QUÉ ES BABEL ENTERPRISE? Babel Enterprise es una potente herramienta capaz de auditar todo tipo de sistemas mostrando la información tanto a nivel técnico como a nivel ejecutivo. Con Babel Enterprise podrá verificar que sus sistemas cumplen con las políticas de seguridad, respecto a instalación y mantenimiento de sistemas de forma segura. Y además podrá observar los cambios producidos en el sistema a lo largo del tiempo gracias a su capacidad e histórico. La capacidad de agregar datos de diferentes fuentes en activos concretos. La capacidad para poder trabajar sobre políticas, que actúen como un filtro sobre los datos obtenidos de las diferentes fuentes. Características Estas políticas son las métricas que miden el cumplimiento de los objetivos marcados por una compañía a nivel de seguridad. Creación de informes con el histórico de cambios y resúmenes del nivel de seguridad. Gestión de documentos con las políticas de seguridad de la compañía. Posibilidad de auditar sistemas de forma remota o con agentes multiplataforma. 2
CUADRO DE MANDO Con estas premisas se ha avanzado en el desarrollo de Babel Enterprise hacia una estructura que permita integrar diferentes datos de diferentes fuentes, seleccionando aquellos de interés (mediante diferentes filtros) en los múltiples activos de una organización. Las fuentes en cada organización serán diversas y cada organización será libre para desarrollar los módulos específicos, e integrarlos en la estructura que ya hay desarrollada. Está diseñado para gestionar la seguridad de sistemas en un entorno grande y complejo con diferentes tecnologías y diferentes Sistemas Operativos con distintas versiones y configuraciones. Puede ser gestionado por diferentes equipos humanos con diferentes capacidades y responsabilidades. Así mismo, permite ser instalado con redundancia de todos sus componentes. BABEL ENTERPRISE usa un punto de vista pragmático e intenta evaluar los puntos que representan un riesgo en la seguridad y que pueden ser mejorados con la intervención de un administrador. Es una herramienta no intrusiva, no realiza absolutamente ningún cambio en los sistemas que audita, sólo ejecuta los test que se necesitan y da los resultados en un informe detallado, incluyendo un indicador numérico con el nivel de seguridad del sistema. 3
Babel Enterprise es una plataforma que sirve para construir un Cuadro de mando de la seguridad 100% adaptado a las necesidades concretas de cada empresa. Dicho cuadro de mando permite: Valorar el grado de cumplimiento de una normativa (en España LOPD, LSSI e ISO/UNE 17799). En multinacionales, principalmente SOX (Sarbanes-Oxley). Implementar controles software para validar el cumplimiento de esas políticas. Valorar los riesgos de los activos. Valorar los riesgos presentes desde el exterior. Se ha integrado con Nessus, y Snort y tiene capacidad de integración con prácticamente cualquier aplicación de este tipo. Monitorizar niveles de servicio (SLA) y disponibilidad de los servicios y procesos de negocio, integrándolo con Pandora FMS. Gestión de eventos de seguridad reportados por activos de seguridad mediante integración con Pandora FMS, recolectores de eventos, Antivirus o Anti Spam. Se trata de que Babel pueda presentar y relacionar entre sí esos datos ya procesados por cada una de las herramientas anteriormente expuestas, no de hacer que Babel almacene toda esa información. Salvaguardar esa información para su consulta por parte de una auditoría independiente. Babel Enterprise es un Software Libre, está dotado de una API abierta y todos sus detalles internos son abiertos. Posee un repositorio público (Subversión) y toda la documentación está disponible en este Wiki. Los usuarios avanzados pueden libremente modificarlo y adaptarlo a sus sistemas. wiki 4
CÓMO AUDITA BABEL ENTERPRISE? Babel Enterprise le permite auditar cualquier tipo de organización o departamento. Para ello dentro de Babel Enterprise es necesario crear la jerarquía de la organización a auditar usando los siguientes elementos: 5
ACTIVOS DOMINIOS Son las entidades organizativas más pequeñas. Pueden ser, por ejemplo, el grupo de máquinas destinadas a producción. Los hosts están dentro de los activos. Es una división organizativa, que podría ser: departamentos, filiales de un grupo de empresas, o simplemente, diferentes clientes. MÓDULOS HOSTS Son las máquinas que están siendo auditadas. Podrían ser auditadas por medio de Agents software instalados en las propias máquias o de forma remota. Son las piezas que contienen la información que es auditada. Un ejemplo de módulo puede ser el que revisa que los permisos de un grupo de ficheros es correcto, otro módulo puede, por ejemplo, mirar si el sistema tiene los últimos parches aplicados. Los módulos están asociados a hosts de tal forma que un mismo módulo tiene resultados distintos para los diferentes hosts en los que es ejecutado. POLÍTICAS Son un filtro de información con las métricas de seguridad para cada tipo de elemento reportado. Dichas políticas se aplican sobre dominios y subdominios, y a su vez se ejecutan en los hosts pertenecientes a esos dominios y subdominios. En base a la métrica contenida en cada política, se genera un índice de riesgo por módulo dentro de cada política. Ejemplos de políticas podrían ser: Política de Snort, de Nessus, de Gestión de Parches, Cumplimiento de 1799, Hardening de Sistemas, LOPD. POLICY 1 GLOBAL DOMAIN POLICY 3 POLICY 2 DOMAIN 1 DOMAIN 2 DOMAIN 3 ACTIVE 1 ACTIVE 2 ACTIVE 3 AGENT AGENT AGENT AGENT AGENT 6
Replicar la estructura de la organización a auditar usando dominios, subdominios y activos. Para auditar una organización usando Babel Enteprise es necesario seguir los siguientes pasos: Crear los módulos de auditoría que posteriormente se usaran en las políticas. Crear las políticas de auditoría debidamente parametrizadas usando los módulos creados en el paso anterior. Crear los hosts existentes en la organización sobre los que se realizará la auditoría. Si se quiere usar el Agente Software es necesario instalarlo en los equipos que van a ser auditados. VISTA GLOBAL Desde el momento en el que se completan los pasos y se crear hosts estos comenzarán a enviar datos a Babel Enterprise. Todos los resultados de las auditorías quedan almacenado en la base de datos para su posterior uso en los informes. Entre otros tipos de informes Babel Enterprise ofrece una Vista Global con la estructura organizativa del sistema con todos los Dominios, Activos, Host y Políticas. En la siguiente imagen se muestra un ejemplo de Vista Global. 7
ARQUITECTURA GENERAL Babel Enterprise tiene una arquitectura distribuida basada en varios componentes. - x SOFTWARE AGENTS REMOTE CHECKS DATABASE BACKEND SNORT NESSUS 3 PART SOFTWARE USERS 8
AGENTES DE BABEL ENTERPRISE Los Agentes son pequeñas piezas software muy ligeras que se encargan de auditar el sistema desde el interior. Son compatibles con Linux, Windows y todo tipo de sistemas Unix como AIX o HP-UX. Para auditar el sistema los agentes se basan en módulos independientes con extensión.bem (Babel Executable Module). Cada módulo ejecuta una porción diferente de la auditoría (usuarios, permisos, servicios, etc). Algunos módulos tienen asociados una pequeña base de datos en texto plano o ciertos elementos de configuración. Funcionan a modo de lista blanca o lista negra, permitiendo al administrador parametrizar y configurar el comportamiento de cada agente, «filtrando» así la información recolectada. Esos archivos tienen el mismo nombre que el modulo pero con extensión.lst. Por ejemplo, en el módulo de contraseñas, el fichero de biblioteca (.lst) contiene aquellas palabras que usaremos como diccionario y generalmente son las contraseñas típicas que se suelen usar en una organización (nombre del departamento, empresa, contraseñas «corporativas», etc). SERVIDOR DE DATOS El servidor (Data server) es el componente principal que procesa los ficheros de datos (XML) generados por los agentes. Cada XML contiene una serie de información separada por módulos. Cada módulo es de un tipo que ha de ser previamente definido en la consola de Babel Enterprise y almacenado por esta en la base de datos. Por medio del servidor, estos ficheros de datos son procesados y de esta manera, convertidos en datos visibles por el usuario desde la consola de administración de Babel Enteprise. El servidor genera los datos de auditoría «raw» (sin ponderación de riego) y a la vez genera las diferentes políticas locales (con ponderación de riesgo) para el conjunto de datos procesado. Finalmente el servidor, después de procesar el fichero de datos, lo borra del sistema de archivos donde es recibido. 9
SERVIDOR REMOTO El servidor remoto (Remote server) es el componente que se encarga de realizar los chequeos remotos. Estos chequeos están definidos en scripts que el servidor ejecuta para obtener los datos. Además se encarga de generar las políticas remotas con la ponderación de riesgo asociada para el conjunto de datos obtenidos. CONSOLA WEB La Consola web es la interfaz gráfica de usuario. Visualiza información y permite acceder a todo tipo de informes gráficos detallados sobre las ejecuciones de las políticas de seguridad. Este entorno permite también gestionar la infraestructura de Babel Enterprise y obtener información sobre el estado de cada agente. BASE DE DATOS La base de datos almacena toda la información de Babel Enterprise: información de los agentes, perfiles de usuario, elementos de la auditoría, elementos de configuración y por supuesto los datos de cada auditoría ejecutada. La base de datos funciona sobre MySQL, y se puede emplear un clúster MySQL para mejorar el rendimiento y la escalabilidad. 10
COLECTORES Los colectores de Babel Enterprise permiten procesar información de fuentes muy heterogéneas. La principal diferencia entre un colector y un agente es que el colector permite procesar de una sola vez, información proveniente de varias fuentes, creando las diferentes auditorías y políticas necesarias para cada agente (asociando los datos por la IP del agente existente en Babel Enterprise). La arquitectura del colector se divide en: COLLECTOR SERVER COLLECTOR SCRIPT Servidor que procesa el XML generado por el Collector script y ejecuta las políticas para cada módulo de cada agente. Pequeña aplicación (que puede desarrollarse en cualquier lenguaje) que permite generar a través de un fichero de datos, un XML específico de Babel Collector para que este sea procesado por el servidor de colectores. El XML incluye todos los datos procesador desde el origen. Este fichero generado contendrá toda la información para todas las máquinas existentes en Babel Enterprise (clasificadas por dirección IP) y todos los módulos asociados a dichas máquinas. 11
C/ Batalla de Belchite 5, 2ºA 28045 Madrid España Tel. (+34) 91 130 49 16 armando.martinez@aerin.es