Security Data Lake гэж юу вэ, юунд ашиглагдах вэ?

Security Data Lake нь машинаас үүсэх өгөгдлийг олон эх сурвалжаас төвлөрүүлж, хамгаалж, хянадаг Security Information and Event Management (SIEM, аюулгүй байдлын мэдээлэл ба үйл явдлын удирдлага) шийдэл бөгөөд лог шинжлэх платформ юм. Кибер аюулгүй байдал, IT үйл ажиллагаа, дагаж мөрдөлтийн багуудад хурдан хайлт, бодит цагийн дохио, хүчирхэг дүрслэлийн боломжоор дамжуулан хэрэгжүүлэхэд бэлэн мэдээлэл өгнө.

Үндсэн боломжууд

Security Data Lake нь таны орчин даяар харагдац нэмэгдүүлж, аюулгүй байдлын үйл ажиллагааг бэхжүүлж, хяналт, судалгааг хөнгөвчилдөг үндсэн боломжуудыг агуулна.

• Олон эх сурвалжийн лог өгөгдлийг цуглуулж баяжуулан, нэгдсэн, хайх боломжтой дүр зураг үүсгэнэ.
• Аюулыг бодит цагт илрүүлж дохио өгөөд, хариу арга хэмжээг хурдасгана.
• Тохируулж болох dashboard-оор гол үзүүлэлт, чиг хандлагыг харуулна.
• Хоорондоо холбоотой үйл явдлыг уялдуулж, хэв маяг, хамаарал, үндсэн шалтгааныг илрүүлнэ.
• Anomaly detection (хэвийн бус байдал илрүүлэх) аргаар ер бусын, сэжигтэй үйл ажиллагааг тодорхойлно.
• Хэрэглэгч болон системийн ааш үйлийг шинжилж, дотоодын аюул эсвэл эвдэрсэн акаунтыг илрүүлнэ.
• Автомат тайлан ба хадгалалтын хяналтаар дагаж мөрдөлтийг дэмжинэ.
• Threat intelligence feed-үүдийг нэгтгэж, дохио болон илрүүлэлтэд нэмэлт агуулга өгнө.
• Холбоотой хайлт, нотлох баримт, цаглабараар шүүх шинжилгээг хялбарчилна.
• Урьдчилан бэлтгэсэн content pack, тохиргоогоор нэвтрүүлэлт ба харагдацыг сайжруулна.

Үндсэн онцлогууд

Security Data Lake-ийн үндсэн функц дараах тодорхой бүрэлдэхүүн хэсгүүдээс бүрдэнэ.

Өгөгдөл хүлээн авах ба удирдах

• Inputs - Security Data Lake өгөгдлийг хаанаас, яаж хүлээн авахыг (syslog, GELF, Beats эсвэл өөрийн эх сурвалж) тодорхойлно. Төрөл бүрийн лог, протоколд уян хатан тохируулна.
• Streams - Логийг бодит цагт чиглүүлж, шошгоод, шүүнэ. Тодорхойлсон нөхцөлөөр өгөгдлийн урсгал, хандалтыг зохион байгуулна.
• Index Model - Хадгалалт (retention), эргүүлэлт (rotation), sharding бодлогыг тохируулж, лог өгөгдлийн хадгалалтыг үр дүнтэй удирдаж, өгөгдлийн амьдралын мөчлөгийн шаардлагыг хангана.
• Pipelines - Мессеж Security Data Lake руу орж ирэх үед хувиргалт, баяжуулалтын логик хэрэгжүүлнэ. Индексжүүлэхээс өмнө хэвийн хэлбэрт оруулах, шошголох, динамик чиглүүлэх боломжтой.

Хяналт ба шинжилгээ

• Search Your Log Data - Бүтэцтэй болон бүтэцгүй лог өгөгдлөөс ойлгомжтой хайлтын интерфэйс, цагаар шүүх боломжоор үйл явдлыг хурдан олж шинжилнэ.
• Dashboards - График, диаграмм, KPI зэрэг өөрийн дүрслэл үүсгэж, системийн эрүүл мэнд, аюулгүй байдлын үйл явдал, аппликейшний гүйцэтгэлийг хянана. Үүргээр хандалт хянах (role-based access control) боломжтой.
• Alerts - Тохируулж болох үйл явдлын тодорхойлолтоор сонирхсон нөхцөлийг илрүүлнэ. Бодит цагийн мэдэгдэл болон түүхэн өгөгдөлд тулгуурласан дараа нь дохио өгөх аль алиныг дэмжинэ.
• Anomaly Detection - Статистик суурь түвшин, чиг хандлагын шинжилгээгээр хэвийн ааш авирааас хазайлтыг автоматаар илрүүлж, ер бусын үйл ажиллагаа эсвэл гүйцэтгэлийн доройтлыг эрт мэдэх боломж олгоно.

Аюул илрүүлэх ба хариу арга хэмжээ

• Sigma Rules - Sigma дүрмийн стандарт загвараар илрүүлэлтийн логик хэрэгжүүлнэ. Нийгэмлэгийн дүрмийг Security Data Lake-ийн дохио, уялдуулах хайлт болгон хөрвүүлнэ.
• Illuminate - Түгээмэл платформуудад зориулсан pipeline, dashboard, илрүүлэх дүрмийг агуулсан, сонгон бэлтгэсэн content pack-ийг нэвтрүүлж, харагдац ба аюул илрүүлэлтийг түргэсгэнэ.
• Investigations - Холбоотой хайлтын үр дүн, нөхцөл байдлын өгөгдөл, нотлох баримтыг нэг дор нэгтгэсэн ажлын талбар үүсгэж, ослын хариу арга хэмжээ болон хамтарсан шүүх шинжилгээг үр дүнтэй болгоно.

Security Data Lake-ийн лиценз

Security Data Lake-ийн лицензийн хоёр төрөл байна.

• GravityZone Security Data Lake
• GravityZone Security Data Lake for MDR

Монголд GravityZone-ийг Байгууллага хуудаснаас «Үнийн санал авах»-аар эсвэл албан ёсны борлуулагчаас авна.

Лиценз хасагдах ба дуусах

• GravityZone Security Data Lake

GravityZone Security Data Lake-ийн лицензийн түлхүүр хасагдах эсвэл дуусахад 30 хоногийн хөнгөлөлтийн хугацаа (grace period) эхэлнэ. Энэ хугацаанд хэрэглэгчид Security Data Lake console-д хандах боломжтой хэвээр, өгөгдөл хүлээн авалт үргэлжилнэ. Компани түдгэлзсэн (suspended) тохиолдолд мөн ижил 30 хоногийн хугацаа үйлчилнэ. Өгөгдөл хүлээн авалт идэвхтэй хэвээр боловч хэрэглэгчид нэвтэрч чадахгүй.

• GravityZone Security Data Lake for MDR

Лицензийн түлхүүрийг хасах эсвэл дуусгавар болгоход мөн 30 хоногийн хөнгөлөлтийн хугацаа эхэлнэ. Security Data Lake console-д хандах болон өгөгдөл хүлээн авалт үргэлжилнэ, харин MDR SOC баг таны компанид хандах эрхгүй болно. Компани түдгэлзсэн үед мөн ижил 30 хоногийн хугацаа үйлчилж, өгөгдөл хүлээн авалт үргэлжилнэ, хэрэглэгчид нэвтэрч чадахгүй, MDR SOC-ийн хандалт цуцлагдана.

• Туршилтын эсвэл үнэлгээний (NFR) лиценз

NFR эсвэл Trial лицензийн түлхүүр (GravityZone Security Data Lake эсвэл Security Data Lake for MDR) хасагдах эсвэл дуусахад 15 хоногийн хөнгөлөлтийн хугацаа эхэлнэ. Энэ хугацаанд Security Data Lake console-д хандах болон өгөгдөл хүлээн авалт үргэлжилнэ. Харин Security Data Lake for MDR хэрэглэгчдийн хувьд MDR SOC баг компанид хандах эрхгүй болно. Компани түдгэлзсэн үед мөн ижил 15 хоногийн хугацаа үйлчилнэ. Лицензийн хоёр төрлийн аль алинд өгөгдөл хүлээн авалт үргэлжилнэ, гэхдээ хэрэглэгчид нэвтэрч чадахгүй, MDR SOC-ийн хандалт цуцлагдана.

Дээрх бүх тохиолдолд лицензийн төрлөөс үл хамааран хөнгөлөлтийн хугацаа дууссаны дараа бүх Data Insights акаунт болон хадгалагдсан бүх өгөгдөл бүрмөсөн устгагдана. Хөнгөлөлтийн хугацаанд хүчинтэй лицензийн түлхүүр оруулбал хөнгөлөлтийн хугацаа зогсч, өгөгдөл устгагдахгүй.

Лицензийн шилжилт

Лицензийн шилжилт нь Security Data Lake дахь өгөгдөл хүлээн авалт, хадгалалт, хадгалах хугацаанд нөлөөлж болно. Шинэ эрхээс хамаарч өгөгдөл устах эсвэл тохиргоо хийх шаардлага гарч болзошгүй.

• Архивын эрхгүй лиценз

Архивын өгөгдлийн хугацаа нь тэг хоног байх лицензийн түлхүүр рүү бууруулбал өгөгдөл бүрмөсөн алдагдаж болно. Архивын өгөгдлийн 5 хоногоос хуучин хэсэг бүрмөсөн устгагдана (устгал 5 хоногт багтан хийгдэнэ). Архивын эрхтэй Security Data Lake лиценз оруулсан бол эс тооцно.

• Data Lake хадгалалтын эрхгүй лиценз

Data Lake хадгалалт нь 0 TB байх лиценз рүү бууруулбал өгөгдөл бүрмөсөн алдагдаж болно. Data Lake лог бүрмөсөн устгагдана (устгал 5 хоногт багтан хийгдэнэ). Data Lake хадгалалтын эрхтэй Security Data Lake лиценз оруулсан бол эс тооцно.

• Өдөр тутмын өгөгдөл хүлээн авах хэмжээ бага лиценз

Өдөр тутмын хүлээн авах хэмжээ бага лиценз рүү бууруулахдаа cluster хариу өгөхгүй болохоос сэргийлж лог хүлээн авалтаа гараар багасгах шаардлагатай. Хэрэглээ лицензийн хязгаараас 5 хоногоос илүү хэтэрвэл нэмэлт төлбөр гарч болно.