Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie

Transcriptie

1 Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie Maak log management minder complex en krijg de beschikking over de actiegegevens die u nodig hebt om het beveiligingsprofiel van uw bedrijf te verbeteren Organisaties doen op nieuwe manieren zaken dankzij nieuwe IT-infrastructuurtechnologieën die de manier waarop gebruikers met elkaar en met informatie omgaan veranderen. Denk hierbij aan virtualisatie, cloudcomputing en mobiliteit. Omdat bedrijven steeds vaker onderling verbonden en over meer locaties verspreid zijn, neemt de business agility toe. Specialisten in informatiebeveiliging krijgen hierdoor echter te maken met nieuwe uitdagingen rond het handhaven van effectieve beveiliging en monitoring. U hebt ongetwijfeld een tool voor het verzamelen en beheren van logbestanden geïmplementeerd om aan de compliance-eisen te voldoen. Maar verschaft deze tool u ook realtime informatie over en analyses van beveiligingsevents? Kunt u zich een weg banen door de enorme hoeveelheid gegenereerde beveiligingsgegevens en het inzicht krijgen dat u nodig hebt om het beleid na te leven en bedreigingen die steeds ingewikkelder worden aan te pakken? Misschien is het zelfs wel zo dat uw tool voor log management niet langer volledig aan de compliance-eisen voldoet. Compliancevoorschriften veranderen constant en vaak is het verzamelen van logbestanden alleen niet meer genoeg. U moet om het risico op mislukte audits te verkleinen in staat zijn om rapporten te produceren die u helpen om uitzonderingen te beoordelen en aan zeer oplettende auditors te laten zien dat u dit ook daadwerkelijk doet.

2 WHITE PAPER Inhoudsopgave Monitoring van gebruikersactiviteiten... 1 Een flexibele, schaalbare en eenvoudig implementeerbare oplossing... 1 Rapportage voor alle doelgroepen... 1 Efficiënte signalering van uitzonderingen... 2 Hoe NetIQ kan helpen... 3 Conclusie... 3 Over NetIQ... 4 WHITE PAPER: Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie

3 Monitoring van gebruikersactiviteiten Volgens het Data Breach Investigation Report van 2011 van Verizon is 86% van de organisaties er via een derde (vaak een ordehandhaver) achter gekomen dat er een inbraak heeft plaatsgevonden. Van deze organisaties waar is ingebroken, beschikte 70% over bewijs dat hen op de inbraak had kunnen attenderen, maar dat niet als zodanig is herkend. Het is duidelijk dat organisaties wel de juiste gegevens verzamelen, maar niet op tijd het belang ervan kunnen inzien. Als het op beveiligingsrapportage en event management aankomt, zijn mensen vaak de zwakke schakels, vooral als de processen hoofdzakelijk handmatig worden uitgevoerd. Het kost veel tijd om logbestanden handmatig door te spitten om security events te identificeren. Bovendien levert dit proces vaak niet de security intelligence op die u nodig hebt om actie te ondernemen. Hoe langer het duurt om een lek te vinden, hoe langer de aanvaller gebruik van dat lek kan maken. Zelfs als u een incident vindt, is de vraag nog maar of u kunt identificeren waar dit vandaan komt of wie uw beveiliging in gevaar brengt. En kunt u dit snel genoeg doen om problemen te onderkennen die in realtime voorkomen? Uw organisatie moet in een klimaat van kleinere of vaste budgetten en onder druk staande teams efficiënter werken om het gebruik van alle middelen te maximaliseren. Hoe meer aspecten van beveiligingsrapportage en event management u kunt automatiseren (bijv. monitoring, correlatie en zelfs herstel), hoe sneller u uitzonderingen kunt opsporen en oplossen en hoe meer tijd uw team aan het onderzoeken van echte problemen kan spenderen. Daarnaast kunt u gebruikers aan specifieke acties binnen systemen koppelen als u Security Information & Event Management aan mogelijkheden voor het monitoren van gebruikersactiviteiten kunt koppelen. Op deze manier wordt het realiseren van compliance een stuk minder complex. En hoe visueler u deze informatie beschikbaar kunt stellen, hoe begrijpelijker dit is voor iedereen, van specialisten tot niet-specialisten. Een flexibele, schaalbare en eenvoudig implementeerbare oplossing Er zijn allerlei tools voor log management op de markt, waaronder een aantal die gratis te downloaden zijn. Maar als de tool die u gebruikt niets meer doet dan logbestanden beheren en u uw bedrijf wilt beschermen, dient u andere tools of software te installeren om de beschikking over meer beveiligingsfunctionaliteit te krijgen. Helaas kan dit de bedrijfsvoering verstoren of complexe implementaties of integraties met zich meebrengen. Afbeelding 2. Een beveiligingsdashboard waarmee u realtime informatie over activiteiten binnen handbereik hebt. Als u uw technologie-omgeving of besturingsmodel verandert, is een statische of inflexibele tool wellicht niet tegen uw behoeften opgewassen. Ook kan een dergelijke tool waarschijnlijk niets met nieuwe soorten potentiële gevaren en pogingen tot inbraak, of met de uitdagingen die bij het beheer en de toegang van privilegegebruikers komen kijken. Idealiter zou u dus één oplossing die mogelijkheden biedt voor log management en Security Information & Event Management (SIEM) moeten implementeren, zodat u de beschikking krijgt over realtime informatie over en inzicht in uw bedrijfssystemen en zodat het gemakkelijker voor u wordt om beveiligingsrisico s te voorkomen, de bedrijfsvoering te verbeteren en beleidsregels na te leven. Rapportage voor alle doelgroepen Het genereren van toereikende rapporten voor verschillende bedrijfsafdelingen is van cruciaal belang om ervoor te zorgen dat risico s en bedreigingen goed worden begrepen en om aan audit- en compliance-eisen te voldoen. Als u afhankelijk bent van een eenvoudige tool voor log management, kan rapportage een lastige uitdaging zijn. Het kost enorm veel tijd om de gegevens te verzamelen, deze informatie voor beter inzicht naar een applicatie zoals Microsoft Excel te exporteren en deze in een applicatie zoals Microsoft PowerPoint te presenteren. Bovendien zijn foutjes hierbij zo gemaakt. Met een meer geavanceerde tool kunt u snel en eenvoudig (soms binnen enkele seconden) rapporten genereren dankzij vooraf gedefinieerde sjablonen die uitgebreide en grafische informatie bevatten. U kunt hier een informatiehiërarchie WHITE PAPER: Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie 1

4 aan toevoegen die op alle doelgroepen aansluit, zoals een informatieoverzicht voor Chief Risk Officers (CRO s) en Chief Security Officers (CSO s), met de mogelijkheid om meer gedetailleerde informatie en bewijzen voor gemarkeerde events en vergelijkende of historische gegevens weer te geven. Zo kunt u naast tijd besparen en het risico op fouten beperken de informatie ook op een toegankelijke, begrijpelijke en voor verschillende doelgroepen geschikte manier presenteren. Bovendien kunt u, door te laten zien dat u dankzij de krachtige zoek- en rapportagefuncties tijd en geld bespaart, aantonen dat u door af te stappen van een handmatige of tactische implementatie van log management enorm snel rendement op de investering kunt realiseren. Efficiënte signalering van uitzonderingen Het is vaak moeilijk om events te herkennen als werkelijke of potentiële problemen die moeten worden onderzocht. Niet elke uitzondering wijst namelijk op een potentiële bedreiging of inbreuk op de beveiliging. Als er bijvoorbeeld opeens een piek in het aantal aanmeldingen wordt waargenomen die niet op het normale aanmeldingspatroon aansluit, kunt u deze uitzondering mogelijk eenvoudig verklaren op basis van bekende cycli in de bedrijfswerkzaamheden en de daaraan gerelateerde systemen. Zo kan deze piek het resultaat zijn van partners die een verkoopapplicatie openen, iets wat alleen op de laatste dag van elk kwartaal voorkomt. Met een eendimensionale weergave van een afwijking van een baseline beschikt u niet over de security intelligence die u kan helpen om echte problemen te herkennen. U hebt een tool nodig die events verzamelt en automatisch onregelmatigheden in uw bedrijfsomgeving identificeert, zonder dat u correlatieregels op hoeft te stellen, wat alleen mogelijk is als u precies weet waarnaar u zoekt. Via de door u gekozen tool moet u uitzonderingen kunnen analyseren vanuit een vrijwel onbeperkt aantal perspectieven en over de mogelijkheid beschikken om een uitzondering onder de loep te nemen op basis van een willekeurige combinatie van attributen en tijdsperiodes. Hiermee beschikt u over de flexibiliteit en controle die u nodig hebt om naar de eventpatronen en causale verbanden te zoeken die op een afwijking kunnen duiden en die u helpen tijdens het vaststellen van de precieze oorzaak van een bedreiging. Zo kunt u de volgende reeks tegenkomen: een beheerder maakt een account voor een privilegegebruiker aan die direct wordt gebruikt om toegang te krijgen tot een bepaalde server en informatie naar een extern opslagapparaat te kopiëren. Na het afmelden wordt de account snel verwijderd en worden ook de relevante logbestanden van de bestandsserver gewist. Dankzij dit soort security intelligence beschikt u over betere informatie: u kunt het patroon dat op een uitzondering wijst sneller en eenvoudiger zien zonder dat u de events handmatig hoeft te correleren, waardoor u de uitzondering sneller kunt onderzoeken. Afbeelding 2. Een beveiligingsdashboard waarmee u realtime informatie over activiteiten binnen handbereik hebt. Idealiter biedt uw tool u zowel visuele als automatische manieren voor de analyse van uitzonderingen. Een visuele manier zoals een dashboard helpt u baselines en trends te analyseren door naar pieken en dalen in de activiteiten te kijken en deze met het normale gedrag te vergelijken. Als u naast historische ook realtime gegevens kunt bekijken, wordt de security intelligence nog veelzijdiger, of het nu gaat om het nabootsen van de historische status van het systeem ten tijde van een afzonderlijke uitzondering of om het begrijpen van hoe uw beveiligingsen complianceprofiel in de loop der tijd verandert. Visuele analyse is zeer effectief, maar kan worden versterkt als dit wordt gekoppeld aan een mogelijkheid voor automatische signalering van uitzonderingen waarmee u over meer diepgang en flexibiliteit beschikt als het om de signalering van afwijkingen gaat. Als de tool een event signaleert dat van de normale activiteiten afwijkt, wordt er in realtime een waarschuwing gegenereerd, zodat een beveiligingsspecialist hier direct mee aan de slag kan. U kunt een dergelijke tool soms zelfs zo instellen dat er automatisch een herstelproces wordt gestart dat aan uw interne processen voldoet. Denk hierbij aan het blokkeren van een gebruikersaccount. WHITE PAPER: Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie 2

5 Hoe NetIQ kan helpen NetIQ begrijpt het belang en de uitdagingen als het gaat om het verkrijgen van realtime security intelligence waarmee organisaties in staat zijn om hun overall security status te verbeteren en weloverwogen beslissingen te nemen. Traditionele SIEM oplossingen die geavanceerde functionaliteit bieden, zijn vaak zeer complex. Als klanten meer waarde uit SIEM willen halen, hebben ze oplossingen nodig die eenvoudig te gebruiken en te implementeren zijn, die snel aan hun voortdurend veranderende omgevingen kunnen worden aangepast en die nuttige informatie over de activiteiten verschaffen (de juiste informatie op het juiste tijdstip en voor de juiste belanghebbenden) om beveiligingsrisico s te identificeren en te voorkomen. NetIQ Sentinel 7 voorziet in complete SIEM functionaliteit die de complexiteit van andere SIEM toolkits wegneemt en die het IT-beveiligingsteam in staat stelt om SIEM optimaal met de organisatorische behoeften te synchroniseren. NetIQ Sentinel 7 combineert log management met SIEM in één geïntegreerde oplossing. Deze oplossing verschaft organisaties realtime inzicht in alle IT-activiteiten die beveiligingsrisico s moeten voorkomen, beveiligingswerkzaamheden moeten verbeteren en beleidscontroles binnen fysieke, virtuele en cloudomgevingen automatisch moeten afdwingen. Organisaties beschikken zo over een efficiënte SIEM oplossing waarin realtime security intelligence, signalering van uitzonderingen en monitoring van gebruikersactiviteiten worden gecombineerd om beheerders op tijd te waarschuwen in geval van afwijkingen en om de IT-activiteiten nauwkeuriger te beoordelen. En omdat de oplossing minder complex is om te implementeren en te gebruiken dan veel traditionele SIEM systemen, wordt security intelligence voor alle organisaties toegankelijker gemaakt. Daarnaast kan NetIQ Sentinel naadloos met Identity Management worden geïntegreerd om gebruikers aan specifieke activiteiten binnen alle omgevingen te koppelen. Zo is het dus gemakkelijker om kritieke risico s te identificeren, het reactievermogen aanzienlijk te versnellen en bedreigingen en beveiligingslekken snel te herstellen voordat deze de bedrijfsvoering kunnen beïnvloeden. Conclusie Met een eenvoudige, maar krachtige oplossing voor log management en SIEM zoals NetIQ Sentinel krijgt u de beschikking over de security intelligence die u nodig hebt om aan de compliance-eisen te voldoen en uw bedrijf beter te beschermen. U bent zo tevens in staat om uw tijd en middelen efficiënter in te zetten dankzij automatische processen die de handmatige taken van het beveiligingspersoneel overnemen en hen in staat stellen om zich op belangrijkere zaken te concentreren. Daarnaast komt u uw interne doelgroepen met grafische rapporten die inzicht bieden in de security status van de organisatie, tegemoet en geeft u hen vertrouwen in de activiteiten van uw team. REALTIME Security intelligence dashboard CONTEXT Identiteitsgegevens Informatie over apparatuur Informatie over kwetsbaarheden Firewall Applicaties Beveiliging: correlatie, bepaling van rollen en tests Correlation Engine MESSAGEBUS Identity Management systemen IPS Engine voor de signalering van uitzonderingen Events ZOEKEN Kwetsbaarhedenscanner Besturingssystemen EVENT- OPSLAG Afbeelding 3. De architectuuronderdelen van NetIQ Sentinel zorgen ervoor dat de informatie over IT-events die organisaties nodig hebben wordt geregistreerd en dat zij hier realtime inzicht in hebben. WHITE PAPER: Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie 3

6 Over NetIQ NetIQ is een mondiale, in enterprise software gespecialiseerde IT-onderneming die klanttevredenheid zeer hoog in het vaandel heeft staan. Klanten en partners kiezen voor NetIQ om uitdagingen op het gebied van gegevensbescherming op kosteneffectieve wijze op te lossen en om de complexiteit van dynamische, alom verspreide bedrijfsapplicaties te beheren. Onze portfolio omvat schaalbare en geautomatiseerde oplossingen voor Identity, Security & Governance en voor IT Operations Management waarmee organisaties computerservices in verschillende fysieke, virtuele en cloudcomputeromgevingen veilig kunnen leveren, meten en beheren. Deze oplossingen en onze praktische, klantgerichte benadering tot het oplossen van aanhoudende IT-uitdagingen zorgen ervoor dat organisaties in staat zijn om de kosten, de complexiteit en de risico s te verlagen. Ga voor meer informatie over onze bekroonde softwareoplossingen naar Mogelijk bevat dit document technische onnauwkeurigheden en druk- en schrijffouten. De hier verstrekte informatie wordt van tijd tot tijd gewijzigd. Deze wijzigingen worden mogelijk verwerkt in nieuwe edities van dit document. NetIQ Corporation kan op elk moment verbeteringen of wijzigingen doorvoeren in de in dit document beschreven software. Copyright 2012 NetIQ Corporation en diens gelieerde ondernemingen. Alle rechten voorbehouden. 562-DU DS 07/12 ActiveAudit, ActiveView, Aegis, AppManager, Change Administrator, Change Guardian, Compliance Suite, het ontwerp van het kubuslogo, Directory and Resource Administrator, Directory Security Administrator, Domain Migration Administrator, Exchange Administrator, File Security Administrator, Group Policy Administrator, Group Policy Guardian, Group Policy Suite, IntelliPolicy, Knowledge Scripts, NetConnect, NetIQ, het NetIQ logo, PSAudit, PSDetect, PSPasswordManager, PSSecure, Secure Configuration Manager, Security Administration Suite, Security Manager, Server Consolidator, VigilEnt en Vivinet zijn handelsmerken of gedeponeerde handelsmerken van NetIQ Corporation of diens dochterondernemingen in de Verenigde Staten. Alle overige bedrijfs- en productnamen worden uitsluitend voor identificatiedoeleinden vermeld en zijn mogelijk handelsmerken of gedeponeerde handelsmerken van de respectieve ondernemingen. EMEA Hoofdkantoor Raoul Wallenbergplein ND Alphen a.d. Rijn Nederland Tel: (+31) info@netiq.com Voor een compleet overzicht van onze vestiginge in Europa of de rest van de wereld, ga naar: Volg ons: WHITE PAPER: Realtime security intelligence voor een beter inzicht in en een betere bescherming van informatie 4