Downloaden Sie, um offline zu lesen
Hochgeladen vonSplunk
Splunk Discovery Köln - 17-01-2020 - Security Operations mit Splunk
Das Dokument präsentiert ein SecOps-Seminar von Comconsult, das sich auf operative Informationssicherheit konzentriert und verschiedene technische sowie rechtliche Aspekte behandelt. Teilnehmende aus verschiedenen Bereichen wie IT-Administration und Projektleitung können praxisnahe Demonstrationen zur Erkennung und Abwehr von Angriffen, unter Verwendung von Splunk, OpenVAS und Cisco ISE, erwarten. Das Seminar findet an mehreren Terminen in verschiedenen Städten in Deutschland statt und richtet sich an sowohl Einsteiger als auch Experten.
Splunk Discovery Köln - 17-01-2020 - Security Operations mit Splunk
- 1. Benjamin Wagner, wagner@comconsult.com SecurityOperations mit Splunk
- 2. © 2020 ComConsultGmbH | +49 2408 951-0 | info@comconsult.com | www.comconsult.com ■ Kunden Internationale Konzerne Mittelständische Unternehmen Bundes- und Landesbehörden Große Verwaltungen Universitäten ■ Gründung 1995 ■ Standort Aachen ■ 90 Mitarbeiter Das Unternehmen IT-Beratung seit 25 Jahren – Kontinuität für Ihre IT-Zukunft
- 3. 2 • In unseremSecOps-Seminar stellen wir die operative Informationssicherheit (Security Operations, kurz: SecOps) mit ihren technischen und rechtlichen Aspekten dar. SecOps: Operative Informationssicherheit • Zielgruppe: • Betreiber • Administratoren • Rechenzentrumsleiter • Entscheider • Führungskräfte • Projektleiter • Skill Level: • Einsteiger • Experten • Fortgeschrittene
- 4. 3 • Auf unseremSeminar zeigen wir in einer Praxisdemonstration, wie ein Angriff automatisiert erkannt und abgewehrt werden kann. • Hierbei zeigen wir das Zusammenspiel von: • Schwachstellen-Scanner • Security Information and Event Management (SIEM) • Network Access Control (NAC) • Die Rolle des SIEM übernimmt dabei Splunk. Einsatz von Splunk
- 5.
- 6. 5 • Verwundbarer Server(Metasploitable2) • Linux VM mit Schwachstellen Target - Metasploitable https://www.metasploit.com
- 7. 6 • Schwachstellen-Scanner (OpenVAS) •Kann Systeme auf bekannte Schwachstellen überprüfen • Meldet Befunde an Splunk • Erhöht Awareness der eigenen Angriffsfläche Scanner - OpenVAS http://openvas.org/index-de.html
- 8. 7 • Cisco ISE– NAC-Server • Überprüft Anfragen auf Zugang zum Netzwerk • Teilt Switches mit, ob Zugriff zulässig • Veranlasst dadurch Anpassungen am Switch, um Zugriff evtl. abzuschalten • Kann über Rest-API ferngesteuert werden NAC - Cisco ISE https://www.cisco.com/c/de_de/products/security/identity-services-engine/index.html
- 9. 8 • Splunk Enterpriseals SIEM-System • Empfängt Log-Daten von allen Systemen (außer dem Angreifer) • Führt Korrelationen durch • Kann Aktionen ausführen • In der Demo: Wenn Ziel verwundbar UND viele Anfragen, DANN veranlasse Entfernen aus dem Netzwerk via NAC/ISE SIEM - Splunk https://www.splunk.com/de_de
- 10. 9 • Mit Malwareinfiziertes System • Wird vom eigentlichen Angreifer ferngesteuert • In diesem Beispiel scannt der Angreifer von hier aus sein potentielles Ziel auf Schwachstellen • Dient zur Planung des weiteren Vorgehens • Zugang zum Netzwerk wird per NAC geregelt Angreifer
- 11. 10 Drehbuch • Im Vorfeldwurden bereits Schwachstellen beim Ziel erkannt. Ein entsprechender Alarm ist im Splunk eingerichtet. 1. Der Angreifer führt seinen Scan des Netzwerks aus. 2. Splunk bemerkt, dass das schützenswerte Zielsystem angegriffen wird Erkennung einer hohen Anzahl Anfragen, in Kombination mit der erkannten Verwundbarkeit des Systems 3. Splunk veranlasst die Isolation des Angreifers Via API call zum NAC wird ein „Change of Authority“ ausgeführt. 4. Der Angriff kann nicht fortgesetzt werden.
- 12.
- 13. 12 • Termine: • 28.04.-30.04.2020in Bonn • 08.06.-10.06.2020 in Bad Neuenahr • 02.09.-04.09.2020 in Köln • 24.11.-26.11.2020 in Düsseldorf • Weitere Informationen finden Sie unter https://www.comconsult-akademie.de/secops/. Unser Seminar
- 14. Gemeinsame Ziele verbinden ComConsultGmbH Pascalstraße 27, 52076 Aachen, Deutschland Telefon: +49 2408 951-0 E-Mail: info@comconsult.com Fax: +49 2408 951-200 Web: https://www.comconsult.com © ComConsult GmbH, 16. Januar 2020