#ngcloud — Public Fediverse posts

Как Wazuh помог наладить круглосуточный мониторинг и реагирование на ИБ-события

Представим ситуацию. Вы хотите выстроить процесс реагирования на ИБ-инциденты в компании. Для этого нужно вовремя фиксировать атаки на вашу инфраструктуру. Вы решаете собирать логи и мониторить все, до чего можете дотянуться: хосты, межсетевые экраны, антивирусы, пользовательские устройства. Логов много, они разные. В таком объеме данных сложно вычленить что-то полезное даже самому опытному ИБ-специалисту. А вам нужно, чтобы в нем могли разобраться дежурные администраторы (первая линия техподдержки), которые знают только базу, но зато на посту 24 на 7. Они должны фиксировать аномалии, реагировать на типовые угрозы по регламенту, а сложные кейсы дальше передавать профильным ИБ-инженерам для купирования и расследования атак. Именно с такой задачей мы имели дело, когда решили выстроить такую систему реагирования на ИБ-угрозы в нашем облаке NGcloud. Меня зовут Иван, я занимаюсь защитой облачной инфраструктуры. Сегодня я расскажу, как мы организовали все вышеперечисленное при помощи Wazuh. Почему выбрали Wazuh? Мы искали решение, которое помогло бы нам: - организовать централизованный сбор логов с конечных устройств/серверов Linux и Windows, средств защиты информации и средств виртуализации; - привести логи к стандартизованному формату; - понятно визуализировать нужные данные на видеостене в центре мониторинга, где находятся наши дежурные инженеры; - настроить оповещения об аномалиях для нашей первой линии технической поддержки. Мы рассматривали решения класса SIEM отечественных и зарубежных производителей, коммерческие и open-source. Нам важно было, чтобы решение было доступно на российском рынке и у него была поддержка в том или ином виде. Также важна была стоимость, так как SIEM в целом это недешёвое удовольствие. В итоге под наши критерии лучше всего подошел Wazuh. Это open-source ПО с большим функционалом и активным сообществом, к которому можно обратиться за помощью. У него много разных модулей, и его можно собирать, как конструктор. В нашем случае мы используем Wazuh как SIEM и XDR (Extended Detection and Response) решение. Он собирает логи и данные журналов с устройств в management-сегменте облака NGcloud, визуализирует и анализирует их и в результате помогает обнаруживать вторжения, вредоносные программы, уязвимости программ и мониторить целостность файлов.

https://habr.com/ru/companies/nubes/articles/778990/

#wazuh #opensource #siem #логи #мониторинг #виртуальная_инфраструктура #облако #ngcloud