そして誰がそれをしたのですか？ 情報セキュリティ監査を自動化する

出所



情報セキュリティの診断には、監査、脆弱性評価、侵入テストの3つのアプローチがあると考えられています。 監査と脆弱性評価について話しましょう。 カットの下で、監査のフレームワーク内で対処する必要がある問題、および機械学習に基づく情報セキュリティインシデントの検出、防止、調査（監査者の脅威の検出の変更）、インフラストラクチャオブジェクトからのログの収集（InTrust）、および現在の監査のためのQuest Softwareツールキットを検討します1つのインターフェース（ITセキュリティ検索）にリストされているすべてのシステムの構成（Enterprise Reporter）および監査データの出力。



ITセキュリティ監査は、情報システムとそのメンテナンスが顧客の期待と会社の基準を満たすかどうかを判断します。 私たちの観点から、監査システムには次の機能が必要です。

• 通常および非定型の活動を識別および識別します。
• クエリを構築し、イベントの配列でデータをフィルター処理して、必要な情報を取得します。
• イベントを責任のあるグループにエスカレーションします。
• 非定型アクティビティを識別することができる事前設定されたレポートがあります。

私たちがよく目にするインフォブを扱うことの特徴は、残差の原則に関する監査の実施です。 つまり、変更の監査は部門によって実行され、部門には他のタスクもロードされます。 最初の問題はこれから生じます-



組み込みの監査ツールを使用する



他のユーザーを検索して構成するのに十分な時間がありません。 組み込みツールとは、たとえば、WindowsスナップインまたはPower Shellの特別なスクリプトを意味します。 もちろん、そのようなツールの助けを借りて、あなたは事実の後の事件について見つけることができるだけです。



組織が成長するにつれて、ユーザーと変更の数が増加します。 特定の数字でこの主題に関する研究がありますが、これがなくても、デジタル交換が毎年上向きに変化していることは明らかです。 2番目の監査課題は



インフラストラクチャの増加による変更の増加



成長は、スタッフまたは顧客数の増加に関連する場合がありますが、これに関係なく、変化の量は比例して増加します。

監査は、内部要因（これらは最初の2つの問題です）だけでなく、外部要因（国体または企業ポリシーの要件）によっても深刻な影響を受けます。 そして、3番目の監査問題に取り組みます-



要件を満たすための適切なツールの欠如



適切なツールがない場合、システム管理者は必要な変更を制御しないか、または制御しますが、即興の手段を使用します（問題1を参照）。

そして今、私たちは質問への答えを助けることができるツールのレビューに進みます：「誰がこれをしましたか？」（実際、彼らは他の多くの質問への答えを助けるでしょう）。

情報セキュリティイベントの運用監査

設置会議のためにいくつかの会社に行くと、Power Shellに基づく監査システムがあります。 スクリプトは通常、単一のWindows管理者によってサポートされます。 この従業員が解雇されるまで、これは深刻な問題ではありません。 彼の出発後、疑問が生じます：誰がこれを支援し、発展させ続けるでしょうか。 新しい管理者（十分な能力がある場合）は通常、これらのスクリプトを再度作成します。 そして、これらは孤立したケースではありません。



Change Auditorは、Microsoft環境およびディスクアレイの変更をオンラインで監査するためのツールであり、個人の知識は必要ありません。







サポートされる監査：AD、Azure AD、SQL Server、Exchange、Exchange Online、Sharepoint、Sharepoint Online、Windows File Server、OneDrive for Business、Skype for Business、VMware、NetApp、EMC、FluidFS ハイブリッド環境に適しています。 GDPR、SOX、PCI、HIPAA、FISMA、GLBA規格に準拠するための事前定義されたレポートがあります。







監査に加えて、Change Auditorは変更をブロックできます。 たとえば、ADグループへの新しいユーザーの追加を禁止したり、ファイル/フォルダーの変更を禁止したりします。



Change Auditorには、追加の分析モジュール-脅威検出があります。







機械学習（ML）とユーザー行動分析（UEBA）を搭載。 過去30日間にChange Auditorからイベントを受信し、通常とは異なるユーザーの行動を明らかにします：異常な場所または異常な時間からの入力、ドメインコントローラーの連続したパスワード入力の失敗、禁止されたファイルリソースの入力など。 このモジュールは、いくつかのディメンションでイベントを分析し、異常を報告します。

監査インフラストラクチャ構成

長い間Windowsインフラストラクチャをクリーンアップしたいが、それでもまだ手に入らない人のために。 レポート作成ツールであるEnterprise Reporterは、AD、Azure AD、SQL Server、Exchange、Exchange Online、Windows File Server、OneDrive for Business、Azureリソース（仮想マシン、ネットワークセキュリティグループ、その他のオブジェクト）からオブジェクトデータを取得し、美しいレポートを作成します。







製品の主な価値は、既存のレポートセットです。これにより、インストール直後に脆弱性を確認できます。 たとえば、ある顧客で、パスワード有効期限オプションが無効になっているドメイン管理者グループのユーザーを見つけました。







既製のレポートから：

• 過去30日間ログインしていないユーザー
• 期限切れのパスワードを持つユーザー。
• 過去30日間ログインしていない特権グループユーザー。
• ローカルシステムアカウンティングでは機能しないWindowsサービス。
• ドメインコントローラーの役割を持つサーバーにインストールされたソフトウェア。
• サーバーにインストールされた修正プログラム
• サーバーのセキュリティ設定
• ネストされたグループとネストされたグループのユーザー
• Active Directoryのアクセス許可
• ファイルストレージなどのフォルダの権限。

リストされたレポートの例は、 Quest WebサイトのPDFレポートにあります（ファイルはすぐに開くので、登録は不要です）。 GDPR、SOX、PCI-DSS、HIPAA、FISMA、GLBAなどに準拠するための事前定義されたレポートがあります。 また、会社に報告要件がある場合、またはドキュメントのブランド化を希望する場合は、特別なデザイナーがいます。

ログの収集と分析

情報セキュリティイベントに関する別のデータソースはログです。 それらでは、すべてではないにしても、ほとんどすべてを見つけることができます。 それらを収集した後、それらを正規化して構造化して、たとえばADとテキストログなどのイベントを相互に関連付けると便利です。



InTrustは、異種ソースからログを収集および分析するためのツールです。 ネットワークデバイスからWindowsログ、テキストログ、およびsyslogを取得できます。 収集後、すべての統計（イベント）はフォームの状態（イベントが発生したとき、何が起こったのか、どこで起きたのか、誰がアクションを実行したのか、アクションの実行元）に還元されます。







InTrustは、10,000のソースから毎秒最大60,000のイベントを処理できます。 多くの場合、WindowsイベントログSysmon（レジストリ値の変更の追跡、誤ったハッシュなどの新しいプロセスの作成）、PowerShellログのイベントを監視するために、コレクタエージェントがワークステーションにインストールされます。







生データは、20：1の圧縮率で内蔵ストレージに保存されます。 一部のSIEMシステムとの既製の統合があります。 それらを使用する場合、InTrustはライセンスを節約する便利な方法です。 ストレージに生データを保存し、イベントのみをSIEMに送信します。

傘の下のプール

セキュリティの概念を完全にするには、すべてのソースからのデータを組み合わせて、1つのウィンドウで何が起こっているかを観察することが望ましいです。 さらに、根本原因の超高速検出のためにイベントを関連付けます。



ITセキュリティ検索-運用監査、インフラストラクチャ構成の監査、およびログからのデータに基づいたGoogleによるグローバルな全文検索のためのツール。 すべてのデータは、接続されたシステムからリアルタイムで取得されます。







ユーザー、ワークステーション、イベントのタイプ、またはその他の名前を入力して、この属性に関連するイベントまたは構成を見つけることができます。 クエリを生成するときに、論理式を使用できます。 クエリ結果からレポートを作成し、スケジュールに従って関係者に送信すると便利です。







ITセキュリティ検索インターフェースから、ADへの変更をロールバックすることもできます。 つまり、たとえば、誤って削除されたユーザーをすべての属性とともに復元できます。 これは、別のQuest製品であるRecovery Manager for Active Directoryとの統合により実現されます。



この記事の主な目的は、変更を監査するためにQuest製品ファミリーを紹介することです。 現在使用しているこれらのツールは、異なる機能セットを持っている場合があります（より多く、より少なく）。 対処しなければならないこと、どの機能があなたにとって有用であったか、なぜあなたが1つまたは別のソリューションを選んだかをコメントに書いてください。 経験を交換することは興味深いです。