Bacchuss DC4 Consola central de comando y control para defensa de redes...

Transcripción

1 Bacchuss DC4 Consola central de comando y control para defensa de redes Introducción Las organizaciones modernas operan en ambientes complejos y sumamente dinámicos que requieren de una gran capacidad de gestión de eventos con el fin de lograr la efectividad en términos de seguridad de activos de TI en línea con los objetivos de negocio. Bacchuss DC4 constituye un "Sistema de Gestión de Eventos de Seguridad" (SGES/ISMS) universal que permite recibir, normalizar, ordenar, agregar, correlacionar y finalmente reportar eventos de seguridad provenientes de diferentes sensores distribuidos de red o de host, con soporte para sistemas heterogéneos y con capacidad de escalar a diferentes arquitecturas de red. Bacchuss DC4 es una solución efectiva de tipo SGES/ISMS que permite, entre otras cosas: Aliviar las tareas del personal de TI Centralizar la gestión de eventos de seguridad Manejar los niveles de riesgo Manejar las amenazas en tiempo real Generar reportes y gráficas Integrar sensores heterogéneos Normalizar información (taxo.) Mejoras respecto a normas y leyes Capacidades de análisis forense Facilita el "Conocimiento de la Situación" (SAW) El DC4 constituye en núcleo para la gestión de eventos en servicios de tipo IDS asociados a la capacidad de respuesta a emergencia en redes y gestión de incidentes de seguridad en organizaciones públicas/privados (CSIRT/CERT). 2. Características destacadas A continuación se presentan algunas características que hacen del DC4 la solución ideal para la gestión de eventos de seguridad. 2.1 Confiabilidad Para Organizaciones con requerimientos fuertes de seguridad en torno a continuidad de las operaciones, el Bacchuss DC4 prevé mecanismos de continuidad de las operaciones por medio del concepto de alta disponibilidad en base a tecnologías de conmutación por error (failover) y redundancia de componentes. 2.2 Escalabilidad y flexibilidad Gracias a su arquitectura modular y a la potencia de su API, el DC4 tiene la capacidad de interoperar con prácticamente cualquier tipo de dispersivo de seguridad del mercado por lo que cualquier escenario resulta posible. 2.3 Retorno de la Inversión (ROI) Bacchuss DC4 garantiza el retorno de la inversión por el simple hecho de permitir una solución única de gestión de eventos de seguridad que permita la integración de nuevos sistemas en el futuro. Además, el sistema es totalmente personalizable y basado íntegramente en software libre y estándares abiertos por lo que no se generan costos por licencias ni trabas por cuestiones de propiedad. 2.4 Funciones y Servicios Bacchuss DC4 cuenta con las siguientes funciones fundamentales y servicios asociados: Gestión de eventos de seguridad (centralización, agregación, normalización, correlación, y meta-alertas) Reportes (estándar y personalizables) Integración (con sistemas de tickets, eventos, alertas, DataWarehouse, etc.) Gestión remota de sensores Arquitectura distribuida Filtros personalizables Soporte técnico Capacitación

2 2.5 Prioridades de procesamiento de eventos (Event Scheduling) En sistemas Bacchuss DC4 con muchos sensores conectados de manera concurrente pueden generarse picos de sobrecarga debido al gran volumen de señales a atender y procesar. El esquema de procesamiento por intervalos de tiempo permite configurar para cada sensor la cantidad de eventos a enviar en lote antes de que el scheduler atienda a otro sensor lo que permite evitar problemas de monopolización del canal de comunicaciones. Además resulta posible definir el orden de procesamiento de los mensajes en base a su nivel de prioridad, asegurándose de esta manera que los eventos críticos reciban atención lo antes posible. 2.6 Protección de las comunicaciones Dependiendo del ambiente en el que se encuentre, el Bacchuss DC4 permite la configuración del nivel de seguridad del canal de datos en base a diferentes algoritmos de cifrado, de intercambio de claves y de compresión de datos. Además permite la personalización de parámetros a nivel de TCP/IP para garantizar la eficiencia del enlace a nivel de capa de transporte. 2.7 Correlación de eventos de seguridad Bacchuss DC4 permite la correlación multistream en base a un lenguaje poderoso de reglas que facilita el análisis de eventos. Desde la perspectiva práctica, el DC4 toma datos de diferentes sensores en la red y si detecta que entre estos existe alguna relación, genera una única alerta, una meta-alerta, la cuál será reportada. La correlación permite enfocar el análisis en escenarios críticos de la organización reduciendo significativamente los falsos positivos. Entre las características fundamentales del DC4 en cuanto a correlación vale destacar: Facilita la detección de eventos significativos Enriquece el modelo de detección gracias al esquema de meta-alertas basadas en múltiples tecnologías Conserva las características de tiempo real Escenarios pre construidos de base 2.8 Estandarización Bacchuss DC4 utiliza el lenguaje de normalización de eventos denominado "Intrusion Detection Message Exchange Format" ó IDMEF. Este estándar del IETF 1 tiene por objetivo establecer el formato de los mensajes necesarios para sistemas de detección de intrusos y de tratamiento de incidentes de seguridad. Además de normalizar el funcionamiento a nivel de núcleo, el estándar permite interoperar con otros sistemas comerciales y de software libre con lo que potencia la capacidad base. 3. El modelo de detección de intrusos (distribuido) Utilizando como base de fusión al Bacchuss DC4, la concurrencia de diferentes sensores IDS permiten establecer una capacidad de detección distribuida de intrusos de red y host (N/HIDS). Los diferentes sensores extraen información de la red y diferentes dispositivos y los procesan por medio de diversas técnicas de detección (anomaly/misuse) como por ejemplo máquinas de vectores de soporte (SVM) o motores basados en reglas. En los casos en que se detecten eventos de seguridad, los sistemas generan alertas que son transmitidas al sistema de fusión DC4 quién los pre procesa para posteriormente utilizarlos en un contexto mucho mas rico de detección, en el que concurren todos los datos de todos los sensores. Figura 1. Arquitectura distribuida del DC4 De esta manera se logra una visión homogénea del problema de seguridad a nivel global en la organización con el beneficio de lograr construir sentido sobre posibles escenarios en base a IDMEF. El Bacchuss DC4 toma entonces toda la información de los diferentes sensores la cuál esta almacenada de manera normalizada lo que facilita su análisis y correlación, y en caso de detectar y confirmar un incidente de seguridad genera una meta-alerta. 1

3 4. Beneficios Bacchuss DC4 ofrece beneficios en las siguientes cuestiones fundamentales para gestión de seguridad de la información: Cumplimiento de normas y leyes Compatibilidad universal Reducción de costos Centralización de la monitorización Análisis en tiempo real 4.1 Cumplimiento de normas y leyes Bacchuss DC4 favorece el cumplimiento de normas, regulaciones y leyes en base a: Normalización de eventos a formato estándar (IDMEF) Centralización de eventos Mantenimiento de trazas para soporte forense IDMEF es un estándar de facto para el intercambio de información relacionada con detección de intrusos y fue definido por la IETF (The Intrusion Detection Message Exchange Format (IDMEF), 2007, Abstract). Esta normalización es la que permite la interoperabilidad entre sensores en base a la representación estructurada de información y finalmente la generación de sentido en base al conjunto de alertas recolectadas, independientemente de su naturaleza u origen. 4.2 Compatibilidad universal Bacchuss DC4 es capaz de interoperar con prácticamente cualquier dispositivo de red, servicio o aplicación gracias a una API con soporte para C, C++, Python, Ruby, Lua, y Perl. Figura 2. Estructura de la API en DC4 Algunas aplicaciones con compatibilidad nativa con DC4: AuditD: Demonio de auditoría de GNU/Linux Nepenthes: herramienta para malware NuFW: gestión de identidades en red OSSEC: sistema IDS de host Pam: Linux Pluggable Authentication Modules Samhain: sistema IDS de host, basado en integridad Sancp: herramienta de análisis e inteligencia de red Snort: sistema IDS de red Además de las aplicaciones identificadas arriba, DC4 puede interoperar con casi cualquier sistema de registro de eventos (logs) como por ejemplo: Firewall, Routers & VPN BIG-IP, Check Point, CISCO ASA, CISCO IOS, CISCO Router, CISCO VPN, D-Link, Ipchains, IpFw, Juniper Networks NetScreen, Linksys WAP11, ModSecurity v2, Netfilter, SonicGuard SonicWall Switchs CISCO CSS IDS CISCO IPS, Portsentry, Shadow, Tripwire Monitoring APC-EMU, ArpWatch, Dell OpenManage, Nagios AntiVirus/AntiSpam ClamAV, P3Scan, SpamAssassin Microsoft SQL Server, Oracle SMTP/POP Server Exim, Postfix, Qpopper, Sendmail, Vpopmail FTP Server ProFTPD, WU-FTPD Web Server Apache Scanner Nessus, Honeypots Honeyd, Honeytrap, Kojoney Autenticación con OpenSSH, Su Aplicaciones como Asterisk, Cacti, Libsafe, Squid, Sudo OS GrSecurity, PaX, SELinux Logs específicos de Unix, Webmin, Windows Server Arbor, Linux bonding, Microsoft Cluster Service NetApp ONTAP, NTSyslog, OpenHostAPD, Rishi

4 4.3 Monitorización en tiempo real La interfaz de usuario de DC4 permite una reducción significativa del tiempo de análisis de eventos de seguridad ya que ofrece una interfaz simple y efectiva para el análisis. Toda la información de los diferentes sensores es transmitida en tiempo real al núcleo DC4 el que se encarga de agregarla a los datos ya existentes lo que permite una visión actualizada de toda la infraestructura, al instante de producidos los eventos. 4.4 Reducción de costos Bacchuss DC4 permite la reducción de costos al ofrecer una capacidad que permite incrementar la eficiencia de varios de los procesos vinculados a la gestión de eventos e incidentes de seguridad, reduciendo la sobrecarga natural de muchos de los procesos base como por ejemplo el análisis de registros (logs), su interpretación, su cruce con otras fuentes, su registro, etc. Como Bacchuss DC4 se basa en software libre, no posee costos de licencias ni limitaciones por tecnologías propietarias ni número de dispositivos a implementar. 5. Conclusiones Bacchuss DC4 constituye una consola de comando y control (C2) de seguridad desarrollado en base a las últimas tecnologías que cumple con todos los requerimientos impuestos por las prácticas de la industria y está soportado por un grupo de especialistas en seguridad que respalda su operación y permite avanzar en la respuesta a nuevos requerimientos impuestos por el mercado. DC4 está implementado en diferentes clientes probando su utilidad en escenarios con gran cantidad de sensores de seguridad de diferentes tipos. Su simplicidad y eficacia en la centralización y normalización de eventos, y la transparencia en la correlación y generación de meta-alertas garantiza la linealidad con los objetivos de negocio y facilita su adaptación. En nuestra arquitectura de capas, cada agente observa, evalúa e informa sobre posible intrusiones. Así la información generada mediante el modelo de fusión puede ser condensada y como resultado mas certera y valiosa. Finalmente, el desarrollo de la solución en base a recursos locales provee la tranquilidad a los clientes de poder contar con ayuda en los casos en que deba avanzarse sobre escenarios complejos o adaptaciones locales, aspectos fundamentales a considerar en cualquier estrategia de adquisición de tecnologías.

5 Bacchuss Contactos... HQ-SI HQ-TI Sarmiento 537 PB Rosario - Santa Fe - Argentina info@bacchuss.com.ar Sarmiento 537 PB Rosario - Santa Fe - Argentina /TI info@bacchuss.com.ar Sobre BACCHUSS Fundada en el año 2001, BACCHUSS se ha convertido en una empresa líder en Servicios de Consultoría en Seguridad de la Información en Argentina brindando una serie de productos y servicios destinados a proteger la infraestructura crítica para corporaciones privadas y para organizaciones gubernamentales y del estado, tomando siempre como base estándares internacionales y prácticas recomendadas en la materia. Las oficinas de BACCHUSS se encuentran en la ciudad de Rosarios, Santa Fe, Argentina; desde donde se desarrollan las soluciones y se opera con todos los clientes. Todos los derechos reservados. BACCHUSS y el Logo de BACCHUSS son marcas registradas. Copyright , BACCHUSS.