لایسنس Splunk UBA

شناسایی حملات سایبری و Insider Threat با کمک لایسنس اسپلانک UBA

Splunk UBA License که جهت آنالیز رفتار کاربران اسپلانک مورد استفاده قرار می‌گیرد دارای قابلیت‌های زیادی است که در زیر به چند مورد از مهم‌ترین آن اشاره می‌کنیم:

• ارتقاء روند تشخصی و شناسایی حملات سایبری و تهدیدات داخلیِ شناخته‌شده، ناشناخته و پنهان.
• افزایش اثربخشی تحلیل‌گران امنیتی از طریق اولویت‌بندی تهدیدات و اجتناب از ارزیابی مثبت کاذب یا False Positive.
• کاربری ساده برای تحلیل‌گران SOC، بررسی‌کنندگان رویدادها و مدیران SEIM.

با توجه به اینکه اصولا حملات سایبری پیچیده، در حالت پنهان قرار می‌گیرند و به سختی شناسایی می‌گردند، شناسایی آن‌ها برای محافظت از داده‌های محرمانه از اهمیت زیادی برخوردار است. این بدین معنا است که وظیفه تیم‌های امنیتی در حال حاضر، شناسایی و پاسخگویی به تهدیدهای پنهان در محیط، صرف‌نظر از بزرگی سازمان یا مجموعه مهارت‌ها می‌باشد.

فرآیند تجزیه و تحلیل رفتار کاربران با Splunk UBA و لایسنس آن به سازمان‌ها این امکان را می‌دهد که با استفاده از Machine Learning، تهدیدات شناخته‌شده، ناشناخته و پنهان را شناسایی کنند. با لایسنس Splunk UBA، این ابزار اصول اولیه رفتاری کاربران را بررسی کرده و از طریق تحلیل گروه‌های مشابه و همبستگی پیشرفته، تهدیداتی مانند حملات پیشرفته (APT)، آلودگی‌های بدافزاری (Malware)، و تهدیدات داخلی (Insider Threat) را شناسایی می‌کند.

لایسنس اسپلانک UBA، علاوه بر اینکه بر روند تحلیل امنیتی و جریان‌های کاری جوینده نظارت دارد، به حداقل اقدامات مدیریتی نیازمند است و با زیرساخت‌های فعلی ادغام می‌گردد تا تهدیدات پنهان را شناسایی کند.

شناسایی تهدیدات به صورت رفتارمحور

این روند شناسایی، مبتنی بر روش‌های Machine Learning می‌باشد که نیاز به هیچ امضا یا تحلیل انسانی نداشته و پروفایل‌بندی رفتاری چندهویتی و آنالیز گروه‌های مشابه را برای کاربران، تجهیزات، حساب‌های کاربری، سرویس‌ها و برنامه‌ها میسر می‌نماید. با Splunk UBA License، تهدیدات و ناهنجاری‌ها به صورت خودکار و دقیق شناسایی می‌شوند.

چرخه عمر عملیات‌های امنیتی (شامل پیشگیری، شناسایی، پاسخگویی و کاهش روند درحال پیشرفت بازخوردها) باید از طریق مانیتورینگ مستمر و همچنین تجزیه و تحلیل پیشرفته، یکپارچه گردد تا هوشمندی مبتنی بر Context یا اطلاعات زمینه‌ای را ارائه نماید. لازم به ذکر است که لایسنس اسپلانک، به ویژه لایسنس‌های Splunk Enterprise، Splunk Enterprise Security و Splunk UBA، قادرند با هم کار کنند تا قابلیت‌های زیر را ارائه دهند.

• رویکردهای مبتنی بر قواعد جستجو، الگو و عبارت (Search/Pattern/Expression) را در Splunk Enterprise و Splunk ES، به همراه تکنیک‌های شناسایی تهدیدها جهت یافتن آنها با تصویر‌سازی‌های پیچیده Kill Chain توسعه می‌دهند.
• ‌تکنیک‌های شناسایی ناهنجاری‌ها، Machine Learning و پروفایل‌بندی آماری را برای تیم امنیتی ارائه ‌می‌کند تا به راحتی از داده‌های موجود، در مقیاس بزرگ در Splunk Enterprise استفاده نمایند.
• روش‌های Machine Learning و قابلیت‌های تجزیه و تحلیل پیشرفته را ترکیب کرده، تا سازمان‌ها بتوانند صرف‌نظر از اندازه سازمان یا مجموعه مهارت‌های آنها، به انجام فعایت‌هایی مانند مانیتور، اعلام هشدار، تجزیه و تحلیل، پاسخگویی، اشتراک و شناسایی تهدیدات شناخته شده و نشده، بپردازند.

Simple threat workflow

لایسنس اسپلانک UBA به سازمان‌ها این امکان را می‌دهد که بیلیون‌ها رویداد خام را به چند هزار ناهنجاری و سپس به چند ده تهدید کاهش دهند، تا فرآیند بررسی و ارائه راه‌حل‌ها سریع‌تر انجام شود. این ابزار از الگوریتم‌های امنیتی و Semantic analysis برای Machine Learning استفاده کرده و به کمک روش‌های آماری پویا و همبستگی‌ها، تهدیدات پنهان را شناسایی می‌کند بدون اینکه نیاز به تجزیه و تحلیل انسانی باشد. همچنین، با آگاهی از مفاهیم، موقعیت‌ها و محتوا، توانایی کاهش موارد مثبت کاذب (False Positives) را فراهم می‌آورد.

بازنگری و شناسایی تهدیدات

Splunk UBA License تهدیدها را به صورت بصری مرتب نموده و مسیرها و فرکانس‌های غیرطبیعی و مشکوک را مشخص می‌نماید. تهدیدهای حیاتی را با استفاده از همبستگی‌های پیشرفته در مدل‌ها شناسایی نموده و از الگوریتم‌های یادگیری فردی و انطباقی (یادگیری ماشینی و آماری) استفاده می‌نماید؛ بنابراین قادر خواهد بود تهدیدها و شواهد مربوط به آنها را به صورت فعالانه مورد بررسی قرار ‌دهد.

شناسایی Kill Chain و Attack Vector

این تکنولوژی، با لایسنس Splunk UBA، قادر است تا APTهای ناهنجار، عملکردهای نقض مانند CnC و ارتباطات جانبی، و حملات Kill Chain مانند Pass-The-Hash را شناسایی کند. علاوه بر این، الگوهای جانبی بدافزارها یا تکثیرهای داخلی مخرب را شناسایی کرده و به نشانه‌های Real Time مربوط به عملکردهای غیرعادی، مانند URLهای مشکوک یا نقض Land-Speed Login، پاسخ می‌دهد.

همچنین، این تکنولوژی قادر است تا بی‌نظمی‌های رفتار محور مانند عملکرد تهدید Containerهای VM یا AWS را شناسایی کرده و به دقت بر روی عملکرد بات‌نت یا CnC، مانند Trojanها و بدافزارهای Polymorphic (چندشکلی)، تمرکز نماید.

بررسی معماری و پیاده‌سازی Splunk UBA

Splunk UBA شامل اکوسیستم Hadoop جهت تدوام Open Data، مقرون‌به‌صرفه و مقیاس‌پذیر می‌باشد. این تکنولوژی برای تحلیل رویدادها در مقیاس بزرگ و به صورت Real Time طراحی شده و شامل پایگاه‌های داده‌ی گراف و Time series، جهت پردازش و ایجاد ارتباطات امنیتی در شبکه می‌باشد.

API‌های RESTful می‌توانند فرآیند وارد کردن داده‌ها (Data Ingestion) را با محصولات ثالث (Third Party) به صورت خودکار انجام دهند و به فرآیندهای اصلاح و پیشگیری کمک کنند. لایسنس اسپلانک UBA برای مقیاس‌پذیری از صدها ترابایت و بیلیون‌ها رویداد تأیید شده است و به عنوان نرم‌افزار، به صورت On-Premise، بر روی دستگاه‌های مجازی، یا به عنوان یک Public Cloud Instance با مدیریت مشتری (مانند AWS و vCloud Air) قابل پیاده‌سازی است.

موارد مختلف استفاده از لایسنس Splunk UBA

نرم‌افزار Splunk، با استفاده از لایسنس Splunk، توانایی توصیف چرخه عمر یک حمله سایبری یا تهدید داخل سازمانی را به صورت کامل دارد. این شامل ارائه یک پلتفرم برای شناسایی، پاسخگویی و خودکارسازی است که همچنان متقاعدکننده‌ترین راهکار را برای تجزیه و تحلیل امنیتی ارائه می‌نماید.

• سرقت IP و انتقال غیرمجاز داده‌ها (Data Exfiltration)
• شواهد مربوط به انتقال غیرمجاز داده‌ها در سازمان را از دارایی‌ها یا کاربران، شناسایی می‌نماید.
• هک کردن حساب کاربری و سوءاستفاده از حساب‌های کاربری ویژه.
• حساب‌‌های کاربری در معرض تهدید را به سرعت شناسایی نموده و دید. کاملی نسبت به تهدیدهای مرتبط با حساب‌های کاربری ویژه (Privileged Account) ایجاد می‌نماید.
• Cloud Asset و Container مجازی.
• روند تعیین اصول رفتاری، تشخصی موارد غیرعادی و شناسایی تهدیدات را برای Containerهای مجازی و برنامه‌های Cloud انجام می‌دهد.
• تشخیص و شناسایی کلاه‌برداری‌ها.
• مدل‌سازی رفتاری بر روی تراکنش‌ها و مدل‌سازی خودکار تهدیدات برای شناسایی فعالیت‌های مرتبط با کلاهبرداری انجام می‌پذیرد.
• رفتار مشکوک: کاربران، تجهیزات و برنامه‌ها.
• شناسایی تهدیدها و ناهنجاری‌های مربوط به کاربران و نهادهای یک سازمان با تجزیه و تحلیل رفتاری نهاد و کاربر (UEBA).
• شناسایی بدافزار و حرکات جانبی.
• تشخیص حملات سایبری و دریافت دیدی کامل نسبت به حرکت همه جانبه‌ی تهدیدها در داخل سازمان.

جمع‌بندی نهایی در مورد Splunk UBA License

لایسنس Splunk UBA به شناسایی حملات سایبری و تهدیدات داخلی سازمان‌ها کمک می‌کند. این شناسایی از طریق استفاده از علوم داده، Machine Learning، و اصول رفتاری انجام می‌شود. علاوه بر این، آنالیز گروه‌های مشابه و همبستگی‌های پیشرفته در این فرآیند به کار گرفته می‌شوند. این راهکار با تجزیه و تحلیل پیشرفته امنیتی، به سازمان‌ها در هر اندازه و با هر سطح مهارت، توانایی مقابله با تهدیدات را می‌دهد.

سازمان‌ها می‌توانند تهدیدات شناخته‌شده، شناخته‌نشده، و پنهان را شناسایی کرده و به آن‌ها پاسخ دهند. لایسنس اسپلانک UBA با توصیف چرخه عمر یک حمله سایبری یا تهدیدات داخل سازمانی، و همچنین ارائه یک پلتفرم جهت شناسایی، پاسخگویی، و خودکارسازی، همچنان متقاعدکننده‌ترین راهکار است. این راهکار تجزیه و تحلیل امنیتی را در صنعت IT فراهم می‌نماید.