ‌ها به سرور مرکز عملیات شبکه و شنود ترافیک و تولید اطلاعات جریان‌های ترافیک داده از طریق پروتکل مربوطه در سیستم به منظور شناسایی ترافیک anomaly و non anomaly
• ارسال جریان ترافیک توسط تجهزات فعال در شبکه (امکان تولید داشته باشند) مانند سوئیچ و روتر و انتقال آن‌ها از طریق پروتکل‌های jflow-sflow-net flow

رویدادها :

ارسال رویدادها و event های تولید شده در هر یک از موارد زیر به سرور مرکز عملیات شبکه .

• تجهیزات شبکه (روتر، سوئیچ، فایروال و…): در بخش تنظیمات این ابزارها بخشی قابل تنظیم وجود دارد که رویدادهای تولیدی را به مرکز عملیات امنیت ارسال می‌نماید. معمولا جهت ارسال این رویدادها از پروتکل syslog  و یا snmp استفاده می‌شود.
• سیستم عامل

ویندوز :

نصب نرم افزار  جهت جمع آوری رویدادها و ارسال به سرور مرکز عملیات شبکه

• نرم افزارهای خاص (ضدبدافزارها، پایگاه داده‌ها، سرویس دهنده وب IIS و هر نرم‌افزاری که لاگ‌هایش به صورت فایل بر روی سیستم ذخیره می‌شود و یا در پایگاه داده ذخیره می‌شود .) که با نصب نرم افزار و AGENT خاص می‌توان در جهت جمع‌آوری رویدادها و ارسال به سرور مرکز عملیات شبکه اقدام کرد.

نتیجه گیری

مرکز عملیات امنیت دید جامعی از معماری امنیتی شبکه ارائه می‌دهد، در واقع از طریق این سامانه می‌توان اطلاعات را به صورت دسته بندی شده و قابل استفاده به متخصصین ارائه و عکس العمل‌های لازم را در مواقع اضطرار جهت تحلیل حملات انجام داد. تأمین امنیت پایدار فضای تبادل اطلاعات در زیرساخت‌های کشور بدون استفاده از این نقطه مدیریتی غیر ممکن است و عدم توجه به آن می‌تواند تبعات نامطلوبی برای شرکت و یا سازمان به همراه  داشته باشد.