Tel Aviv Stock Exchange CISO: beter gebruik maken van uw SIEM

Tel Aviv Stock Exchange CISO: beter gebruik maken van uw SIEM

Tijdstempel: 18 augustus 2023 2:18 uur

Voor Gil Shua komt het maximale uit het SIEM-systeem (Security Information Event Management) voor de Tel Aviv Stock Exchange neer op het verkrijgen van de juiste signaal-ruisverhouding. Dat, en het schrijven van de juiste regels.

De signaal-ruisverhouding komt, zoals elke radiofrequentie-ingenieur weet, neer op de hoeveelheden feitelijke inhoud (signaal) tot statische en andere sonische verstoringen (ruis). Voor Shua is het doel om de hoeveelheid ruis die naar de SIEM wordt gestuurd te minimaliseren ten gunste van bruikbare inhoud. Hij is op zoek naar iets waardoor hij opstaat van zijn bureau met het besef: “We hebben een probleem; we hebben iets dat we nu willen aanpakken en oplossen.

Shua heeft meer dan tien jaar in verschillende beveiligingsfuncties gewerkt bij de Tel Aviv Stock Exchange (TASE) en werd in 2022 benoemd tot CISO. Gedurende die tijd is het volgens hem een ​​“constante jacht op databronnen” geweest om ervoor te zorgen dat het signaal De verhouding tussen ruis en ruis verschuift ten gunste van signaalgegevens om de mogelijkheden en voordelen van de SIEM van de centrale te maximaliseren.

Tel Aviv Stock Exchange-CISO Gil Shua

Tel Aviv Stock Exchange-CISO Gil Shua. Bron: Gil Shua, beurs van Tel Aviv

Het filteren van de ruis

Voor Shua en zijn team is er veel werk aan de winkel, want bij de meeste SIEM's zie je veel ruis en niet veel signaal. Dit leidt tot fout-positieven en verkeerde configuraties, wat op zijn beurt extra werk creëert voor het SOC-team, de productiviteit verlaagt en een belemmering vormt voor proberen een SIEM werkend te krijgen.

Om dit tot een minimum te beperken, zegt Shua dat het SOC-team regels kan schrijven voor de manier waarop de SIEM binnenkomende gegevens verwerkt, maar het opstellen van die regels kost ook waardevolle tijd van het SOC-team.

Maar het schrijven van SIEM-correlatieregels is relatief eenvoudig als de SIEM-oplossing al over vooraf gedefinieerde logparsing en regels voor de rapportagetoepassing beschikt, zegt Shua. Maar voordat er regels kunnen worden geschreven, moet het SOC-team: 

  • Ontdek de datastructuur en identificeer relevante velden die nodig zijn voor de regel.
  • Begrijp de logica van de rapportagesystemen, aangezien deze mogelijk hun eigen logstandaarden hebben.
  • Creëer een exacte regelcorrelatie en analyseer uitzonderingen.
  • Uitvoeren van kwaliteitsborging en testen.

Deze actie-items kunnen elk een paar uur duren, maar als ze complexer zijn, kan het dagen duren om ze te voltooien, voegt Shua toe.

“Als je een SIEM opzet, heb je twee zorgen. Eén daarvan is: 'Heb ik de regels die mij beschermen tegen relevante aanvallen... ben ik gedekt door effectieve regels?' Het tweede punt is: 'Krijg ik de informatie uit de rapportagesystemen die deze regels in werking zullen stellen?'.”

De recente toevoeging van het CardinalOps-platform heeft de Splunk Enterprise bij TASE verbeterd; Shua zegt dat het proces van het schrijven van regels enorm is verminderd: er zijn 85 regels geproduceerd in de paar maanden dat deze specifieke technologie in gebruik is. “Het team is meer gefocust op het implementeren van regels en het testen ervan, en niet op het schrijven ervan, wat het meest tijdrovende proces in de link was”, voegt hij eraan toe.

Dus zijn SIEM’s de tijd en het geld waard die worden besteed aan correlatie en het schrijven van regels? Shua geeft toe dat het onderhouden van een SIEM een veeleisende taak is, omdat er voortdurend updates en aanpassingen nodig zijn. Ondanks alle inspanningen kunnen sommige aanvallen onopgemerkt blijven vanwege een gebrek aan zichtbaarheid of bijpassende regels.

“Ik verwacht dat toekomstige oplossingen gebruik zullen maken van automatiseringsmogelijkheden voor autonome regelcreatie en -respons, out-of-the-box”, zegt Shua. 

En omdat SIEM's gegevens uit vele bronnen halen, moeten ze efficiënter worden bij het verwerken, analyseren en opslaan van gegevens in verschillende formaten. “Je moet aanpassingen maken om deze in stand te houden”, zegt Shua, eraan toevoegend dat ongepast verandermanagement betekent dat een organisatie waarschijnlijk bepaalde beveiligingsgebeurtenissen zal missen.

Tijdstempel:

Meer van Donkere lezing