SOC-nézőben

Mély pillantás a DeepSightra.

Délnyugat-Anglia, Hampshire gróf-ság. Nyolcvanmérföldnyire Londontól, néhányra Winchestertől.

Szürke felhők, magányos dombtető. Szokványos drótkerítés mögött kissé gazos rét. A kavicsos parkolóban elhagyott autók sorakoznak. Csak a néhány nehezen észrevehető kamera és a kerítés sárga táblája figyelmeztet rá, hogy a Symantec fennhatósága alá érkeztünk.

Enyhe nyomás alatt

A domb alatti egykori víztározót még a 80-es években alakították át a lassan melegedő hidegháborús korszak egyik utolsó atombunkerévé, majd az ezredforduló után a Symantec tulajdonába került. Négy éve a létesítményben működik a „lakói” által csak „szok”-nak emlegetett angliai Security Operations Center (SOC), azaz Biztonsági Műveleti Központ.

A teljes objektum zárt terület. A belépési engedélyt legalább 24 órával korábban be kell szerezni, különben a kapuból visszafordítják az embert. A parkoló végéből lépcső visz le a domboldalba nyíló, betonozott bejárathoz. A zsilipszerű kamra második tömöracél ajtaja mögött oldódik a borongós hangulat. A beltér olyan, mint bármelyik irodaépületé, csak éppen nincsenek ablakok.

Semmi sem emlékeztet óvóhelyre. A kellemes levegőt folyamatosan szűrik, és atom- vagy gáztámadás esetén is ugyanilyen maradna a kissé emelkedett belső légnyomás miatt. Minden tágas, az ergonomikusan kialakított munkahelyeket saját tápról működő napfénylámpák világítják be. A kiszolgáló- és tartózkodóhelyiségek falain tájképek. Mindent megtesznek a klausztrofóbia elkerülésére.

Erre szükség is van, mert – mint Jim Hart, az elemzőcsapat vezetője elmondja – az alkalmazottak saját közös döntésük alapján kétszer négynapos turnusokban, kétműszakos munkarendben látják el a munkájukat. Az első négy napban a mérnökök napi 12 órát töltenek a SOC-ban, ezután négy nap szünet következik. Egy műszakban általában 4–10 elemző dolgozik. Maximum 15 lehetne bent, de a sok hely miatt bármikor ki lehet alakítani további munkahelyeket.

Globális hálózat

Másik kalauzunk, Alan Osborne, az EMEA-térség egyik vezetője elmagyarázza, hogy a winchesteri részleg a Symantec menedzselt biztonsági szolgáltatásokat (MSS) nyújtó gépezetének egyik fogaskereke. Feladatuk a fogyasztók biztonsági eszközei által szolgáltatott adatok gyűjtése, szűrése és elemzése. Talán túlzónak tűnhet az angliai központ szigora, de Alan Osborne szerint egyrészt a környezet számos kézenfekvő, biztonsággal és kontingenciával kapcsolatos előnyt nyújt, másrészt a kormányzati és privát ügyfelek is nagyra értékelik a SOC fizikai védettségét.

Maga a központ az Európából, a Kö-zel-Keletről és Afrikából érkező adatokat dolgozza fel, amúgy az információk 180 országból, 40 ezer érzékelőről érkeznek a regionális SOC-okba. A Symantec globális hálózatához öt további, az angliaihoz hasonló elemzőhely tartozik: egy Ausztráliában (Sidney), egy Németországban (München), egy Japánban (Tokió) és kettő az Egyesült Államokban (Alexandria, San Antonio).

Az adatok egy részét az ügyfeleknél telepített biztonsági megoldások – behatolásérzékelő- és megelőző rendszerek (51 százalék), tűzfalak (44 százalék), sérülékenységkezelő és kártevőellenes megoldások (összesen 5 százalék) – szenzor-ágensei gyűjtik össze, majd tömörítés, digitális jelölés és kódolás után továbbítják. A többit a partnercégek manuálisan küldik. Az információknak csak egy része (17 százalék) származik Symantec-megoldásokról, a többi a partnerek (Check Point, Cisco, Enterasys, Entercept, ISS, Netscreen, Nokia) eszközeiről.

A biztonsági műveleti központokban csak elemző munka folyik. A feldolgozott és normalizált adatok alapján az aktív válaszlépés a Symantec kilenc Security Re-sponse Centerének (SRC, biztonsági válaszközpont) a feladata. Magától értetődik, hogy az elemző- és válaszközpontok között szoros a kapcsolat. A mi SOC-unk például a Dublinban működő SRC-nek jelent. Persze kritikus helyzetben az ügyfélre is azonnal rátelefonálnak.

Hármas szűrő

Iszonyatos mennyiségű adatról van szó. Egy forgalmas hálózatban egyetlen tűzfal 1 gigabájtnyi naplóállomány-bejegyzést, egyetlen IDS 1500 riasztást generál óránként. A közel valós időben történő feldolgozás és az adatok azonnali „lefordítása” tényleges fenyegetésekre komoly kihívás. Ehhez az infrastrukturális hátteret a menedzselt biztonsági szolgál-tatások keretrendszere, a technológiai eszközt a DeepSight, a Symantec saját fejlesztésű fenyegetésérzékelő és kezelő megoldása adja.

A beérkező információk egy relációs adatbázisba kerülnek, majd egy együttesen is közel valós időben működő hármas szűrőn mennek át. Az új rekordokat először nagy teljesítményű adatbányász motorok fésülik át. Ezek végzik el a kezdeti elemzéseket, összefüggéseket keresnek, majd az eredményeiket prioritási címkékkel látják el. A második mechanizmus, a „progressive threat modell” (progresszív fenyegetésmodell), egy olyan önmagában is többlépcsős gépezet, amely tapasztalati úton előállított sablonokat használva eldönti, hogy az adatok mögött tényleges fenyegetés búvik- e meg.

Valós incidens gyanúja esetén a harmadik automatizmus az „expert query engine” (fejlett lekérdezőmotor), amely meghatározza a támadás paramétereit: kiindulási pontját, természetét és azt, hogy mi ellen irányul, és mit akarnak vele elérni. Az ebben a lépcsőben előállított, a fenyegetések pontos részleteit leíró normalizált eredmények kerülnek az elemzőkhöz.

Összevetés

Ezen a ponton válnak fontossá azok az adatok, amelyeket a sérülékenységeket pásztázó eszközök szolgáltatnak. A DeepSight közvetlenül képes értelmezni a Qualys és Nessus megoldásainak információit, de fejlesztőtől függetlenül minden olyan sérülékenységi adatot kezelni tud, amelyet XVF-re (XML Vulnerability Format) konvertáltak. A fenyegetési és sérülékenységi információk közti összefüggések felderítésének hármas haszna van az MSS szempontjából.

• Javítja az elemzés pontosságát, hiszen igazolódik a támadás célja és az adott eszköz támadhatósága közti kapcsolat.

• Szükségtelenné tesz bizonyos válaszlépéseket, hiszen az olyan fenyegetések ellen nem kell azonnal védekezni, amelyek ki vannak javítva a fogyasztók rendszereiben.

• Lehetővé válik az adott támadás, kockázat vagy kártevő miatti proaktív beavatkozás. A terjedést célzottan le lehet állítani az olyan eszközök felé, amelyek sérülékenysége már ismert, de még nincsenek közvetlen veszélyben.

A mérnökök a sérülékenységek és fenyegetések ismeretében a kockázati szint szerint további osztályokba sorolják az eseményeket:

• Információ – az ügyfelet csak pásztázzák a hackerek, de valójában nem kell beavatkozni.

• Figyelmeztetés – a fogyasztó rendszerének pásztázása során a behatolók sérülékenységre bukkantak.

• Kritikus – a sérülékenységet ténylegesen támadják is.

• Sürgősség – a támadóknak valószínűleg sikerült behatolniuk a rendszerbe.

Nem kallódnak el

Ha a kapott eredmények alapján elmennének a figyelmeztetések a fogyasztók és az SRC-k felé, aztán az egész el lenne felejtve, az a pusztába kiáltott szó érzetét keltené, és nem is ez a helyzet. Az elemzők által több szempont szerint is minősített eseményadatok visszakerülnek az adatbázisba az említett mechanizmusok „okulására”, hogy azok „önképző” képességeik révén a tapasztaltakat a jövőben felhasználhassák.

Másrészt a DeepSight rendelkezik egy további modullal: az ügyfeleknél, a SOC-okban és SRC-kben is működő Secure Internet Interface-szel (biztonságos internetes felület).

Ez az eszköz a kapcsolattartás mellett megjegyzések és javaslatok, védelmi ajánlások hozzáfűzésére is használható. Statisztikákat és közérthető prezentáció-kat készít naplóbejegyzésekről, elemzé-sekről, incidensekről, ellenőrzésekről, támadásokról, sérülékenységekről, eszközökről és sok másról.

Legfőbb haszna azonban, hogy nem hagyja elsikkadni a figyelmeztetéseket, hanem gondoskodik az események és azok lekezelésének, további sorsának a nyomkövetéséről, emellett aktívan figyelmeztet a „lezáratlan aktákra”.

Redundáns gondoskodás

Menedzselt szolgáltatásokról már többször volt szó írásainkban, így utalunk az ezekkel kapcsolatos szempontokra. A tárgyalt MSS rendszer is egy ilyen, a Syman-tec kínálatában szereplő üzleti termék.

A globális hálózat információs előnyei az egyedi szervezetek számára kézenfekvőek. A repertoár magában foglalja a skálázhatóságot és a rendelkezésre állási garanciákat; a „24×7 help desk”, a monitorozó-, elemző- és a védelmi rendszereken érvényesíthető incidensválasz jellegű szolgáltatásokat, de mindenekelőtt a védelmet minden ismert és újonnan felbukkanó informatikai biztonsági fenyegetés ellen.

Jim Hart saját ötnapos, reggeltől késő délutánig tartó normál vezetői munkarendje miatt ősz közepétől tavasz derekáig sötétben érkezik és távozik. Nem éppen kellemes, de szereti a munkáját, mert érdekes és változatos. Erről éppen a folyamatosan megújuló informatikai kockázatok és fenyegetések gondoskodnak – méghozzá jó „redundánsan”.

Kelemen László