Siber Tehdit Gözetleme ve SIEM Olarak Açık Kaynak Sistemlerin ܱıı
17 likes7,311 views
Huzeyfe Önal “Siber Tehdit Gözetleme ve SIEM Olarak Açık Kaynak Sistemlerin ܱıı”
![Kavramlar Kavramlar…[Log, Siem, TM...]](https://image.slidesharecdn.com/linuxsenlik-160514151302/85/Siber-Tehdit-Gozetleme-ve-SIEM-Olarak-Acik-Kaynak-Sistemlerin-Kullanimi-8-320.jpg)
![Sahadaki SIEM Ürünleri
As of November 2014, Mosaic Security Research identified 73 SIEM and log-management products.[5]](https://image.slidesharecdn.com/linuxsenlik-160514151302/85/Siber-Tehdit-Gozetleme-ve-SIEM-Olarak-Acik-Kaynak-Sistemlerin-Kullanimi-14-320.jpg)
![Ağa Yeni Bağlanan Sistemlerin Otomatik Tespiti
• PradS- Passive Real-Time Asset Detection System (PRADS)
10.43.2.181,0,54354,6,SYN,[65535:64:1:64:M1460,N,W2,N,N,T,S,E,E:P:Mac
OS:iPhone OS 3.1.3 (UC) ethernet/modem:uptime:1574hrs],0,1300882012
10.43.2.181,0,0,0,ARP (Apple),C8:BC:C8:48:65:CA,0,1300882017](https://image.slidesharecdn.com/linuxsenlik-160514151302/85/Siber-Tehdit-Gozetleme-ve-SIEM-Olarak-Acik-Kaynak-Sistemlerin-Kullanimi-35-320.jpg)
![Intel Critical Stack ܱıı [Offline]](https://image.slidesharecdn.com/linuxsenlik-160514151302/85/Siber-Tehdit-Gozetleme-ve-SIEM-Olarak-Acik-Kaynak-Sistemlerin-Kullanimi-44-320.jpg)
More Related Content
What's hot (20)
Similar to Siber Tehdit Gözetleme ve SIEM Olarak Açık Kaynak Sistemlerin ܱıı (20)
More from BGA Cyber Security (20)
Siber Tehdit Gözetleme ve SIEM Olarak Açık Kaynak Sistemlerin ܱıı
- 1. “Siber Tehdit Gözetleme ve SIEM Olarak Açık Kaynak Sistemlerin ܱıı” Huzeyfe ÖNAL Bilgi Güvenliği AKADEMİSİ
- 2. Huzeyfe ÖNAL • Yönetici Ortak – BGA Bilgi Güvenliği A.Ş. • Sektör tecrübesi :2002-… • Siber Güvenlik İnsiyatifi Kurul Üyesi (UDHB Bünyesinde) • Öğretim Görevlisi (Siber Güvenlik Yüksek Lisans Programı) • Bilgi Üniversitesi (Bilişim hukuku Yüksek Lisans Programı) • Bahçeşehir Üniversitesi (Siber Güvenlik Yüksek Lisans Programı) • Şehir Üniversitesi (Siber Güvenlik Yüksek Lisans Programı)
- 3. Firma Hakkında: BGA Bilgi Güvenliği A.Ş. • BGA markası ile 6 yıldır kurumlara stratejik siber güvenlik danışmanlığı sunmaktadır • 45 teknik personel (Mühendis ağırlıklı) • 2016 itibariyle Ankara, İstanbul, Bakü ve Virginia(USA) ofisleri • Ağırlıklı çalışılan sektörler • Finans (32 Banka) • Enerji • Telekom • Savunma Sanayi • Kamu • Bilgi Güvenliği AKADEMİSİ markası ile siber güvenlik konusunda üretim merkezi rolü Open Source
- 4. Sunum İçeriği:Ajanda SIEM Dünyası Genel Kavramlar Açık Kaynak Tehdit İzleme Açık Kaynak Log/SIEM Bileşenleri 1 2 3
- 5. Neden Açık Kaynak Çöü?
- 6. Siber Güvenlikte Yönetim ve Hakimiyet Problemi • Günümüz Siber Güvenlik problemleri incelendiğinde <anket çıktısı> büyük oranda problemin kurumların siber güvenlik altyapılarına hakim olmadıkları ortaya çıkmaktadır. • Son iki yılda iç, dış veya kaynağı bilinmeyen siber saldırı olayı yaşanma oranı %63~ (Ortalama 100 şirket ve kamu kurumu için) • Zamanında siber saldırıyı farketme ve önleme oranı %5 • Siber güvenlik ürünlerinin gerçek saldırılar karşısındaki uyarı ve engelleme kabiliyeti: %20 • Yapılan güvenlik yatırımlarının verimli kullanım ölçümü %17
- 7. Yeni Nesil Siber Güvenlik Modeli - “Zero Trust” •“Zero Trust Model” Uygulaması. •Başkan Obama tarafından Amerika’nın Siber Güvenliğinin uzun vadeli sağlanması açısından “Forrester Research” e geliştirilmiştir. •Temel amaç, siber güvenlik işlerinde insana olan güvenin oyun dışına çıkartılması ve sistemin kendisini güvenli hale getirecek bir altyapının kurulumu. •Klasik güvenlik anlayışında sınırları korumak ve yatırım yapmak yeterliyken “Zero Trust Model” de her noktanın güvenliğinin eşdeğer düşünülerek hareket edilmesi önerilmektedir. •“Hattı müdafaa yoktur sathı müdafaa vardır, o satıh bütün vatandır'’
- 8. Kavramlar Kavramlar…[Log, Siem, TM...]
- 10. Gerçekte Olan
- 11. Sonuç Olarak…
- 12. Başarılı bir SIEM/Log Projesi için… • Kapsama neler alınacak (hangi sistemler vs) • Uymakla yükümlü olduğum standartlar/kanunlar vs var mı • Günün sonunda ne elde etmeyi umuyorum – “Can alıcı soru”
- 13. SIEM Ürün Seçimi
- 14. Sahadaki SIEM Ürünleri As of November 2014, Mosaic Security Research identified 73 SIEM and log-management products.[5]
- 16. Log Kaynaklarının Tespiti & Detaylandırma • Log Kaynaklarının Tespiti • Hangi log kaynağından hangi detayda log alınacağının belirlenmesi52 farklı kategoride 400 çeşit ürün, ortalama 3.500 log çeşidi…
- 17. “Siber Tehdit İstihbaratı” ܱıı
- 18. Cyber Intelligence Dünyasında Sıradan Bir Gün 1000 USD / Day
- 19. Örnek Log/Alarm İnceleme IBM Qradar
- 20. Korelasyon Kavramı ve Çeşitleri • Korelasyon, olasılık kuramı ve istatistikte iki rassal değişken arasındaki doğrusal ilişkinin yönünü ve gücünü belirtir. Genel istatistiksel kullanımda korelasyon, bağımsızlık durumundan ne kadar uzaklaşıldığını gösterir.
- 21. Gelişmiş Korelasyon Kuralı Yazma Kaynak:HP, proficio, Google
- 22. SOME Tatbikat/Siber Tehdit Simülasyonu ● Siber Güvenlik Tatbikat çalışması bir kurumun dış ve iç siber saldırgan gözüyle kurumdaki tüm güvenlik bileşenleri (çalışanlar dahil) gerçek hayattakine benzer bir saldırı simulasyonu ile ölçümüdür. ● Çalışma boyunca kurum icin yapılan tüm güvenlik yatırımlarının(Loglama, Antivirüs, IPS, Firewall, bilgilendirme vs) gerçek bir siber saldırı karşısında ne kadar işe yaradığı somut bulgularla ortaya çıkacaktır.
- 23. Cyber Kill Chain
- 24. Tatbikat Senaryoları İçerik • Internete Açık Sistemler için Gerekli Senaryoların Denenmesi • Web Sunuculara Yönelik Senaryoların Denenmesi ve Aksiyon Planı • Endpoint Sistemlere (AV, APT, Mlwr) Yönelik Senaryo Denemeleri • Veritabanı Sistemlerine Yönelik Senaryo Denemeleri • LAN & DMZ Senaryolarının Denenmesi • Windows Sistemlere Yönelik Senaryo Denemeleri • Linux/UNIX/Embeddes Sistemlere Yönelik Senaryo Denemeleri • Mail & SPAM & Exchange Sistemlere Yönelik Senaryo Denemeleri • Network Altyapı Sistemlerine Yönelik Senaryo Denemeleri • Firewall & IPS Sistemlere Yönelik Senaryo Denemeleri • VPN & OWA Sistemlerine Yönelik Senaryo Denemeleri • DLP & SIEM Sistemlerine Yönelik Senaryo Denemeleri
- 25. Açık Kaynak SIEM ve Tehdit Gözetleme
- 26. Neden Açık Kaynak Tehdit Gözetleme – Log/SIEM • Ne istediğini bilenler için • Genel korkular… Türkiye’den örnek rakamlar…
- 27. Tehdit Gözetleme Altyapı Bileşenleri OSSEC PRADSSNORT SURICATABRO IDS NFSEN MALTRAILELASTICSEARCH CIF MOLOCHNAGIOS SECURITYONION
- 28. Host Tabanlı Log/Anomali Üretme-İletme-Toplama • Kullanıcı bilgisayarları, sunucular ve doğrudan log gönderme yeteneğine sahip olmayan sistemler için ajan tabanlı (veya wmi vs benzeri) log anormallik tespiti • Genellikle HIDS ya da LIDS olarak adlandırılır • En bilinen ve kullanılan açık kaynak örneği - OSSEC
- 29. OSSEC ile Neler Yapabiliriz? • Windows sistemler için registry değişikliklerinin tespiti • Sistemde yüklü olası rootkit ve benzeri programların tespiti (Signature based) • Anlık alarm üretme • Talebe göre otomatik engelleme özelliği (Active response) • IP, domain karşılaştırma (Aktif Liste mantığı) • Yeni log formatları ekleme • İsteğe göre kural yazma • …
- 30. Çağrı ERSEN
- 31. OSSEC Ekran Görüntüleri - Alarm
- 32. File Integrity Module • Dosya bütünlük doğrulama neden ihtiyaç duyulur?
- 33. Sistem Durumu Gözetleme – Unutulan Bileşen! • 360 derece alan hakimiyeti sağlamak için gerekli en temel bileşenlerden biri sistemlerin anlık durumlarıdır • Disk durumu • CPU , RAM durumu • Ağ trafiğindeki dalgalanmalar • Çalışan processlerin durumu… • Sistemlerden gelecek bu bilgi sayesinde SIEM korelasyonları daha gerçekçi ve sağlıklı olacaktır.
- 34. Ağ Seviyesi Anormallik Tespiti • Belirlenecek anormalliklerin otomatik olarak tespit edilmesi • Anormallik kavramı tanımı • Zaman tabanlı anormallikler • Veri tabanlı anormallikler • Hedef, kaynak tabanlı anormallikler • Genellikle Netflow tercih edilir
- 35. Ağa Yeni Bağlanan Sistemlerin Otomatik Tespiti • PradS- Passive Real-Time Asset Detection System (PRADS) 10.43.2.181,0,54354,6,SYN,[65535:64:1:64:M1460,N,W2,N,N,T,S,E,E:P:Mac OS:iPhone OS 3.1.3 (UC) ethernet/modem:uptime:1574hrs],0,1300882012 10.43.2.181,0,0,0,ARP (Apple),C8:BC:C8:48:65:CA,0,1300882017
- 36. Netflow Kullanarak Ağda Anormallik Tespiti #Nfsen •Payload Anomaly Detection •Protocol Anomaly: MAC Spoofing •Protocol Anomaly: IP Spoofing •Protocol Anomaly: TCP/UDP Fanout •Protocol Anomaly: IP Fanout •Protocol Anomaly: Duplicate IP •Protocol Anomaly: Duplicate MAC •Virus Detection •Bandwidth Anomaly Detection •Connection Rate Detection
- 37. Ağ Tehdit Gözetleme Sistemi – Snort / Suricata • “Gelişmiş” ağ tabanlı tehdit algılama, saldırı tespit, anormallik tespit, ddos tespit, …. Tespit ve engelleme aracı • Snort->Sourcefire->Cisco • 35.000 aktif saldırı imzası • Basit kural dili ile saldırı imzası tanımlama kolaylığı • Snorby benzeri arabirimlerle kolay analiz ve yönetim(alarm) • ELK stack ile doğal entegrasyon • Eklentilerle ML kabiliyeti
- 40. PDF Dosyalarını Kaydetme, Uyarma… alert http $EXTERNAL_NET any -> $HOME_NET any (msg:”pdf upload claimed, but not pdf”; flow:established,to_server; content:”POST”; http_method; fileext:”pdf”; filemagic:!”PDF document”; filestore; sid:1; rev:1;) alert http any any -> any any (msg:"FILE pdf detected"; filemagic:"PDF document"; filestore; sid:3; rev:1;) alert http any any -> any any (msg:"FILE PDF file claimed"; fileext:"pdf"; filestore; sid:2; rev:1;)
- 41. BRO IDS • Ağ trafiğinde dolaşan dosyaların hash değerlerini alabilir • Ağ trafiğindeki dosyaların bir kopyasını kayıt edebilir • Ağ seviyesi DLP olarak kullanılabilir • Ağ seviyesi ve protokol anormallikleri için kullanılabilir • Pasif DNS trafiği inceleme ve alarm amaçlı kullanılabilir
- 42. Tehdit İstihbaratı Bilgisi ܱıı • Günümüz siber güvenlik camiası için en değerli ve sıcak konularından biri • Kara liste->IP repütasyonu->Tehdit istihbaratı • Her popüler kavram gibi hatalı kullanımı doğru kullanımından fazla • AntiSpam dünyasında çok uzun süredir aktif olarak kullanımda • Örnek kullanım: Cryptolocker saldırıları nasıl erkenden tespit edilir?
- 43. Maltrail • Maltrail-Malicious traffic detection system • Belirli merkezlerden sunulan ip, domain, url reputasyon verilerini çekerek anlık ağ trafiği ile karşılaştırıp rapor sunar • Kolay kurulum & kullanım alienvault, autoshun, badips, bambenekconsultingc2dns, bambenekconsultingc2ip, bambenekconsultingdga, bitcoinnodes, blocklist, botscout, bruteforceblocker, ciarmy, cruzit, cybercrimetracker, deepviz, dragonresearchgroupssh, dragonresearchgroupvnc, dshielddns, dshieldip, emergingthreatsbot, emergingthreatscip, emergingthreatsdns, feodotrackerdns, malwaredomainlist, malwaredomains, malwarepatrol, maxmind, myip, nothink, openbl, openphish, packetmailcarisirt, packetmailramnode, palevotracker, policeman, proxylists, proxyrss, proxy, ransomwaretrackerdns, ransomwaretrackerip, ransomwaretrackerurl, riproxies, rutgers, sblam, securityresearch, snort, socksproxy, sslipbl, sslproxies, torproject, torstatus, turris, urlvir, voipbl, vxvault, zeustrackerdns, zeustrackerip, zeustrackermonitor, zeustrackerurl, etc.
- 44. Intel Critical Stack ܱıı [Offline]
- 45. Bro &CIF Kullanarak CTI Entegrasyonu @load frameworks/intel/seen @load frameworks/intel/do_notice @load policy/integration/collective-intel $ cif -q domain/malware -c 75 –p bro > domain-malware.intel
- 46. Tuzak Sistemlerin Aktif ܱıı • Özellikle kontrolü zor, dağıtık ve büyük ağlarda şüpheli durumları, sistemleri tespit etmek için kullanılır • Iç sensörler • Dış sensörler • Günümüzde Siber Tehdit İstihbaratı çalışmalarının vazgeçilmez bileşenlerindendir • Tehdit gözetleme altyapısında mutlaka farklı amaçlar için birden fazla HP kurulumu önerilmektedir. • MHN kullanarak fazla uğraşıya gerek kalmadan birden fazla HP kurulumu otomatik olarak sağlanabilir.
- 47. Ağ Trafiğini İnceleme Amaçlı Kayıt Etme #FPC • Gerçekleşen ya da şüphelenilen bir olayın geriye doğru analizinde mutlak ihtiyaç duyulan bileşen • Anlık ağ trafiği analizi • Geriye yönelik araştırma (forensic, incident response vs) • CCTV benzeri bir yapı sunar • Hassas kurumlarda hassas sistemler için mutlaka kullanılmalı • Göreceli olarak maliyetli bir çalışma • Disk maliyetleri 1 Gbps hat için aylık 180 TB • OpenFPC ve Moloch kullanarak gerçekleştirilebilir
- 48. Moloch Kullanarak Tüm Trafiği Kayıt Altına Alma • AOL tarafından geliştirilmiş bir yazılım • Kendi geliştirmek istediğiniz arabirimler için WEB API sunmaktadır • Ana Bileşenler: • Capture (libNids) • Database (ElasticSearch based) • Viewer (NodeJs based)
- 49. SecurityOnion Dağıtımı • Tüm bu anlatılan açık kaynak kodlu uygulamaların kurulumu, yapılandırması ve entegrasyonu işe yeni başlayanlar için zordur • SO, bu konuda hızlıca başlamak isteyenler için geliştirimiş bir NSM dağıtımıdır. • İndir, Çalıştır, Kur mantığı • Snort, Suricata, Bro, OSSEC, Sguil, Squert, ELSA, Xplico, NetworkMiner …
- 50. Logları Toplamak ve Yönetmek - ELK Ailesi • ElasticSearch:> Esnek, güçlü açık kaynak kodlu dağıtık, gerçek zamanlı bir arama ve analitik motoru(Veriyi düzenleyerek, anlamlı hale getirerek depoladığımız alan) • Logstash:> Logları merkezi olarak toplamak ve anlamlandırmak için kullanılan bileşen • Kibana:> ElasticSearch için veri görselleştirme paneli (Ön yüz)
- 51. Toplama ve Anlamlandırma Bileşeni - Logstash • Collect-Parse-Store/Forward • Bir Olay’ın Yaşam Döngüsü • Input->Filter->Output->Codec • INPUT(File, syslog, redis …)
- 52. Parsing • Grok eklentisi kullanarak anlamsız(!) log satırlarının aranabilir hale getirmek.
- 54. DDoS Atak Örneği
- 55. İletişim Bilgileri • www.lifeoverip.net • Blog.bga.com.trBlog • @bgasecurity • @huzeyfeonalTwitter • huzeyfe@lifeoverip.net • Huzeyfe.onal@bga.com.trİletişim