Firmy i organizacje na całym świecie poszukują nowych sposobów na uproszczenie każdego aspektu związanego z sieciami. Od wdrożenia po zarządzanie i utrzymanie – po to, by móc skupić się na tym, co jest naprawdę istotne, zamiast męczyć się ze żmudnymi i niewdzięcznymi procesami operacyjnymi.
W te potrzeby idealnie wpisuje się architektura Cloud Services czyli ExtremeCloud IQ – chmura czwartej generacji od Extreme, w której każde Regionalne Centrum Danych zdolne jest do wspierania milionów urządzeń infrastruktury sieciowej takich jak przełączniki oraz punkty dostępowe oraz setek milionów klientów. Wyobraź sobie pojedynczą platformę, która umożliwia zarządzanie sieciami przewodowymi i bezprzewodowymi, analizy biznesowe, usługi lokalizacji urządzeń, konfigurację zabezpieczeń sieci wireless, łatwą rozbudowę sieci czy zabezpieczony i monitorowany dostęp do sieci WLAN dla gości.
Brzmi jak proste zarządzanie siecią. A proste rzeczy z reguły są najlepsze.
Architektura zarządzania chmurą firmy Extreme Networks wykorzystuje najnowszy zestaw narzędzi programistycznych w chmurze. ExtremeCloud IQ określana jako chmura czwartej generacji, oparta jest na interfejsach API oraz mikrousługach/kontenerach, zapewniając skalowalność, niezawodność, programowalność i bezpieczeństwo (ISO 27001, RODO, PCI) z natywnym uczeniem maszynowym i sztuczną Inteligencją. ExtremeCloud IQ dzięki nowoczesnej architekturze oraz centrach danych zlokalizowanych na całym świecie (USA, Brazylia, Irlandia, Holandia, Niemcy, Szwecja, Japonia, Korea Południowa, Indie, Australia i Nowa Zelandia).
Lubimy angażować się w różnego rodzaju działania charytatywne.
Dzięki akcji Paczka na Gwiazdkę dla dzieci z Oddziałów Onkologii Dziecięcej w Polsce, przyczyniliśmy się do odrobiny uśmiechu i radości na twarzach tych najmłodszych! ❤️
Czytając niektóre listy, łzy same napływały nam do oczu. Wiele z nich pokazało nam, jak mało potrzeba do odrobiny szczęścia, która chociaż na chwilę pozwoli uciec od trudnej rzeczywistości.
Warto pomagać, tak po prostu, bezinteresownie. Doceniajmy to co mamy i starajmy się pomagać na tyle ile możemy! Uśmiech na twarzy drugiego człowieka (a w szczególności dziecka) jest bezcenny ?
Ostatnie lata przyniosły nam ogromną rewolucję na rynku rozwiązań cyberbezpieczeństwa. Historia pokazała, że nie każdy atak może być zatrzymany. Do skutecznego zbudowania bastionu bezpieczeństwa obok prewencji powinna zostać również wdrożona odpowiednia detekcja zagrożeń. Odpowiedzią na tę kwestie stało się wprowadzenie do obiegu produktów XDR.
Jak należy rozumieć ten akronim? Jakie kryją się pod nim funkcjonalności? Czego wymagać od systemów tej klasy? Palo Alto Networks ma na to swój wyjątkowy pomysł.
Zacznijmy od rozłożenia „na czynnik pierwsze” samego akronimu – XDR. Zgodnie z nomenklaturą oznacza on eXtended Detection & Response, co w dosłownym tłumaczeniu przekłada się na „rozszerzoną detekcję i odpowiedź…”, … odpowiedź na incydenty bezpieczeństwa IT. Palo Alto Networks to dokładnie rozumie i implementuje te mechanizmy w swojej platformie Cortex XDR. Dodatkowo idzie o krok dalej. Posługując się przykładem rodem z dziedziny matematyki pierwszy człon akronimu, czyli ten nasz „X”, staje się zmienną, dla której można dokonać wielu podstawień i podobnie jak w matematyce, zgodnie z założeniami, podstawienia te muszą być zawsze prawdziwe.
Dokładnie tak jest w przypadku rozwiązania Cortex XDR od Palo Alto Networks. Pierwszym i oczywistym podstawieniem dla nas może być Endpoint. Cortex XDR jest oczywiście rozwiązaniem agentowym (ale nie tylko), które oprócz niezwykle skutecznej prewencji zbudowanej na bazie lat doświadczeń producenta i wielu wypracowanych mechanizmów (m.in. Anti-Exploit oraz Anti-Malware), implementuje możliwości detekcji zaawansowanych zagrożeń i anomalii na samych stacjach roboczych i serwerach. To właśnie tam najwięcej się dzieje oraz najtrudniej wykryć podejrzaną aktywność, stąd funkcjonalność ta jest tak istotna. Cortex XDR idealnie interpretuje dane pochodzące z agentów (a precyzyjniej komputerów i serwerów, na których jest zainstalowany), a za pomocą algorytmów uczenia maszynowego potrafi zrealizować dla nich „zaawansowaną detekcję”.
Pozostając w świecie źródeł danych, na podstawie których możliwe jest wykrycie incydentów bezpieczeństwa dokonajmy kolejnego podstawienia – Network. Dokładnie ta sama mechanika detekcji realizowana jest dla danych i telemetrii pochodzących z samej sieci. Cortex XDR bez problemu może konsumować logi z firewall’i nowej generacji od Palo Alto Networks, ale nie tylko. Otwarcie się na innych dostawców rozwiązań sieciowych poskutkowało opracowaniem uniwersalnej platformy do detekcji zagrożeń również w tej materii. Dodając do tego ten sam wachlarz możliwości dla danych z chmury, po pierwsze mamy kolejne prawdziwe podstawienie, a po drugie XDR nabiera nowego znaczenia – centralnej platformy korelującej informacje z wielu źródeł.
Kolejne podstawienie za naszego „X” może tyczyć się samego mechanizmu detekcji i faktu, iż powinien on być Automatyczny. Bardzo lubimy kiedy coś (w systemach informatycznych i w życiu) dzieje się za nas automatycznie i właśnie dzięki temu Cortex XDR zawdzięcza swoją popularność. Incydenty bezpieczeństwa są wykrywane przez system w sposób automatyczny, bez konieczności kreowania manualnych reguł korelacji, czy dodatkowej, skomplikowanej konfiguracji. Za wszystko odpowiadają dwa silniki wewnątrz rozwiązania, czyli:
- Analytics Engine
- Casuality Analysis Engine
Pierwszy z nich implementuje behawiorystyczne podejście do wykrywania zagrożeń w oparciu o algorytmy uczenia maszynowego. Drugi natomiast odpowiada za automatyczne zbudowanie incydentu, a co ważniejsze korelację wielu alarmów w pojedynczy incydent. Casuality Analysis Engine tworzy za nas sam incydent agregując potwierdzenia i dowody z wielu źródeł i różnych alarmów formułując pojedynczy obrazek zawierający komplet informacji niezbędnych do analizy. Dzięki tak określonej warstwie prezentacji zdarzenia, praca analityka staje się wiele prostsza i umożliwia mu szybkie przejście „od ogółu do szczegółu”, jak również automatyczne zebranie pełnego materiału dowodowego.
To właśnie ten aspekt pracy z Cortex XDR będzie najmocniej utylizowany podczas warsztatów technicznych Capture The Flag. Każdy z uczestników będzie mógł sprawdzić samodzielnie jak pracuje się z incydentami w Cortex XDR, jakie możliwości oferuje rozwiązanie oraz jak to usprawnia pracę analityka. Całość spotkania będzie połączeniem przyjemnego z pożytecznym, a dodając do tego pozostałe możliwości, takie jak: Threat Hunting, Incident Response, IOC/BIOC oraz wiele wiele innych, stworzy się niesamowita okazja do zapoznania się ze światem Palo Alto Networks Cortex.
Jak przekazywaliśmy w niniejszymi artykule, istnieje wiele możliwych interpretacji i podstawień za naszą zmienną „X”. Zaprezentowaliśmy tutaj jedynie kilka z nich, które definiują potencjał i możliwości platformy Cortex XDR. Jeżeli ciekawią Cię pozostałe opcje, to zapraszamy serdecznie na spotkanie nasze spotkanie techniczne już 26 stycznia i 9 lutego. Na drugi termin jest jeszcze kilka wolnych miejsc więc nie zwlekaj!
Maciej Martinek – Security Consultant CLICO
ZAREJESTRUJ SIĘ NA II Edycje Cortex XDR Capture The Flag Mission!
? Jest nam niezmiernie miło poinformować o nawiązaniu nowej współpracy z producentem Extreme Networks!
Extreme Networks to producent innowacyjnych rozwiązań sieciowych. Oferuje m.in. systemy klasy SIEM, NAC oraz narzędzia monitorujące i zarządzające siecią, które zapewniają bezpieczeństwo w organizacji.
Bardzo się cieszymy, że zaufał nam kolejny producent, z którym będziemy mogli jeszcze lepiej sprostać oczekiwaniom naszych klientów! Działamy! ??
Zdrowych, wesołych i pogodnych Świąt Bożego Narodzenia, odpoczynku w gronie najbliższych oraz pomyślności i sukcesów w nadchodzącym Nowym Roku! ???❄️❄️????
Zespół Clockwise?
28 sierpnia 2018r weszła w życie Ustawa o Krajowym Systemie Cyberbezpieczeństwa, implementująca do polskiego prawa dyrektywę w sprawie środków na rzecz wysokiego, wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii Europejskiej (tzw. Dyrektywa NIS). Ustawa definiuje tzw. Operatorów Usług Kluczowych (m. in. z sektora Ochrony Zdrowia) oraz określa bardzo konkretne wymagania dla tych podmiotów w zakresie zarządzania bezpieczeństwem sieci i informacji.
Poniżej przedstawione zostały wymagania znajdujące się w rozdz. 3, art. 8 Ustawy o Krajowym Systemie Cyberbezpieczeństwa:
| WYMAGANIE | SecureVisio |
| 1. Szacowanie ryzyka dla swoich usług kluczowych | Integralną część systemu stanowi automatyczna i dynamiczna analiza ryzyka cyberzagrożeń wyposażona w funkcję szacowania ich wpływu na kluczowe usługi organizacji (BIA). Automatycznie tworzona baza zasobów (CMDB), mapa sieci oraz gromadzenie w jednym systemie informacji o stanie cyberbezpieczeństwa znacznie ułatwia efektywne zarządzanie ryzykiem dla usług kluczowych. |
| 2. Zarządzanie incydentami bezpieczeństwa 3. Obsługa incydentów we własnych systemach 4. Raportowanie incydentów poważnych do CSIRT | System umożliwia wdrożenie i zautomatyzowanie wymaganej ustawą procedury zarządzania incydentami (7 etapów obsługi incydentu). SecureVisio SIEM wykrywa incydenty bezpieczeństwa oraz nadaje im priorytety wynikające z prowadzonej w sposób ciągły analizy ryzyka. Następnie SecureVisio SOAR, wykorzystując gotowe scenariusze obsługi umożliwia przydzielonemu operatorowi obsługę każdego incydentu z poziomu konsoli SecureVisio, łącznie z wysłaniem raportu do odpowiedniego CSIRT. |
| 5. Usuwanie wskazanych podatności 6. Zbieranie informacji o zagrożeniach i podatnościach | SecureVisio dzięki integracji z dowolnym skanerem podatności (Rapid 7, Nessus, Qualys, Greenbone itd.) umożliwia wprowadzenie efektywnego zarządzania podatnościami w organizacji. Analogicznie do zarządzania incydentami SecureVisio dokonuje analizy wyników skanów podatności oraz ocenia ryzyko związane z wystąpieniem danej podatności. Na tej podstawie nadaje priorytety wszystkim podatnościom i wykorzystując gotowe scenariusze obsługi daje przydzielonemu operatorowi gotowy playbook, dzięki któremu właściwie załata daną podatność. SecureVisio integruje się ponadto z systemami Threat Intelligence w celu stałego zbierania informacji o zagrożeniach i podatnościach np. Palo Alto MineMeld. |
7. Wdrażanie odpowiednich i adekwatnych do oszacowanego ryzyka środków technicznych i organizacyjnych 8. Stosowanie środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego | SecureVisio w obszarze analizy ryzyka oparte jest o normę ISO 27001 oraz ogólnodostępne dobre praktyki zarządzania ryzykiem cyberzagrożeń. System nie tylko wylicza aktualne ryzyko dla poszczególnych zasobów oraz procesów zachodzących w organizacji ale również sugeruje wprowadzenie określonych i adekwatnych do oszacowanego ryzyka środków technicznych i organizacyjnych aby zmniejszyć poziom ryzyka. Wprowadzając sugerowane zmiany organizacja w znaczący sposób ogranicza wpływ przyszłych incydentów na ciągłość świadczenia kluczowych usług. |
9. Raz na 24 m/ce audyt w rozumieniu wymagań ustawy 10. Przekazywanie sprawozdań z audytu wskazanym w ustawie podmiotom | Operator Usługi Kluczowej zobowiązany jest do przeprowadzania raz na 2 lata audytu zgodności z wymaganiami UoKSC. Wykorzystanie systemu SecureVisio w procesie zarządzania bezpieczeństwem pozwala w sposób transparentny wykazać zgodność z wymaganiami UoKSC. Wskazują na to doświadczenia klientów, którzy takie audyty przeszli pozytywnie. |
Za niespełnianie wymagań Ustawy o Krajowym Systemie Cyberbezpieczeństwa ustawodawca przewidział kary pieniężne, które mogą być nakładane na Operatorów Usług Kluczowych (rodz. 14 UoKSC).
RODO Vs. SecureVisio
Kolejnym aktem prawnym, który zobowiązuje polskie przedsiębiorstwa i instytucje publiczne do spełnienia określonych wymagań dotyczących danych jest ustawa o RODO. System SecureVisio posiada moduł PDP (Personal Data Protection), który prowadzi organizację „krok po kroku” do osiągnięcia zgodności z RODO i dzięki temu uniknięcia surowych konsekwencji braku zgodności z nowym prawem.
SecureVisio zapewnia organizacji spełnienie wszystkich wymagań RODO dotyczących dokumentacji i raportowania, tzn.:
- Rejestr czynności oraz kategorii czynności przetwarzania (RODO, Artykuł 30);
- Raport naruszenia ochrony danych osobowych dla organu nadzorczego (RODO, Artykuł 33 pkt. 3);
- Rejestr naruszeń bezpieczeństwa danych osobowych (RODO, Artykuł 33 pkt. 5);
- Raport z oceny skutków dla ochrony danych – analizy ryzyka w obszarze cyberzagrożeń (RODO, Artykuł 35).
SecureVisio automatyzuje wiele podatnych na błędy, czasochłonnych czynności wymaganych przez RODO, m.in.:
- Wyszukiwanie systemów IT przetwarzających dane osobowe oraz grup i kategorii danych, jakie tam się znajdują;
- Wyznaczanie dostępnych zabezpieczeń technicznych przed potencjalnymi źródłami zagrożenia dla wszystkich systemów IT, gdzie znajdują się zbiory danych osobowych;
- Generowanie „Raportu naruszenia ochrony danych osobowych dla organu nadzorczego” w pełni automatycznie, łącznie z wyznaczeniem możliwych konsekwencji naruszenia bezpieczeństwa;
- Wykrywanie obowiązkowej w RODO oceny skutków dla ochrony danych (analizy ryzyka) w obszarze cyberzagrożeń w sposób w pełni zautomatyzowany;
Wypełnienie zawartego w SecureVisio „Rejestru czynności przetwarzania” pomaga organizacjom w rozpoznaniu słabości całego procesu przetwarzania danych osobowych także w obszarach takich jak ochrona fizyczna, organizacja przetwarzania danych, itd.
SecureVisio wykonuje analizę ryzyka danych osobowych w odniesieniu do zagrożeń natury informatycznej (hackerzy, malware, ataki DoS, itp.), wykonuje ocenę skutków dla ochrony danych w systemach IT (tzn. analizę ryzyka danych osobowych) dla trzech głównych ryzyk:
- ryzyko utraty poufności danych,
- ryzyko utraty integralności danych,
- ryzyko utraty dostępności danych.
Analiza ryzyka w SecureVisio ocenia czy określone wektory ataku są istotne dla systemów IT gdzie są dane osobowe i tym samym SecureVisio wykonuje ocenę skutków dla ochrony danych. SecureVisio automatycznie wskazuje ryzyka natury informatycznej dla danych osobowych w systemach IT, m.in. mówi jak intruzi mogą włamać się i ukraść dane osobowe z organizacji.
Analiza ryzyka obejmuje także aspekty nieinformatyczne i jest wyliczana zgodnie z wytycznymi, opisanymi nowym standardem ISO/IEC 29134:2017 – Information technolog – Security techniques – Guidelines for privacy impact assessment.
SecureVisio zapewnia automatyczną ocenę skutków dla ochrony danych, co stanowi dużą korzyść dla każdej organizacji i ogromny krok w przygotowaniu do osiągnięcia przez nią zgodności z RODO. Ocena skutków (RODO, Artykuł 35) jest wymagana przy zgłaszaniu naruszeń ochrony danych osobowych do organu nadzorczego (RODO, Artykuł 33 pkt. 3).
Nie ma idealnego przepisu na cyberbezpieczeństwo. Są jednak składniki, które w ogromnym stopniu je poprawiają, ułatwiają oraz automatyzują. Zachęcamy do zapoznania się z cyklem naszych cotygodniowych artykułów, w których opiszemy Państwu 5 sposobów na bezpieczną firmę dzięki Palo Alto Networks!
Rozdział 1 – Widoczność i kontrola
Rozdział 2 – Adaptacyjna polityka
Rozdział 3 – Zaawansowana ochrona
Rozdział 4 – Bezpieczny zdalny dostęp
Rozdział 5 – Najlepsze praktyki oraz migracja
Miło nam poinformować, że firma CLICO, kolejny rok z rzędu, zajęła 1. miejsce w tegorocznym raporcie Computerworld TOP 200, w kategorii największego dostawcy rozwiązań bezpieczeństwa za 2020 rok ! ???
Gratulujemy i cieszymy się, że mamy przyjemność współpracować z CLICO ??
Raport Computerworld TOP 200 stanowi obszerne i kompleksowe opracowanie, prezentujące szczegółowe dane dotyczące dostawców nowoczesnych technologii. Szczegółowe informacje dotyczące raportu są dostępne TUTAJ.
Istnieje kilka podstawowych narzędzi do zabezpieczania infrastruktury sieciowej, których nie powinno zabraknąć w żadnej organizacji.
Przyjrzyjmy się roli GREYCORTEX Mendel we wszystkich produktach chroniących dane i sieć w Twojej firmie.
Oprogramowanie antywirusowe, zapory ogniowe i systemy zapobiegania włamaniom (IPS) powinny stanowić integralną część rozwiązania cyberbezpieczeństwa każdej organizacji. W dzisiejszych czasach to jednak często nie wystarcza. Tu właśnie wkracza Mendel.
GREYCORTEX Mendel jest rozwiązaniem wielopoziomowym:
- Jest to wyjątkowe narzędzie, które widzi, wizualizuje i analizuje wszystko w Twojej sieci – urządzenia, dostęp i całą komunikację.
- Stanowi doskonałe rozszerzenie funkcjonalności standardowych narzędzi cyberbezpieczeństwa: antywirusa, zapór sieciowych oraz monitorowania wydajności sieci. Są kluczowe, ale są pewne zagrożenia, których nawet one nie są w stanie wykryć. Powód jest prosty: atakujący często są gotowi na te standardowe systemy.
Mendel widzi i wizualizuje w kontekście czasu i wydarzeń.
Wyobraź sobie narzędzie, które widzi wszystkie urządzenia w Twojej sieci, jak się ze sobą komunikują, jakich protokołów używają i dokąd trafiają Twoje dane. W GREYCORTEX Mendel możesz to wszystko zobaczyć. Możesz także zobaczyć szczegóły konkretnego urządzenia, jego komunikację i miejsce, z którym jest aktualnie połączone, a także wczoraj lub rok temu. Dzięki tej wyjątkowej analizie możesz wykryć wyrafinowany atak na Twoją infrastrukturę, zanim to się naprawdę stanie. Dzieje się tak, ponieważ możesz powiązać bieżące wydarzenia z wydarzeniami, które miały miejsce wcześniej, nawet w bardziej odległej przeszłości.
Rzućmy okiem na przykład ataku, który może pozostać niezauważony przez standardowy mechanizm wykrywania:
Zaawansowane złośliwe oprogramowanie nie jest wykrywane na urządzeniu końcowym, ale urządzenie to wykazuje zachowanie, które może zagrozić sieci – na przykład próbuje uzyskać dostęp gdzieś, do którego wcześniej nie miał dostępu. Może to być oprogramowanie szpiegujące lub APT w domenach wewnętrznych, które stopniowo rozprzestrzeniają się w sieci za pośrednictwem domeny, podczas gdy zainfekowane maszyny zaczynają uzyskiwać dostęp do nietypowych urządzeń i źródeł danych oraz wykonywać ruchy boczne. Mendel może zidentyfikować i powiadomić Cię o takich nietypowych zachowaniach.
Bardziej niezawodne zabezpieczenia punktów końcowych.
Ponieważ punkty końcowe są łatwym celem, często dostarczają cennych danych i stanowią punkt wejścia do uzyskania głębszego dostępu do sieci, są częstymi początkowymi celami cyberataków. Powszechnie znane ataki na punkty końcowe obejmują:
- mapowanie sieci
- eksfiltracja danych (przesyłanie danych w niestandardowych lub szyfrowanych kanałach, komunikacja z urządzeniami sterującymi)
- ataki słownikowe, naruszenia danych haseł
- eksploracja danych (odczytywanie ważnych informacji, eksploracja danych z bazy danych, eksploracja użytkowników z systemów informatycznych lub z kontrolera domeny)
Mendel oznacza takie ataki jako niebezpieczne zachowanie i rozpoznaje zagrożenie, które mogło nie zostać rozpoznane przez zabezpieczenia punktu końcowego lub które jest dobrze ukryte przez atakującego. Nawet jeśli wdrożone jest oprogramowanie antywirusowe, Mendel monitoruje komunikację Twoich urządzeń i ujawnia w niej wszelkie anomalie. Wszystko to przy użyciu szerokiej bazy danych specjalizującej się w zagrożeniach sieciowych, które obejmują nie tylko znane zagrożenia, ale także sygnatury nietypowych zachowań.
Inteligentniejsza zapora sieciowa.
Możemy zdefiniować kilka rzeczy, które wchodzą w zakres terminu firewall: standardowe zapory i inteligentne rozwiązania znane jako IPS.
Tradycyjne zapory ogniowe stoją na pierwszym miejscu na linii obrony i zapewniają szerokie filtrowanie ruchu. Definiują przejścia sieciowe i dostępność usług sieciowych i są najczęściej używane jako zewnętrzne zabezpieczenie – w niektórych przypadkach w sieci wewnętrznej. Często są otwarte lub niewystarczająco skonfigurowane. W takich przypadkach Mendel pełni rolę narzędzia audytowego – kontrolującego działanie samego firewalla i sprawdzającego jego konfigurację. Możesz użyć tej funkcji do weryfikowania i kontrolowania polityki komunikacyjnej w Twojej sieci wewnętrznej i krytycznych systemach. Pomaga zrozumieć, kto gdzie się łączy, kto z czego korzysta i kto zachowuje się inaczej niż powinien.
Inteligentne rozwiązania, takie jak IPS, wnikają głębiej w Twoją sieć, mogą wykrywać znane zagrożenia i je blokować. Również tutaj Mendel zapewnia podwójną kontrolę, monitorując działanie serwerów proxy i gateway’ów e-mail. Oznacza to, że żadne potencjalne zagrożenie nie może przejść niezauważone. Nawet w tym przypadku zaletą Mendla jest rozbudowana baza danych zagrożeń, składająca się z wielu źródeł i sygnatur, które weryfikują nie tylko znane ataki, ale także polityki bezpieczeństwa i potencjalnie niebezpieczny dostęp do źródeł danych, takich jak dostępy administracyjne. Takie podejście jest znacznie skuteczniejsze w wykrywaniu luk w zabezpieczeniach niż tylko baza danych znanych zagrożeń od jednego dostawcy. W ten sposób Mendel pokazuje znacznie więcej – nie tylko to, co należy zablokować, ale także niechciane lub niezabezpieczone aplikacje oraz dostęp do ryzykownych usług. Otrzymasz znacznie lepszy wgląd w to, co się dzieje w Twojej sieci i w jaki sposób.
Niebezpieczeństwo nieznanych zagrożeń.
We wszystkich wymienionych przypadkach Mendel nie tylko lepiej radzi sobie z wykrywaniem znanych zagrożeń, jego siła tkwi również w wykrywaniu nieznanych zagrożeń. W jaki sposób? Mendel rozpoznaje różne rodzaje działań za pomocą analizy behawioralnej. Zaraz po wykryciu nietypowego zachowania lub nieznanego zagrożenia system powiadamia Cię np. przez e-mail. To twój wybór. Możesz albo podjąć niezbędne kroki, albo podłączyć Mendel do API zapory, co automatycznie zablokuje niechcianą komunikację.
Ogromna pomoc w monitorowaniu wydajności sieci.
Na kolejnym poziomie znajdują się narzędzia do wewnętrznego monitorowania systemu. W tym przypadku Mendel pokazuje przejrzysty obraz sieci – jakie jest jej obciążenie i wykorzystanie, kto ma do niej dostęp, jakie usługi działają oraz jaka jest wydajność aplikacji i transmisji. Wyobraź sobie, jak obciążony jest Twój system informatyczny, kontroler domeny, sieć Wi-Fi lub centrum danych! GREYCORTEX Mendel pomaga zwiększyć niezawodność Twojej sieci. Nawet przemysłowe systemy sterowania mogą uzyskać odpowiedni poziom kontroli, więc każdy atak, a nawet poważna awaria sieci nie ma katastrofalnych konsekwencji.
Oprogramowanie antywirusowe pokazuje aktualne zagrożenia. Zapora wyświetla bieżące ustawienia i informuje, czy jakiś ruch przechodzi czy nie. Ale nic nie pokaże Ci wyraźnie wydarzeń w Twojej sieci sprzed godziny, tygodnia czy roku. Krótko mówiąc, GREYCORTEX Mendel widzi, wizualizuje i (dzięki przechowywaniu danych z ostatnich kilku lat) także analizuje bieżące i minione wydarzenia.
Kontrola dostępu (Access Control) jest metodą gwarantującą, że użytkownicy są tymi, za których się podają i że mają odpowiedni dostęp. Określa również, które osoby mogą wchodzić w interakcje z zasobami w sieci. Dostęp jest ograniczony, dopóki użytkownik nie zostanie najpierw uwierzytelniony, a następnie autoryzowany.
Uwierzytelnianie (Authentication)
Uwierzytelnianie to operacja mająca na celu określenie tożsamości użytkownika. Może być dokonywana na wiele sposobów:
- Uwierzytelnianie przy użyciu haseł
- Uwierzytelnianie przy użyciu certyfikatów
- Uwierzytelnianie wieloskładnikowe
Uwierzytelnianie przy użyciu haseł
Uwierzytelnianie przy użyciu haseł (znane również jako uwierzytelnianie jednoskładnikowe) wymaga podania unikalnego identyfikatora, takiego jak nazwa użytkownika lub adres e-mail, wraz z kodem dostępu lub hasłem.
Utworzenie silnego hasła ma ogromne znaczenie. Im silniejsze, tym będzie trudniejsze do złamania przez tzw. brute force attack – atakujący będzie wypróbowywał wszystkie możliwe kombinacje haseł, dopóki nie znajdzie prawidłowego.
Najlepsze hasła to te, które są długie. Im więcej znaków w haśle, tym więcej czasu zajmie jego złamanie. Należy uwzględnić wiele typów znaków, takich jak: cyfry, symbole, wielkie i małe litery.
Uwierzytelnianie przy użyciu certyfikatów
Uwierzytelnianie przy użyciu certyfikatów wykorzystuje certyfikaty cyfrowe do weryfikacji użytkownika przed przyznaniem mu dostępu do zasobu. Certyfikat cyfrowy jest również wykorzystywany do bezpiecznej wymiany danych między osobami lub organizacjami.
Poświęćmy tutaj chwilę, aby dowiedzieć się nieco więcej o rodzajach certyfikatów cyfrowych.
Czym jest certyfikat cyfrowy?
Istnieją trzy rodzaje certyfikatów cyfrowych:
- certyfikaty użytkownika,
- certyfikaty Code Signing,
- certyfikaty SSL/TLS
Zacznijmy od certyfikatów SSL/TLS.
- SSL i TLS zapewniają szyfrowanie komunikacji danych. To właśnie certyfikaty cyfrowe dla SSL/TLS umożliwiają szyfrowanie danych w ruchu. Obecnie certyfikaty te nie tylko szyfrują dane, ale również weryfikują tożsamość serwerów internetowych. Podobnie jest z paszportem, który weryfikuje tożsamość podczas podróży. Kiedy używasz przeglądarki internetowej do łączenia się z serwerem, certyfikaty SSL/TLS dają Ci pewność, że serwer jest godny zaufania.
- Certyfikaty cyfrowe Code Signing są używane do ustalania autentyczności kodu aplikacji oprogramowania. Ideą tych certyfikatów jest udowodnienie, że oprogramowanie udostępniane przez autora lub dewelopera jest legalne. Certyfikaty Code Signing zapewniają, że kod oprogramowania nie został zmieniony lub zmodyfikowany.
- Certyfikaty użytkownika działają prawie jak hasła. Są one lepsze od haseł, ponieważ nie wymagają zapamiętywania długich, skomplikowanych ciągów słów i znaków. Działają one tak samo jak certyfikaty SSL/TLS, z tą różnicą, że służą jedynie do potwierdzania tożsamości osoby lub urządzenia. Nie są one używane do szyfrowania danych. Uwierzytelniają ludzi za pośrednictwem systemów, z których korzystają. Są one instalowane na urządzeniach użytkowników, z których następnie łączą się oni z daną stroną lub usługą. Ciekawostką jest, że certyfikaty użytkownika są również wykorzystywane do uwierzytelniania dwuskładnikowego. Są one czynnikiem „czegoś, co masz” w procesie, dzięki czemu połączenia z wrażliwymi danymi lub usługami są jeszcze bardziej bezpieczne.
Wszystkie trzy typy certyfikatów cyfrowych mogą być generowane samodzielnie lub wydawane przez urząd certyfikacji.
Certyfikaty cyfrowe są bardzo powszechne we współczesnym środowisku komputerowym. Są one łatwe do wdrożenia i zarządzania. Zabezpieczają szeroką gamę połączeń wewnętrznych i zewnętrznych oraz oferują sposób uwierzytelniania osób.
Uwierzytelnianie wieloskładnikowe
Trzecim rodzajem uwierzytelniania jest uwierzytelnianie wieloczynnikowe. Umożliwia ono przedstawienie dwóch lub więcej dowodów w celu weryfikacji tożsamości przy logowaniu lub innej transakcji.
Czynniki uwierzytelniania wieloczynnikowego są następujące:
Uwierzytelnianie dwuskładnikowe wymaga przedstawienia dwóch z trzech możliwych typów czynników uwierzytelniających.
Uwierzytelnianie trójczynnikowe wymaga jednego elementu z każdego z typów czynników uwierzytelniających.
Przykład uwierzytelniania wieloczynnikowego
Autoryzacja (Authorization)
Krótko o autoryzacji. Autoryzacja jest procesem, który ma na celu potwierdzenie użytkownikowi dostępu, uprawnień, prawa do wykonania danej operacji. Jej celem jest kontrola dostępu.
Po zakończeniu uwierzytelniania użytkownika następuje weryfikacja uprawnień dostępu (autoryzacja) i następuje przyznanie lub odmowa dostępu.
SecureVisio – jedna platforma do wykrywania i zarządzania incydentami, podatnościami oraz ryzykiem. System pozwala organizacjom zautomatyzować i ujednolicić podstawowe operacje związane z zarządzaniem bezpieczeństwem w ramach jednej, zintegrowanej platformy. Dzięki temu organizacje optymalizują czas i koszty operacji bezpieczeństwa. Osoby zarządzające bezpieczeństwem podejmują lepsze decyzje, ponieważ w jednym miejscu mają pełne informacje na temat incydentów, luk w zabezpieczeniach i związanego z nimi ryzyka.
SecureVisio adresuje następujące obszary procesu zarządzania bezpieczeństwem:
Świadomość sytuacyjna – inwentaryzacja, mapowanie i wizualizacja zasobów IT oraz procesów
Budowanie świadomości sytuacyjnej w zakresie zasobów, sieci i procesów to jedna z najważniejszych aktywności w procesie zarządzania bezpieczeństwem na poziomie strategicznym i operacyjnym.
SecureVisio wyposażono w zautomatyzowane, pasywne i aktywne mechanizmy inwentaryzacji zasobów IT i mapowania sieci. System wykrywa systemy, urządzenia sieciowe i aplikacje, określa ich typ i relacje między nimi. Mechanizmy inwentaryzacji umożliwiają również identyfikację procesów technicznych i biznesowych, których część stanowią zidentyfikowane zasoby lub ich grupy. W ramach inwentaryzacji system dynamicznie wylicza potencjalne wektory ataku i określa możliwe zagrożenia. Infrastruktura analizowana jest również pod kątem zabezpieczeń zastosowanych w sieci i na punktach końcowych. Wszystkie wyniki pracy modułu inwentaryzacji prezentowane są w formie zwizualizowanej, interaktywnej mapy logicznej sieci. Zgromadzone informacje wykorzystywane są przez pozostałe moduły systemu:
- Stanowią jeden z parametrów korelacji zdarzeń;
- Wzbogacają kontekst incydentów w procesie obsługi incydentów;
- Są wykorzystywane w trakcie doboru scenariuszy i przydzielania zadań do zespołów obsługi;
- Mają wpływ na priorytety incydentów;
- Stanowią podstawę automatycznej analizy ryzyka cyberzagrożeń;
- Mają wpływ na priorytety i obsługę podatności;
Analiza ryzyka cyberzagrożeń
Analiza ryzyka cyberzagrożeń to strategiczna aktywność w procesie zarządzania bezpieczeństwem. Świadomość ryzyka związanego z cyberzagrożeniami pozwala na efektywne stosowanie zabezpieczeń. Wyniki analizy ryzyka stanowią ważny element świadomości sytuacyjnej i wpływają na działania operacyjne takie jak procesy obsługi incydentów i podatności.
Platforma SecureVisio obejmuje mechanizmy automatycznej, dynamicznej analizy ryzyka cyberzagrożeń dla procesów i zasobów, na podstawie danych zgromadzonych i stale aktualizowanych w procesie inwentaryzacji. Zaawansowane algorytmy analityczne uwzględniają macierze zagrożeń i zabezpieczeń, wektory ataków oraz potencjalne konsekwencje dla systemów, procesów i danych. Kontekstowe reguły analizy ryzyka umożliwiają dostosowanie mechanizmów ryzyka do specyficznych potrzeb każdej organizacji. Wyniki analiz prezentowane są w graficznym panelu oceny ryzyka oraz w graficznym modelu sieci. Stanowią one również ważny parametr korelacji zdarzeń i wpływają na priorytety incydentów i podatności.
SecureVisio SIEM
Gromadzenie i przechowywanie informacji o zdarzeniach
SecureVisio wyposażono w zaawansowane, wydajne mechanizmy zbierania i przechowywania informacji o zdarzeniach z całej infrastruktury IT. System umożliwia gromadzenie logów za pośrednictwem protokołu syslog, mechanizmu Windows Event Forwarding, interfejsów API, odczyt danych z plików tekstowych, baz danych a nawet skrzynek pocztowych. Zastosowanie bazy danych opartej na plikach płaskich pozwoliło na uzyskanie bardzo wysokiej wydajności. Wbudowane, automatyczne mechanizmy archiwizacji umożliwiają długotrwałe, centralne lub rozproszone, przechowywanie danych na wskazanej przez administratora przestrzeni dyskowej.
Analiza i korelacja zdarzeń
System wyposażono w stale uzupełniany zestaw parserów zdarzeń dla różnych rodzajów źródeł. Mechanizmy parsowania regex, xml, json, parsowanie warunkowe i podrzędne oraz graficzny interfejs tworzenia parserów wraz z wbudowanym debuggerem to potężne narzędzia, które są w stanie przetworzyć i znormalizować dane z dowolnego źródła. Zgromadzone dane dzięki procesowi normalizacji stają się informacjami, które mogą być przeszukiwane i przetwarzane. System wyposażono w automatyczne mechanizmy korelacji zdarzeń i stale rozwijany zestaw reguł korelacyjnych opartych między innymi na matrycy MITRE ATT&CK. Zaawansowany, niezwykle elastyczny silnik korelacyjny wyposażono w unikalny zestaw możliwości:
- Tworzenie zdarzeń na podstawie innych zdarzeń;
- Tworzenie incydentów na podstawie zdarzeń;
- Nadawanie priorytetów w zależności od kontekstu;
- Mechanizm scoringowy uzależniony od profili zasobów;
- Tworzenie i odwoływanie się do tablic referencyjnych;
- Uwzględnianie w korelacji kontekstu zasobów związanych ze zdarzeniami (typ zasobu i jego rola w organizacji, zagrożone procesy techniczne i biznesowe, rodzaj przetwarzanych danych, potencjalne konsekwencje incydentu, wektory ataku, wyniki analizy ryzyka);
- Graficzny interfejs do tworzenia reguł korelacji.
SecureVisio SOAR
Implementacja procesu obsługi incydentów bezpieczeństwa oraz podatności
W platformie SecureVisio zaimplementowano, zaawansowany moduł SOAR (Security Orchestration Automation and Response). Rozwiązanie pozwala na implementację procesów i procedur obsługi incydentów bezpieczeństwa zgodnie z najlepszymi praktykami (między innymi: ISO- 270035, NIST SP 800-61R2, ENISA, Carnegie Mellon University). Każdy potencjalny incydent bezpieczeństwa utworzony w wyniku pracy mechanizmów korelacyjnych staje się elementem procesu, w ramach którego, SecureVisio automatycznie wzbogaca dane, śledzi status, czas reakcji i obsługi, eskaluje, bada
potencjalne konsekwencje oraz dostarcza scenariusze postępowania na każdym etapie analizy i reakcji. Automatyzacja zadań analizy i reakcji na incydenty SecureVisio automatycznie przydziela zadania członkom zespołu SOC na podstawie zdefiniowanych parametrów i kontekstu zdarzeń. Przebieg prac odbywa się zgodnie ze scenariuszami dostosowanymi do każdego etapu procesu obsługi incydentu.
Do zaawansowanych funkcji SOAR należą między innymi:
- Graficzny interfejs do tworzenia scenariuszy;
- Plany działań podzielone na etapy i kroki;
- Interakcja z użytkownikiem, zadawanie pytań i uzależnienie dalszych kroków od odpowiedzi;
- Zmiana scenariusza lub skok do innego kroku na podstawie okoliczności;
- Wbudowane, automatyczne lub zautomatyzowane akcje systemowe w ramach scenariuszy;
- Wiele scenariuszy stosowanych automatycznie w zależności od statusu, kontekstu oraz parametrów incydentu/zdarzenia;
- Powiadamianie zespołów obsługi, właścicieli zasobów i procesów na podstawie zdefiniowanych parametrów takich jak: typ zasobu, zagrożone procesy, ważność zasobu, priorytet incydentu/zdarzenia;
- Powiadamianie przy zmianie statusu incydentu/zdarzenia;
- Powiadamianie w przypadku przekroczenia ustalonych czasów reakcji i obsługi;
- Czasy reakcji i obsługi uzależnione od priorytetu incydentu/zdarzenia;
Moduł obsługi incydentów zawiera gotowe scenariusze i setki akcji, które umożliwiają automatyczne lub zautomatyzowane interakcje z zewnętrznymi systemami w ramach prac związanych z uzupełnianiem informacji, pivotingiem oraz reakcją na incydenty.
Implementacja procesu zarządzania podatnościami
Proces zarządzania podatnościami jest jednym z najważniejszych aspektów zarządzania bezpieczeństwem. Dlatego system SecureVisio obejmuje moduł, który umożliwia kompleksowe podejście do obsługi podatności. System dysponuje interfejsami integracji z wiodącymi rozwiązaniami do skanowania podatności. Interfejsy te umożliwiają zarządzanie procesami skanowania wielu skanerów oraz import wyników ich pracy. W ramach podsystemu zarządzania podatnościami
SecureVisio wspomaga organizację w następujących zadaniach:
- Ustalanie priorytetów podatności na podstawie danych kontekstowych z pozostałych modułów;
- Automatyczne przydzielanie zadań dla zespołów obsługi w zależności od kontekstu;
- Automatyczne przydzielanie scenariuszy obsługi podatności w zależności od kontekstu;
- Automatyczne powiadamianie zespołów obsługi, właścicieli zasobów i właścicieli procesów;
- Automatyczne śledzenie czasów reakcji i obsługi;
- Automatyczna eskalacja;
- Wzbogacanie informacji o podatności o informacje kontekstowe z pozostałych modułów
Ochrona Danych Osobowych
Moduł ochrony danych osobowych wspomaga organizację w obsłudze czynności, kategorii przetwarzania oraz raportowaniu.
Moduł oferuje także:
- Wyszukiwanie systemów IT przetwarzających dane osobowe oraz grup i kategorii danych, jakie tam się̨ znajdują;
- Wyznaczanie dostępnych zabezpieczeń́ technicznych przed potencjalnymi źródłami zagrożeń dla wszystkich „ systemów IT, które przetwarzają dane osobowe;
- Automatyczne generowanie „Raportu naruszenia ochrony danych osobowych dla organu nadzorczego” łącznie z wyznaczeniem możliwych konsekwencji naruszenia bezpieczeństwa;
- Przeprowadzanie, obowiązkowej w RODO, oceny skutków dla ochrony danych (analizy ryzyka) w obszarze cyberzagrożeń́ , w sposób w pełni zautomatyzowany.
- Automatyczną analizę ryzyka utraty dostępności, poufności i integralności danych;
- Informacje przetwarzane w ramach modułu stanowią dodatkowy kontekst uwzględniany w procesie obsługi
Razem z firmą S4E, serdecznie zapraszamy na cykl spotkań poświęconych rozwiązaniu Commvault. Raz w miesiącu doświadczeni inżynierowie, świadczący wsparcie techniczne, pokażą Państwu praktyczne podejście do rozwiązań oraz przekażą dodatkową dawkę informacji o Commvaulcie!
Podczas spotkań, prowadzący skupią się głownie na kwestiach serwisowych – zgłaszaniu problemów, nowościach, zmianach w licencjonowaniu, zastosowaniu rozwiązań Commvault, zarządzaniu konsolami, aktualizacjach czy ochronie środowisk.
Tematyka spotkań
| L.p. | Data | Temat spotkania |
| 1. | 15.04.2021 | Wstęp do Webinarium |
| 2. | 20.05.2021 | Konsola Commcell Console |
| 3. | 17.06.2021 | Konsola Command Center |
| 4. | 15.07.2021 | Macierz obiektowa – nowoczesne repozytorium backupowe |
| 5. | 12.08.2021 | Licencje Commvault |
| 6. | 16.09.2021 | Aktualizacja środowiska |
| 7. | 14.10.2021 | Commserve Failover |
| 8. | 18.11.2021 | Ochrona środowisk wirtualnych |
| 9. | 16.12.2021 | Ochrona skrzynek i komponentów O365 |
| 10. | 20.01.2022 | Ochrona stacji roboczych |
| 11. | 10.02.2022 | Backup w chmurze |
| 12. | 17.03.2022 | 1-Touch Recovery |
| 13. | 07.04.2022 | Szyfrowanie danych |
| 14. | 12.05.2022 | Archiwizacja danych |
| 15. | 16.06.2022 | Podstawy trobbleshootingu |
Partnerzy
