Series [SIEM]: Phần 01 Giới Thiệu Giải Pháp IBM Qradar

Giới Thiệu Giải Pháp IBM Qradar

Giải pháp IBM Qradar SIEM là một bộ giải pháp quản lý tập trung, giám sát và phân tích an ninh thông tin cho toàn bộ hệ thống CNTT, được kết hợp giữa các thành phần giải pháp thông minh, tạo nên nền tảng khép kín, đảm bảo tính toàn vẹn tuy nhiên cũng hỗ trợ các phương pháp tích hợp để mở rộng hệ thống giám sát sau này.

Hình 1: Giới thiệu giải pháp IBM Qradar

SIEM là thành phần đứng trên cùng của các layer về bảo mật.  Đóng vai trò thu thập, giám sát và phân tích toàn bộ các sự kiện an ninh, hành vi hoạt động của môi trường CNTT doanh nghiệp, giúp đưa ra các cảnh báo sớm tấn công kịp thời, tự động báo cáo tuân thủ cho toàn hệ thống theo các tiêu chuẩn định nghĩa sẵn.

Qradar được thiết kế để ghi nhận lại các sự kiện, nhật ký thời gian thực, cũng như các luồng dữ liệu qua hệ thống mạng, từ đó phát hiện ra các lỗ hổng bảo mật và xâm nhập từ bên ngoài. Qradar SIEM là giải pháp bảo mật doanh nghiệp có khả năng mở rộng, hợp nhất từ nhiều nguồn dữ liệu, sự kiện từ hàng nghìn thiết bị của các hãng khác nhau tập trung để phân tích các bảo mật, rủi ro trong hệ thống công nghệ thông tin. Đưa ra cái nhìn tổng quan về an ninh mạng.

Các dữ liệu được thu thập và phân tích bởi Qradar SIEM :

• Security events : Từ hệ thống Firewalls, VPN, hệ thống phát hiện và ngăn chặn xâm nhập IPS/IDS, firewall cơ sở dữ liệu, VP hệ điều hành v.v
• Network events : Từ các thiết bị như switches, routers, hosts…
• User or asset context : Dữ liệu từ hệ thống thông tin định danh, thiết bị quản lý truy cập, công cụ quét lỗ hổng bảo mật, AD…
• Operating system information: Thông tin hệ điều hành, nhà cung cấp , phiên bản cụ thể trong tài nguyên mạng
• Application logs : cơ sở dữ liệu ứng dụng, nền tảng quản lý và vận hành
• Threat intelligence : Các nguồn từ IBM X-Force Threat Intelligence

Kiến Trúc Giải Pháp IBM Qradar

Hình 2: Kiến trúc giải pháp IBM Qradar

Thành Phần Giám Sát Lỗ Hổng

Vulnerability Management: Giám sát cấu hình các hệ thống mạng, bảo mật, tự động dò quét lỗ hổng bảo mật và sắp xếp độ nghiêm trọng. Giúp tổ chức dự đoán trước các mối đe dọa đồng thời giả lập lại hướng tấn công của attacker.

Các UseCase Sử Dụng

Thu thập, phân tích log

• Các dữ liệu được thu thập và phân tích bởi Qradar SIEM :
• Security events : Từ hệ thống Firewalls, VPN, hệ thống phát hiện và ngăn chặn xâm nhập, cơ sở dữ liệu, hệ điều hành v.v
• Network events : Từ các thiết bị endpoint như Switches, routers, servers, hosts…
• User or asset context : Dữ liệu từ phạm vi thông tin định danh, thiết bị quản lý truy cập, công cụ quét lỗ hổng bảo mật
• Operating system information: Thông tin hệ điều hành, nhà cung cấp , phiên bản cụ thể trong tài nguyên mạng
• Application logs : cơ sở dữ liệu ứng dụng, nền tảng quản lý và vận hành
• Cloud: Các ứng dụng trên nền tảng AWS, Azure…
• Threat intelligence : Các nguồn từ IBM X-Force

Theo dõi thời gian thực

QRadar SIEM cung cấp khả năng giám sát hành vi theo ngữ cảnh trên toàn bộ hệ thống CNTT, giúp tổ chức phát hiện và khắc phục nguy cơ mất an toàn an ninh thông tin. Các nguy cơ này sẽ được hiển thị trên Dashboard của QRadar SIEM theo mức độ từ thấp đến cao.

Quản lý giám sát và tương quan sự kiện

Với những tổ chức lớn, hàng ngày phát sinh hàng triệu sự kiện thì việc quản trị thật sự phức tạp. QRadar SIEM tập hợp sự kiện từ nhiều nguồn, tổng hợp, chuẩn hóa, lưu trữ, phân loại theo mức độ ưu tiên. Sau đó tiến hành phân tích tương quan để phát hiện các nguy cơ, sự tuân thủ chính sách, … Như vậy hàng triệu event và flow được tự động xử lý để tổng hợp lại trong một số hành vi cụ thể, QRadar SIEM hỗ trợ một số lượng lớn các rules có sẵn để thực hiện việc này.

Giám sát thông tin chi tiết về các mối đe dọa an ninh thông tin
Đối với các mối đe dọa an ninh thông tin, người quản trị cần xác định:

• Who: ai tấn công
• What: tấn công cái gì
• Where: xảy ra ở đâu
• When: xảy ra khi nào
• How: phương thức tấn công là gì

Đó cũng chính là kết quả mà QRadar SIEM mang lại cho người quản trị từ quá trình phân tích sự kiện an ninh thông tin.

Giám sát hành vi bất thường

QRadar SIEM hỗ trợ việc giám sát hành vi bất thường của thông qua việc kết hợp thông tin từ:

• Các sự kiện, logs ứng dụng
• Các dữ liệu ứng dụng ở mức layer 7
• Các hành vi người dùng
• Các nguồn threat intelligence

Quản lý tài nguyên hệ thống

Quản lý chính sách tuân thủ

Khả năng quản lý tuân thủ của QRadar SIEM thể hiện:

• Khả năng đưa ra các báo cáo về sự tuân thủ theo các tiêu chuẩn như PCI, HIPAA, SOX, CobiT, GLBA, …
• Hỗ trợ sẵn các chính sách quản lý tuân thủ (Compliance Management rules) cảnh báo thời gian thực cho người quản trị nếu có vi phạm

• Quản lý thông một giao diện quản trị duy nhất

QRadar SIEM là giải pháp nền tảng của SOC, với việc cung cấp một giao diện quản trị duy nhất và bao gồm khả năng phân quyền người dùng trong việc giám sát, phân tích, báo cáo, …

Quản lý các incident tự động

IBM Qradar tích hợp với IBM Resilient SOAR giúp quản lí, phân chia roles và nhóm xử lí các sự cố bảo mật sảy ra trong hệ thống CNTT một các tự động.

• Phối hợp và tự động hoá các quy trình phản ứng, xử lý sự cố giúp tối ưu các công tác vận hành an ninh và công tác ứng cứu sự cố qua các playbook.
• Linh hoạt thay đổi để thích nghi với từng diễn biến mới của sự cố trong quá trình điều tra nhờ việc phân cấp ưu tiên quản lý các sự kiện và công việc.
• Đáp ứng nhanh chóng với những hiểm hoạ bằng các kịch bản thông minh được xây dựng dựa trên những kinh nghiệm và tri thức của hãng được đúc kết qua nhiều cuộc tấn công.
• Điều tra chi tiết và thuận tiện nhờ các thông tin đầy đủ quan trọng về sự cố luôn được dễ dàng truy cập mọi lúc mọi nơi.

Yêu Cầu Tài Nguyên Giải Pháp IBM Qradar

Qradar hỗ trợ cả trên môi trường ảo hóa và vật lý

Memory yêu cầu

CPU yêu cầu

Storage yêu cầu:

Tối thiểu 256 GB có sẵn trở lên

Ở phần tiếp theo, chúng ta sẽ đi tiếp chuỗi Series [SIEM]: Phần 2 Cài Đặt IBM Qradar

Mời các bạn đón theo dõi cập nhật mới nhé!