SIEM и (или) сканер уязвимостей

Благодаря отдельным маркетинговым публикациям, в умах интеграторов накрепко засел миф о том, что внедрив какое-то одно средство защиты, вы покроете весь периметр сети магическим защитным колпаком невероятной надежности. В беседах часто мелькают фразы «зачем вам хостовые IDS, если можно поставить пограничные и этого хватит за глаза?», «зачем сканер безопасности, если стоит SIEM?», «зачем сканер уязвимостей, если все надежно прикрыто IDS?»... Давайте посмотрим, как обстоят дела в реальности.

SIEM способен коррелировать:

• известную, описанную правилами корреляции угрозу;
• угрозу на базе типового общего шаблона;
• аномалию в случае отклонения от baseline;
• отклонение от политики по принципу «все, что не разрешено, — запрещено» (это возможно не во всех SIEM);
• причинно-следственную связь — если используются алгоритмы корреляции наподобие CBR (codebook, smart), GBR (graph based), statistical, Bayesian.

Последние три алгоритма применяются в российской действительности очень редко. Далеко не все SIEM могут работать с этими методами корреляции. Их наличие увеличивает стоимость обслуживания системы: требуется выделенный квалифицированный специалист для их настройки, поддержания актуальности и работоспособности. Естественно, что количество ложных срабатываний в начале эксплуатации велико, поэтому часто компании попросту отключают эти механизмы обнаружения.

Получается, что фактически используются только два простейших алгоритма обнаружения с предварительно заданным описанием угроз. Если угроза новая — она не будет обнаружена. Показательнейший случай — APT (Advanced Persistent Threat) в компании RSA, которая является разработчиком SIEM (и пользуется собственной системой).

Для работы этих двух алгоритмов обнаружения требуется постоянная актуализация угроз, равно как и для IDS. В результате получается дублирование угроз — в IDS и в SIEM (только правила корреляции SIEM обновляются гораздо реже, чем правила в IDS). Обновление правил в части продуктов SIEM нередко попросту отсутствует: далеко не все компании могут позволить себе иметь в штате квалифицированного аналитика, занимающегося SIEM и его правилами, да и с кадрами в стране напряженка.

Получается, что в случае однократной настройки правил корреляции инцидент (например, сетевая атака) будет обнаружен, только если о нем заявит другое средство защиты (например, IDS).

Рассмотрим еще один пример из практики. Появляется уязвимость. Первоначально, обнаружить ее можно только путем выявления определенных критериев — версии ПО или модулей, различных параметров в настройках. О наличии уязвимости можно знать заранее, но о методе выявления попыток ее эксплуатации — лишь спустя значительное время после выпуска бюллетеня. Естественно, что весь этот длительный период злоумышленник может свободно использовать данную уязвимость. Все средства обнаружения атак в большинстве случаев будут молчать, поскольку не знают методов обнаружения атаки, использующих данную уязвимость. Даже после выхода обновлений и методик устранения уязвимости на практике не всегда получается ее устранить (сказываются трудозатраты, необходимость тестирования, несовместимость различных систем — вплоть до невозможности устранения). Остаточные риски накапливаются до критически опасных размеров, но их можно и нужно контролировать.

Интеграция сканера уязвимостей с SIEM позволяет совместить несколько методов обнаружения угроз и значительно повысить вероятность своевременного обнаружения. К примеру, SIEM может обнаружить аномалию через baseline, но без информации о том, что на активе имеется уязвимость, SIEM не сможет сказать, с чем именно эта аномалия связана. При наличии сведений от сканера уязвимости, SIEM сможет сделать вывод о том, что идет производится эксплуатации уязвимости.

Имея информацию об уязвимости, а также о критичности активов от сканера уязвимостей, система SIEM способна приоритизировать инциденты по их критичности. Это позволит в первую очередь реагировать на значимые инциденты, важные для бизнеса.

Сканер уязвимостей является отличным поставщиком инвентаризационной информации для SIEM — о версиях программного обеспечения, его конфигурациях; эта информация может использоваться при обнаружении инцидента, при выяснении причин его возникновения. К примеру, параметр swap файла был изменен пользователем company\p_kolya. Сервер стал часто перезагружаться. Налицо снова типовой случай, и только система SIEM способна выявить в нем причинно-следственные связи. Но без интеграции со сканером уязвимостей вы будете довольно долго искать причины, а компания будет нести финансовые потери от простоя услуги.

Знаете ли вы обо всех компьютерах в вашей сети? Все ли они принадлежат вашей компании? На всех ли установлены средства защиты согласно политике безопасности? Везде ли средства защиты функционируют и настроены корректно?..

Использование встроенного в SIEM механизма проверки соответствия внутренним политикам и высокоуровневым стандартам без интеграции со сканером уязвимостей не дает полноценной картины, так как используется очень малая доля технических требований. Сканер уязвимостей предназначен не только для выявления уязвимостей, но является поставщиком подавляющего большинства контролей. Вы можете так ни разу и не получить сигнала о вирусе, но это не означает, что антивирусная защита у вас в порядке. Возможно, ее у вас попросту нет. SIEM никогда не сообщит вам о том, что антивирусное ПО не установлено или что опция проверки файловой защиты отключена. А сканер уязвимостей может предоставить не только эту, но и другую полезную информацию.

Ни один источник не предоставит более детальной и полной информации о наличии уязвимости и о возможности ее эксплуатации (с учетом топологической структуры сети и конфигураций) лучше, чем сканер уязвимостей. Уязвимость может присутствовать, но являться при этом неэксплуатируемой (закрыт сетевой порт, остановлена служба, на активном сетевом оборудовании организована VLAN или правилами межсетевого экрана заблокирован трафик на данный порт). Информация об этом может существенно снизить остаточные риски, поможет расходовать средства на действительно необходимые средства защиты, а также исключить ложные инциденты.

Процесс управления конфигурациями, который так сложно реализовать, становится простым при использовании связки SIEM и сканера уязвимостей. Вы можете анализировать — что изменилось, кем и когда были произведены изменения, а также можете автоматически оценить: на что они повлияли. Для этого необходимо лишь составить простейшие правила корреляции в SIEM и настроить параметры передаваемой информации от сканера; всю прочую логику осуществит сама система SIEM.

Сканер без SIEM, разумеется, тоже снижает риски и позволяет оценить возможные векторы атак. Но непрерывное сканирование активов увеличит нагрузку на них и на сетевые ресурсы. Уязвимость может возникнуть в интервале между сканированиями, и чем больше эти интервалы, тем больше финансовые риски. В интервалах между сканированиями на страже стоит SIEM. Сценарии SIEM позволяют при малейшем подозрении об угрозе принудительно запустить сканер уязвимости и обновлять информацию.

Естественно, что чем больше эффективных источников информации у SIEM, тем больше вероятность обнаружения угрозы на ранней стадии ее возникновения. Вы можете использовать SIEM или сканер уязвимостей по отдельности. Но описанная связка значительно минимизирует риски с наибольшим показателем ROI. В описании я привела только часть простейших реальных случаев, которые можно автоматизировать; на практике их гораздо больше.

Всем спасибо за внимание!