OSSIM识别APT的三板斧


许多遭受APT***的受害者所在单位拥有防火墙,防病毒系统,监控系统,但仍未能阻止威胁进入,这些系统未能感知到异常行为,直到损失被曝光。安全团队应考虑到当今复杂多变的网络威胁环境,可以假设其IT环境已被或间歇性遭受到不明来历的******,这时我们需要了解***的各个阶段的详细情况,包括对持续的威胁见识以及快速的***检测。过去使用CactiZabbix等工具,等到在系统中发现问题时已经到了***完成阶段,***者早已得手,并消失的无影无踪。要提高网络***的可视化、提高对网络***的敏感性和处理高级威胁的速度,SIEM(安全信息和事件管理)是理想的平台,适合于目前企业中大规模集中数据安全分析。作为开源SIEM产品OSSIM具备了以下3个方面的能力:


1可视化--获知异构的IT环境中,所发生的一切信息需要多种数据源,包括网络数据包捕获,和完整会话的重建以及来自网络设备、服务器、数据库的日志文件,需要将这些数据有效组织起来,通过图形化方式展现给用户,而且将各种视图统一的整合到一个位置,孤立的日志收集系统只不过是虚有其表的摆设。


2扩展性--收集安全数据的平台必须能在横向和纵向进行扩展,以处理来自企业内部和外部的海量安全事件,深入分析网络流量的同时会产生大量pcap文件,这会使安全分析平台的数据成倍增加,OSSIM通过分布式多层存储体系结构处理了密集型数据。


3关联分析-具有一定的智能分析是因为内置的关联分析引擎的缘故。传统计算机安全机制偏重于静态的封闭的威胁防护,所以只能被动应对安全威胁,往往是安全事件发生后才处理,面对******,在***过程中,检测到扫描、注入、暴力破解和漏洞利用***时OSSIM的关联引擎从多数据源获得数据,通过抓包和多数据源收最大范围和深度收集有效信息,比如在应用系统日志中有相关登录失败等异常指标,进行主动安全分析,在事件发生阶段就发出预警信息,以便管理员实现快速响应。