5.3.3.2. Система сбора, анализа и корреляции информации EnVision

Система EnVision производства организации Network-Intelligence [57] предназначена для сбора, анализа и корреляции информации, поступающей от средств обнаружения попыток НСД, маршрутизаторов, МЭ, ОС, VPN. В отличие от netForensics, в enVision реализован единственный механизм корреляции – корреляции, основанной на правилах.

Система принимает все сообщения на порт №514 (нет возможности изменения без обращения в службу поддержки) по протоколу UDP. Далее сообщения записываются в файл, и, через настраиваемый интервал времени, записываются в базу данных.

EnVision имеет двухзвенную архитектуру и нет возможности распределения компонентов. Система генерации отчётов позволяет создавать пользовательские отчёты и имеет около 350 предопределённых. Формат отчётов – HTML.

Основные компоненты системы: DashBoard, Event Viewer, Alert Monitor, Alert Browser, Report VU. DashBoard позволяет контролировать состояние компонентов системы. Event Viewer – консоль, позволяющая просматривать сообщения в реальном масштабе времени. Alert Monitor предназначен для просмотра коррелированных событий и событий, определённых в представлениях (views). Alert Browser позволяет просматривать сообщения, которые были сохранены в базе данных. Report VU – система генерации отчётов. Система имеет WEB интерфейс.

В системе реализован один вид корреляции – корреляция, основанная на правилах. Система не производит нормализацию сообщений, как система netForensics, и поэтому правила определяются для конкретных сообщений устройств. Каждое правило имеет следующие общие параметры:

– Message ID – идентификатор сообщения;

– Message text – текст сообщения;

– Class – класс корреляционного правила;

– Category – категория, соответствующая классу правила;

– Decay time – время, в течении которого должны произойти все события;

– Level – значимость сообщения (от 0 до 7);

– IP address matching – условие на IP адреса, обнаруженные в сообщениях;

Description – описание правила;

– Action – действие при соответствии полученной информации корреляционному правилу;

Последовательность сообщений, образующих правило – одно или несколько Circuit (совокупность операций), связанных одним из операторов:

– Or (или);

– And (и);

– And not (и не);

– Or not (или не);

– Followed by (следует за).

Временное действие каждого оператора можно ограничить (по умолчанию – бесконечность), после окончания заданного интервала состояние правила сбрасывается в начальное.

 В системе имеется около 350 предопределённых отчётов. Все отчёты распределены по группам. Процесс создание пользовательских отчётов – пошаговое создание SQL запроса к базе данных с помощью графического интерфейса. Возможна генерация отчётов по расписанию.

5.3.3.3. Система управления средствами защиты, анализа и корреляции iss RealSecure SiteProtector

ISS RealSecure SiteProtector производства организации ISS [58] предназначена для управления средствами защиты, производимыми организацией ISS, анализа и корреляции поступающих данных. С помощью Third Party Module возможно получение информации от МЭ Cisco PIX и CheckPoint FW. При использовании Fusion Module возможно осуществление корреляции данных, поступающих от ПО Network Sensor, Server Sensor и Internet Scanner.

Отличительная особенность системы – возможность корреляции данных об атаках с информацией о реальных уязвимостях, полученной после сканирования с помощью ISS Internet Scanner.

Система имеет распределённую архитектуру, что даёт большие возможности для распределения компонентов, масштабируемости и повышения надёжности. Основные компоненты системы: DataBase, Application Server, Sensor Controller, Event Collector, Console, Fussion Module, Third Party Module и сенсоры (Network Sensor, Server Sensor и т.д.) DataBase – база данных, которая отвечает за хранение всех данных, циркулирующих в системе. Application Server – сервер приложений, отвечающий взаимодействие компонентов. Event Collector отвечает за приём информации от сенсоров и передачу в СУБД. Console – приложение, которое позволяет управлять, конфигурировать и просматривать информацию о состоянии компонентов системы и отображать информацию о событиях, зарегистрированных сенсорами. Fussion Module отвечает за корреляцию данных, поступающих от сенсоров. Third Party Module предназначен для получения сообщений от МЭ Cisco PIX и CheckPoint FW.

Все соединения между компонентами системы защищены.

В качестве СУБД используется MS SQL Server 2000 или MSDE.

Система обрабатывает события, поступающие от ПО ISS Network Sensor, Server Sensor, Desktop Protector, System Scanner, Internet Scanner, а также ПО МЭ Cisco PIX и CheckPoint FW.

Механизмы корреляции реализуется модулем Security Fusion Module. В системе реализовано два механизма корреляции:

– Event Correlation – корреляция информации об атаках и реально существующих уязвимостях;

– Attack Correlation – корреляция, основанная на правилах.

Отличительной особенностью системы является наличие механизма Event Correlation. Механизм Event Correlation реализуется компонентом Impact Analysis Component модуля Security Fusion Module. Работа этого механизма позволяет уменьшить количество бесполезной информации на консоли системы. Это достигается путём изменения приоритета события от значения, заданного в политиках сенсора. Основываясь на результатах сканирования с помощью Internet Scanner, подключенного к системе ISS SiteProtector, и информации, поступающей от сенсоров, IAC может оценить возможность реализации атаки, и затем выполнить одно или несколько действий из следующего списка:

– изменить приоритет события;

– записать событие в базу данных;

– отобразить информацию о событии на консоли;

– послать электронное письмо;

– послать SNMP;

– реакция, определённая пользователем.

Механизм Attack Correlation реализуется компонентом Attack Pattern Component модуля Security Fusion Module. Данная корреляция – корреляция, основанная на правилах. Работа этого механизма позволяет сопоставить информацию от многих сенсоров предопределённых шаблонам атак и определить наличие таких событий, как попытки вторжения (в том числе и происходящие в «несколько шагов»), несанкционированное сканирование и прочие. Также модуль позволяет уменьшить количество информации на консоли путём комбинирования данных, полученных от многих сенсоров, которые соответствуют одному и тому же событию.

При минимальном соответствии полученных данных одному из шаблонов, модуль создаёт инцидент. Если при дальнейшем анализе будут получены данные, связанные с уже обнаруженным инцидентом, они будут добавлены к существующему.

Возможно создание исключений (Exception) из определённых событий или инцидентов. Событие или инцидент, добавленные в исключение, убираются из дальнейшего рассмотрения системой.

В системе реализовано 20 шаблонов атак. Возможности создания собственных шаблонов нет.

Система генерации отчётов позволяет создавать отчёты, соответствующие текущему представлению данных на консоли. Формат отчётов – HTML, CVS, PDF.