SIEM چیست؟ اطلاعات امنیتی و مدیریت رویداد (SIEM) یک راه حل پیشرفته امنیت سایبری است که برای جمع آوری و همبستگی مرکزی داده های امنیتی از منابع مختلف در شبکه شما طراحی شده است. SIEM نقش مهمی در محافظت در برابر حملات سایبری پیچیده و اطمینان از انطباق دارد. گارتنر® اصطلاح SIEM را در سال 2005 برای رسیدگی به ضرورت نظارت متمرکز بر امنیت معرفی کرد. امروزه، راه حل های SIEM طیف گسترده ای از الزامات امنیتی سازمانی، از جمله تشخیص و انطباق تهدیدات پیشرفته را برآورده می کند. آنها همچنین قابلیت های مدیریت عملیاتی مانند مدیریت حوادث، گزارش دهی و داشبوردهای تجزیه و تحلیل امنیتی را ارائه می دهند. چرا SIEM؟ متخصصان امنیتی معمولاً در جمع‌آوری داده‌های امنیتی از برنامه‌ها و دستگاه‌های مختلف در سراسر شبکه با چالش‌هایی روبرو هستند. آن‌ها غالباً فاقد دید جامع از وضعیت امنیتی خود هستند، که برای شناسایی و پاسخ‌دهی سریع به تهدیدات سایبری، ارزیابی اثرات حملات و بهبود وضعیت امنیتی شبکه بسیار ضروری است. برخلاف راه‌حل‌های امنیتی سنتی که به عملکردهای خاص متمرکز هستند، سیستم‌های SIEM یک پلتفرم امنیتی قابل تنظیم فراهم می‌کنند که دیدی جامع از محیط‌های داخلی و ابری ارائه می‌دهد. این ابزارها به‌طور چشمگیری توانایی شناسایی تهدیدات را در زمان واقعی افزایش می‌دهند، مدیریت انطباق را تسهیل می‌کنند و در نهایت امنیت شبکه را تقویت می‌کنند. با ادغام هوش مصنوعی (AI)، این ابزارها فرآیندهای اصلاحی را خودکار کرده، پیش‌بینی حرکات بعدی مهاجمان را ممکن می‌سازند و بار کاری تحلیلگران امنیتی را کاهش می‌دهند. آن‌ها بینش‌های عملی را برای مقابله مؤثر با تهدیدات فراهم کرده و تیم‌های امنیتی را در مقابله با تکنیک‌های خصمانه توانمند می‌سازند. ابزارهای برتر SIEM- مشاهده جدول مقایسه “با ManageEngine Log360، ما توانستیم یک حمله را 20 برابر سریعتر شناسایی و اصلاح کنیم.” – ادوارد مک گرینور، مهندس SOC، یک MSSP SIEM چگونه کار می کند؟ اساسی‌ترین عملکرد هر ابزار SIEM، جمع‌آوری نقاط داده امنیتی، به‌ویژه گزارش‌ها و رویدادها، در یک مکان متمرکز است. در صورت انتخاب یک راه‌حل SIEM پیش‌فرض، داده‌ها در یک سرور میزبانی می‌شوند و سپس برای بازیابی آسان‌تر در یک دستگاه ذخیره‌سازی ثانویه بایگانی می‌شوند. در صورتی که راه‌حل SIEM مبتنی بر ابر انتخاب شود، داده‌ها در فضای ابری محیط فروشنده ذخیره خواهند شد. تجمیع متمرکز داده‌های گزارش، نقطه قوت اصلی هر راه‌حل SIEM است زیرا دیدی جامع از وضعیت شبکه برای تحلیلگران امنیتی فراهم می‌کند و فرآیند تجزیه و تحلیل پزشکی قانونی را تسهیل می‌کند. دومین عملکرد اصلی راه‌حل SIEM، تجزیه و تحلیل داده‌های جمع‌آوری شده و ارائه بینش‌های عملی است. این تجزیه و تحلیل از تکنیک‌های مختلفی نظیر همبستگی، تحلیل رفتار و تجسم روند استفاده می‌کند. همبستگی بلادرنگ، به تحلیلگران این امکان را می‌دهد که چندین رویداد به ظاهر نامرتبط را با هم پیوند دهند و الگوهایی را برای تشخیص مؤثر تهدید شناسایی کنند، که یکی از وظایف اصلی هر ابزار SIEM است. تحلیل رفتار، که معمولاً با کمک یادگیری ماشینی یا هوش مصنوعی انجام می‌شود، به شناسایی الگوهای طبیعی رفتار کاربر و نهادها کمک کرده و با تشخیص ناهنجاری‌ها، دقت تشخیص تهدید را افزایش می‌دهد. ابزارهای SIEM معمولاً قوانین تشخیص استاتیک را با مدل‌های ناهنجاری ترکیب می‌کنند تا تهدیدات را با دقت بالا شناسایی کنند. شکل 1: راه حل های SIEM چگونه کار می کنند. علاوه بر این، راه حل های SIEM از نظارت امنیتی مستمر برای مدیریت تغییر و موارد استفاده نظارت بر فعالیت کاربر پشتیبانی می کنند، که برای اکثر الزامات انطباق ضروری است. با بایگانی داده های گزارش، تجزیه و تحلیل پزشکی قانونی و ویژگی های نظارت بر امنیتی، اتخاذ راه حل SIEM به یک جزء حیاتی از هر سفر انطباق تبدیل می شود.

UEBA (User and Entity Behavior Analytics) یا تحلیل رفتار کاربر و موجودیت، رویکردی برای شناسایی رفتارهای غیرعادی کاربران، حساب‌ها، میزبان‌ها و سایر موجودیت‌هاست. UEBA با ساختن یک Baseline از رفتار معمول و مقایسه فعالیت‌های جدید با آن، ناهنجاری‌هایی را که می‌توانند نشانه Insider Threat، سرقت حساب یا سوءاستفاده از دسترسی باشند آشکار می‌کند. برای راهنمای کامل شامل Time/Count/Pattern Anomaly، Risk Score، ارتباط با SIEM و سناریوهای Insider Threat، مقاله رفتارشناسی کاربران با UEBA را بخوانید.

تجزیه و تحلیل رفتار کاربر و موجودیت (UEBA) یا تشخیص ناهنجاری که اختصار (User and Entity Behavior Analytics) هست یک تکنیک امنیت سایبری است که از الگوریتم‌های یادگیری ماشین (ML) برای شناسایی فعالیت‌های غیرعادی کاربران، میزبان‌ها و سایر موجودیت‌ها در یک شبکه استفاده می‌کند. در دنیای امروز، سازمان‌ها به شدت تحت تأثیر تهدیدات امنیتی سایبری قرار دارند و استفاده از سیستم‌های UEBA (User and Entity Behavior Analytics) برای شناسایی رفتارهای مشکوک و محافظت از منابع اطلاعاتی اهمیت بیشتری پیدا کرده است. اما پیش از پیاده‌سازی UEBA، سازمان‌ها باید به چندین سوال اساسی پاسخ دهند تا از اثربخشی این سیستم‌ها اطمینان حاصل کنند: پاسخ به این پرسش‌ها می‌تواند به سازمان‌ها کمک کند تا مطمئن شوند که سیستم‌های UEBA به درستی پیاده‌سازی شده‌اند و از آن‌ها به‌طور مؤثر در مقابل تهدیدات استفاده می‌شود برای تشخیص ناهنجاری‌ها، UEBA ابتدا در مورد رفتار مورد انتظار همه کاربران و نهادهای موجود در یک شبکه یاد می‌گیرد و پایه‌ای از فعالیت‌های منظم را برای هر یک از آنها ایجاد می‌کند. هر فعالیتی که از این خط پایه منحرف شود به عنوان یک ناهنجاری علامت‌گذاری می‌شود. راه‌حل‌های UEBA با کسب تجربه بیشتر مؤثرتر می‌شوند. برای درک اینکه چگونه UEBA یک نمایه رفتاری برای هر کاربر ایجاد می‌کند، بیایید مثالی را مرور کنیم و بفهمیم که ابتدا انسان‌ها چگونه این کار را انجام می‌دهند. فرض کنید جان، یک کارآموز بازاریابی تازه استخدام‌شده است. در اولین روز کارش، نگهبان امنیتی او را به عنوان فردی جدید می‌شناسد و توجه زیادی می‌کند تا اطمینان حاصل شود که تمام مدارک او بررسی می‌شود. نگهبان همچنین زمان ورود و خروج جان از مرکز را ردیابی می‌کند. او برای چند روز فعالیت جان را زیر نظر دارد و با الگوی زمانی مورد انتظار او آشنا می‌شود — ورود در ساعت 10 صبح و خروج در ساعت 6 بعد از ظهر. هر گونه انحراف از این، مانند ورود جان در ساعت 5 صبح، سوءظن نگهبان را برمی‌انگیزد. به این ترتیب انسان یک ناهنجاری را تشخیص می‌دهد. به طور مشابه، الگوریتم ML در یک راه‌حل SIEM یکپارچه UEBA، داده‌های گزارش را برای ایجاد الگوها در شبکه شما نظارت می‌کند. به عنوان مثال، زمان ورود و خروج کاربر و اقدامات آنها در دستگاه‌های خاص، راه‌حل SIEM را در مورد فعالیت‌هایی که از آن کاربر انتظار می‌رود، مطلع می‌سازد. هنگامی که موتور UEBA فعالیت‌ها را برای چند روز نظارت می‌کند، رفتار مورد انتظار کاربر، از جمله هرگونه انحراف از آن را می‌داند. امتیاز ریسک کاربر برای نشان دادن شدت تهدید افزایش می‌یابد و راه‌حل SIEM یک هشدار را برای تحلیلگران امنیتی علامت‌گذاری می‌کند. اما اگر یک انسان می‌تواند این کار را انجام دهد، چرا به UEBA نیاز داریم؟ زیرا از نظر انسانی امکان‌پذیر نیست که تیم امنیتی شما به طور مداوم رفتار هزاران کارمندی را که در سازمان شما کار می‌کنند مشاهده و تجزیه و تحلیل کند. بنابراین UEBA کمک می‌کند تا گزارش‌هایی در مورد فعالیت‌های غیرعادی در بخش‌های مختلف شبکه ایجاد کرده و بلافاصله اقدامات مناسب انجام دهید. UEBA چه نوع ناهنجاری‌هایی را می‌تواند شناسایی کند؟ UEBA ناهنجاری‌های مرتبط با زمان، تعداد و الگو را شناسایی می‌کند. بیایید نگاهی به معنای هر یک از این‌ها بیندازیم.

 سازمان‌ها به دلیل وابستگی به فناوری و داده‌ها، نیازمند برنامه‌ریزی مؤثری برای مدیریت بحران و بازیابی از حوادث غیرمنتظره هستند. دو مفهوم کلیدی در این زمینه وجود دارد که به مدیریت ریسک و بازیابی اطلاعات کمک می‌کند: RTO (Recovery Time Objective) و RPO (Recovery Point Objective). در این مطلب جذاب و مفصل، مدانت به تشریح این دو مفهوم، اهمیت آن‌ها و نحوه تعیین آن‌ها خواهد پرداخت. در جدول زیر، اطلاعات مربوط به RTO و RPO به همراه عوامل مؤثر، اهمیت، و نحوه تعیین آن‌ها به‌طور خلاصه ارائه شده است: موضوع RTO (هدف زمان بازیابی) RPO (هدف نقطه بازیابی) تعریف حداکثر زمان قابل قبول برای بازگشت به عملیات عادی پس از یک حادثه. حداکثر زمان قابل قبول برای از دست دادن داده‌ها پس از یک حادثه. عوامل مؤثر 1. نوع کسب‌وکار2. تأثیرات مالی3. تجربه‌های قبلی 1. نوع داده‌ها2. هزینه‌های ذخیره‌سازی3. نیازهای قانونی اهمیت 1. تعیین استراتژی‌های بازیابی2. مدیریت هزینه‌ها3. بهبود تصمیم‌گیری 1. تعیین استراتژی‌های بازیابی2. مدیریت هزینه‌ها3. بهبود تصمیم‌گیری نحوه تعیین 1. تحلیل تأثیر بر کسب‌وکار (BIA)2. تعیین اولویت‌ها3. تست و به‌روزرسانی 1. تحلیل تأثیر بر کسب‌وکار (BIA)2. تعیین اولویت‌ها3. تست و به‌روزرسانی توضیحات بیشتر: RTO و RPO دو مفهوم کلیدی در مدیریت بحران و بازیابی اطلاعات هستند که تعیین آن‌ها می‌تواند به سازمان‌ها در حفظ عملکرد و کاهش خسارات ناشی از حوادث کمک کند. با درک عمیق از این مفاهیم و اجرای برنامه‌های مؤثر، سازمان‌ها می‌توانند به حداکثر کارایی در مواجهه با بحران‌ها دست یابند. در زیر یک جدول نمونه برای سناریوهای واقعی حوادث فناوری، شامل جزئیات مربوط به RTO و RPO، آمده است: سناریو شرح حادثه تأثیرات RTO RPO اقدامات بازیابی خرابی سرور سرور اصلی به دلیل نقص سخت‌افزاری از کار افتاده است. از دست رفتن دسترسی به برنامه‌ها و داده‌ها. 4 ساعت 1 ساعت استفاده از پشتیبان‌گیری ابری برای بازیابی داده‌ها و استفاده از سرور پشتیبان. حمله سایبری حمله DDOS باعث از کار افتادن وب‌سایت شرکت شده است. از دست رفتن مشتریان و آسیب به اعتبار برند. 2 ساعت 30 دقیقه استفاده از راهکارهای امنیتی و فایروال برای جلوگیری از حملات و راه‌اندازی مجدد وب‌سایت. آتش‌سوزی در مرکز داده آتش‌سوزی منجر به آسیب به تجهیزات و از دست رفتن داده‌ها می‌شود. از بین رفتن تمام سیستم‌های IT و داده‌ها. 24 ساعت 6 ساعت استفاده از سایت پشتیبان برای بازیابی سیستم‌ها و اطلاعات، و ارزیابی آسیب. قطع برق قطع برق ناگهانی در ساختمان منجر به خاموشی سیستم‌ها می‌شود. از دست رفتن دسترسی به سیستم‌ها و داده‌ها. 1 ساعت 15 دقیقه استفاده از منبع تغذیه بدون وقفه (UPS) و بررسی سیستم‌ها بعد از بازگشت برق. خطای انسانی یک کاربر به‌طور تصادفی داده‌های حیاتی را حذف می‌کند. از دست رفتن داده‌های مهم و نیاز به بازیابی. 3 ساعت 1 ساعت بازیابی داده‌ها از پشتیبان‌گیری‌های منظم و آموزش کارکنان برای جلوگیری از خطا. توضیحات: این جدول می‌تواند به سازمان‌ها کمک کند تا در مورد حوادث فناوری و نحوه مدیریت آن‌ها برنامه‌ریزی بهتری داشته باشند.

تحلیل تأثیر کسب‌وکار (Business Impact Analysis یا BIA) یکی از پایه‌های تداوم کسب‌وکار و Disaster Recovery است. BIA مشخص می‌کند کدام فرایندها و خدمات برای سازمان حیاتی‌اند، توقف آن‌ها چه اثری بر عملیات و ذی‌نفعان می‌گذارد و بازیابی باید با چه اولویتی انجام شود. BIA چه سؤالاتی را پاسخ می‌دهد؟ کدام فرایند یا خدمت واقعاً حیاتی است؟ اثر مالی، عملیاتی، قراردادی و اعتباری توقف چیست؟ حداکثر چه مدت توقف قابل تحمل است؟ هدف زمان بازیابی یا RTO چقدر باید باشد؟ حداکثر از دست‌رفتن داده یا RPO چقدر قابل قبول است؟ چه وابستگی‌هایی مانند افراد، سامانه‌ها، شبکه، دیتابیس و تأمین‌کنندگان برای Recovery لازم‌اند؟ تفاوت BIA و Risk Assessment Risk Assessment می‌پرسد چه تهدیدی ممکن است رخ دهد، احتمال آن چقدر است و چه پیامدی دارد. BIA می‌پرسد اگر یک خدمت یا فرایند متوقف شد، شدت اثر آن در طول زمان چگونه تغییر می‌کند و چه زمانی این توقف دیگر قابل تحمل نیست. خروجی‌های اصلی BIA خروجی کاربرد Criticality اولویت‌بندی فرایندها و خدمات Maximum Tolerable Downtime حداکثر توقف قابل تحمل RTO هدف زمانی بازیابی خدمت RPO حداکثر از دست‌رفتن داده قابل قبول Dependency Map شناخت سامانه‌ها، افراد و منابع لازم برای Recovery Recovery Priority ترتیب بازگرداندن سرویس‌ها سناریوی عملی فرض کنید ERP مالی، سامانه حضور و غیاب و پورتال عمومی هم‌زمان در سازمان وجود دارند. بدون BIA ممکن است هر سه «بحرانی» اعلام شوند. اما تحلیل اثر نشان می‌دهد ERP در پایان ماه پس از دو ساعت توقف، عملیات مالی را متوقف می‌کند؛ حضور و غیاب روش جایگزین موقت دارد؛ و پورتال عمومی بیشتر اثر اعتباری دارد. نتیجه این است که Recovery Priority بر اساس اثر کسب‌وکار تعیین می‌شود، نه صرفاً نظر تیم فنی. BIA و RTO/RPO چه ارتباطی دارند؟ RTO و RPO نباید صرفاً از توان فعلی Backup یا زیرساخت استخراج شوند. ابتدا کسب‌وکار باید میزان توقف و از دست‌رفتن داده قابل تحمل را مشخص کند، سپس معماری بازیابی باید برای دستیابی به این اهداف طراحی شود. برای ادامه، DRP چیست؟ و صفحه تداوم کسب‌وکار و Disaster Recovery را ببینید. سخن پایانی BIA فهرست سرورها نیست؛ ترجمه اثر اختلال فناوری به زبان کسب‌وکار است. هرچه این تحلیل دقیق‌تر باشد، RTO، RPO و استراتژی بازیابی واقع‌بینانه‌تر خواهند بود.