Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (20)
Andere mochten auch
Andere mochten auch (8)
Ähnlich wie Splunk資安智慧分析平台
Ähnlich wie Splunk資安智慧分析平台 (20)
Splunk資安智慧分析平台
- 1. 1 Splunk 資安智慧分析平台 陶靖霖 (Wisely Tao) 精誠資訊 Splunk 產品經理
- 3. 3 APT的特性 • 高度客製化，非常具有針對性 • 對傳統防禦機制具有欺騙性與隱蔽性 • 具有持續行為，不達目的不罷休 • 沒有終極解決方案 • 非單一產品可以應對
- 4. 4 APT的防禦策略 • 保密防諜，人人有責 – 資安意識訓練 (Awareness Training) – Human Firewall ?! – 人永遠是弱點 – 治本的好方法 – 緩不濟急 – 越是APT目標的人越需要 – 越是個咖越困難 要一個人學會不開啟APT檔案，是非常不人道的事情。 - by 某資安專家
- 5. 5 APT的防禦策略 • 禦敵於國土之外 – 邊界防禦 (Edge Security) – 既有資安產品成效有限 – 所有客戶的期待，眾家資安廠商努力的領域 – 面對APT的第一道防線，非常容易遭到針對性反制
- 6. 6 APT的防禦策略 • 滯敵於圯地之中 - 縱深防禦 (Defense in Depth) – 邊界防禦失效以後的倚賴 – 攻擊是一個流程，縱深防禦的目的在切斷流程 – 也許會有損失，但可以減輕或減緩損失的發生
- 8. 8
- 9. 9 監控與稽核 9 • 狀態管理(監控) & 變更管理(稽核) • 目的都是為了發現異常行為
- 10. 10 面對APT事件，企業優先關注的是？ 「點」的深入 • 攻擊路徑、方法與突破點 • 惡意程式行為與隱蔽技術 • 中繼站與攻擊來源追查 • … 「線」、「面」的掌握 • 受影響程度與範圍 • 隔離、排查與損害控制 • 災損調查與復原措施 • …
- 11. 11 讓專業的來！ • 組合語言、C語言、Script… • 反組譯與逆向工程 • 脫殼技術 • Rootkit 技術 • 弱點利用與 Exploit 研究 • Shellcode • 木馬技術與掛馬技術 • 記憶體分析 • 惡意程式知識 • 大量實戰經驗 找不到 養不起 待不住 非核心業務 還是讓專業的團隊來吧！
- 13. 13 傳統資安管理工具的困境
- 14. 14 把 SIEM 當 IDS 用 把 Logger 當 DW 用
- 19. 19 資安應變團隊需要配備升級 • CSIRT ，或稱為 SOC – 監控資安事件 – 處理資安事故 – 管理資安狀態 • 「通常」會配備 SIEM 協助管理與分析
- 20. 20 資安應變團隊需要配備升級 擴充性與效能 • 先天架構限制 • 事件查找耗時 • 需專家持續協助優化 資料收集與正規化 • 格式種類多變 • 一般日誌的需求 • 非結構化日誌 導入與調整 • 誤報漏報難兼顧 • 規則設計需要專業 趨勢與分析報表 • 報表產生耗時費力 • 格式缺乏調整彈性 規則導向設計 • 未涵蓋非資安日誌 • 難應對未知威脅 攻擊型態與面向的改變，傳統的SIEM已經不敷使用
- 22. 22 Splunk 其實不是資安產品 22 全球最佳 Big Data 創新應用公司
- 23. 23 但總是會跟資安扯在一起 Gartner 2013 MQ for SIEM 進入領導者象限
- 26. 26 機器資料可以拿來做什麼？ 26 避險 節流 開源 日誌管理 資安稽核 法規遵循 個資法 ISO27001 / ISO20000 資安監控 資安事件分析 網站分析 App分析 使用者行為分析 商業情報分析 精準行銷 Business Insight (CEM)用戶經驗管理 IT 與系統狀態監控 效能與資源監控 應用系統管理/監控 故障查找排除 異常問題調查 資源規劃
- 31. 31 有多種分析用 Apps 數值變化的學習與預測 檢查是否有連線到釣魚網站 檢查 IP 黑名單 與 Reputation 建立與測試資料關聯性
- 32. 32 有很多圖像分析工具可用
- 35. 35 SIEM/Logging 的歷史與挑戰 • 大量資料需要分析處理 • 為數眾多的資料類型需要收集 • 資料處理需要彈性 • 搜尋速度與報表要快 • 要能滿足資安分析師的搜尋需求
- 36. 36 全球佈署架構 • 25 indexers / 7 clusters • HA, load balanced, & scalable • Index up to 1TB/day • 150 TB Storage
- 37. 37 搜尋速度令人滿意
- 38. 38 搜尋功能也滿足需求 • 關鍵字搜尋 • 欄位搜尋 • 正規表示式搜尋 • 資料關連 • 子查詢與 Join • 資料加工處理 • 資料運算與統計 • 資料標記(Tag)與事件類型 (Event Type)管理 • 排版與樞紐分析
- 40. 40 來自 Cisco CSIRT 的評語
- 41. 41 Honeynet 成員的分析工具 • 將所有 Honeypots, Honeyclients, 以及分析工 具透過 HPFeeds protocol 集中到 Splunk 上 • 利用 Splunk 的 Javascript SDK 與 d3.js lib 客製開發 一個資料呈現與分析介面 Acapulco – Building Clustered Parallel Coordinates Graphs from HPFeeds data
- 42. 42 呈現不同維度資料的關聯性 以 saddr, sport, dport, daddr, url 等欄位來分析關聯性 作者也把 source code 釋出，安裝後即可使用
- 43. 43 中華電信以 Splunk 快篩 APT 事件 Livedump Uploading.. 50% Users Security experts
- 44. 44 攻擊足跡收集的工具 階段 足跡 收集的工具 植入特製後門程式 • Run key • Dropped files • Suspicious process Autoruns.exe MFTdump.exe PSList.exe 偷取帳號與密碼 • Hook API • Password dump API • NetBIOS cache dump API Strings.exe 打包重要資料 • PDF/Word/Excel Lass access time MFTDump.exe 網路探勘 • Net flows • Browser caches Firewall Log IECacheView 入侵其他主機 • Event log • Remote Job • Suspicious accounts /shares Psloglist.exe PsLoggedon.exe Net user/share
- 45. 45 自動化採樣工具介紹 • LiveDump – 由 中華電信研究院 資通安全研究所 開發 – 可自動收集系統資訊，簡化APT足跡收集程序 – 操作簡單方便，”阿姨”也可快速上手 – 具Silent mode，可透過AD部署
- 47. 47 SourceType examples File storage structure Autorun Network connection Process and DLLs RDP Log
- 48. 48 APT快篩概念 流感快篩：用已知的抗體偵測流感病毒的表面抗原， 再以免疫沈澱的方式呈色肉眼判讀。 APT快篩：寧可誤判也不要漏報。 Livedump 2Livedump 1 Livedump 3 Livedump 4 ……………….. Livedump N
- 49. 49 步驟一：檢查Autorun簽章未驗證項目 host="20120918_192.168.1.3" sourcetype="autoruns" NOT "(Verified)" 從服務說明看起來是微軟的服務，應該有簽章才對
- 52. 52 步驟四：檢查檔案產生時間 檔案植入在2012/9/18 2012/09/18 下午 02:16 77,824 VM-XP-PRO-SP1Administor6to4ex.dll host="20120918_192.168.1.3" sourcetype="filesinsystem32" 6to4ex.dll
- 56. 56 分析6to4ex.dll找出更多特徵 產生 *ex.dll 結尾之元件 寫入 C:Document & SettingsAll Usersnetlog
- 57. 57 發現可用來快篩的特徵 • 產生*ex.dll之惡意元件。 Search: sourcetype = MFTDump FileName=*ex.dll • 反轉字元的scr檔案。 Search: sourcetype=MFTdump Filename=*?*.scr • Listen在UDP 123及1025。 Search: sourcetype = netstat AND “:123” AND “:1025” • 具Key logger功能，檔案寫入c:Document & SettingsAll Usersnetlog Search: sourcetype=strings AND“netlog”AND [end]
- 59. 59 結論 • 「預防」只是理想，「應變」才是現實 • 資安管理進入大數據時代 • 資安事件分析有可操作性與時效性的需求 • Splunk 可以補強傳統 SIEM 的不足