Comments 11
Обычно проблема возникает при анализе логов от кучи разных средств (маршрутизаторы, веб-серверы, ПО контроля целостности ФС и т.д.), которые пишут эти логи в самых разных форматах
Есть программы-аггрегаторы, они собирают информацию из логов, либо со своих агентов в системе и выдают единый отчёт.
Вот как раз для этого и нужны «аггрегаторы», упомянутые в статье. Обычно их называют SIEM, системы собирают логи, приводят их в читаемый вид, обеспечивают поиск и т.д. + к всему этому корреляция — сопоставление событий и действий пользователей для выявления потенциально опасных процессов и нарушений. Есть у многих производителей, McAfee ESM, HP ArcSight, Symantec (забыл как), IBM Qradar, Splunk.
Symantec SIM.
На самом деле, использовать SIEM как логсервер это отвратительно. Для этого есть другие решения, например Logger у того же HP Arcsight. Основная задача SIEM это макрокорреляция.
На самом деле, использовать SIEM как логсервер это отвратительно. Для этого есть другие решения, например Logger у того же HP Arcsight. Основная задача SIEM это макрокорреляция.
Я считаю, что лог-менеджмент — это часть SIEM. Может быть такой модуль, может не быть, а может использоваться отдельно. Что отвратительного?
Поддержу!
Аггрегация логов — это неотъемлемая часть функционала SIEM. Конечно использовать такой комбайн ради ограниченного функционала не комильфо, но и не отвратительно.
Аггрегация логов — это неотъемлемая часть функционала SIEM. Конечно использовать такой комбайн ради ограниченного функционала не комильфо, но и не отвратительно.
Лог-менеджмент — это не просто часть SIEM, это его фундамент. Я уточню, использовать SIEM только как логсервер — это отвратительная, бессмысленная трата денег и потенциала системы. Что печально, именно как логсервер и используют SIEM очень многие заказчики. Потратили 500К (а то и пару миллионов) на интеллектуальную, мощную систему, а могли за 80К купить Логгер с тем же успехом. А вся проблема в кадрах. Просто некому по-нормальному заниматься этими системами, мало кадров профессиональных, по крайней мере в России.
Есть ли смысл заносить успешно отраженные сетевые атаки на узлах сети в журнал инцидентов?
Sign up to leave a comment.
Работа с инцидентами информационной безопасности