PracticU

הסבר על SIEM

בלי כתוביותעם כתוביות
PracticU › קורס SOC - מיישם הגנת סייבר › הסבר על SIEM
מילון מושגים:
SIEM - מערכת שאוספת ומנתחת לוגים ואירועי אבטחה ממקורות רבים, לזיהוי איומים ולתגובה מרוכזת.
VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.
IDS - מערכת לזיהוי חדירות שמנטרת תעבורת רשת או מערכת ומתריעה על פעילות חשודה.
SOC - מרכז בקרת אבטחה: צוות ומערכות שמנטרים, מזהים ומגיבים לאירועי אבטחת מידע בארגון.
IPS - מערכת למניעת חדירות שמזהה תעבורה זדונית וחוסמת אותה בזמן אמת.
USB - תקן חיבור אוניברסלי לחיבור התקנים למחשב, כמו זיכרון נייד, מקלדת או מדפסת.
דוח - מסמך או תצוגה שמסכמים נתונים בצורה מאורגנת לצורך הבנה וקבלת החלטות.
בינה מלאכותית - תחום במדעי המחשב שעוסק בבניית מערכות המסוגלות לבצע משימות הדורשות בדרך כלל אינטליגנציה אנושית.
הסבר על SIEM

בשיעור זה מתחילים את המודול השני ולומדים מהו SIEM ולמה הוא כל כך חשוב, רואים את הבעיה של ניהול לוגים בארגון גדול בלי מערכת מרכזית, מכירים את יכולות האיסוף, הנרמול וההתרעה של המערכת, ומבינים את הדרישות הרגולטוריות ואת מודל הענן.
נושאי הסיכום המוצגים בשיעור:
1. מהו SIEM: מערכת SIEM מרכזת את כל אירועי אבטחת המידע, את כל מה שקורה במאות המחשבים של המשתמשים ובכל השרתים, הכל מתנקז למערכת אחת מרכזית שממנה צופים ומנתחים מידע.
2. העולם לפני ה-SIEM: לפני המערכות האלה היה צריך להיכנס לכל מחשב ולכל שרת בנפרד ולעבור ידנית על יומני האירועים, ואפילו שרת חדש שכמעט לא בשימוש מייצר המון אירועים, עדכונים, לוגינים ותקלות עם מקור ופירוט, כך שבארגון עם מאות או אלפי שרתים אי אפשר לעבור על הכל כל בוקר.
3. למה המערכות האלה חדשות: מערכות ה-SIEM קיימות כעשר עד חמש עשרה שנה, הרעיון הופיע לראשונה בשנת 2005, והן התפתחו יחד עם ההתפתחות של התקפות הסייבר, כאחת ממערכות ההגנה.
4. התרעות בזמן אמת: SIEM נותן התרעות בזמן אמת ומאפשר לאנשי ה-IT לגלות התקפות סייבר בזמן שהן קורות, למשל עובד שגר בראשון לציון שהשם המשתמש שלו מתחבר פתאום מאפריקה או מלזיה, או משתמש שהיה ברשת הפנימית ופתאום מתחבר ב-VPN מבחוץ, ואולי גנבו לו שם וסיסמה.
5. הסכנה בסיסמה אחת להכל: הרבה משתמשים עושים אותה סיסמה גם לאתרים חיצוניים וגם לעבודה, ואם פורצים לאתר היכרויות באינטרנט וגונבים סיסמאות, התוקף מנסה באותה סיסמה להיכנס ל-VPN של מקום העבודה מתוך הנחה שהעובד משתמש בה בכל המקומות.
6. הדרך הנכונה לשמור סיסמאות: משתמשים בתוכנה כמו KeePass, שבה יש סיסמה ראשית אחת שרק אנחנו יודעים ולא משתמשים בה בשום מקום אחר, היא מצפינה את קובץ הסיסמאות המכיל סיסמה ייחודית לכל אתר, הקובץ נשמר בדיסק ומסונכרן לטלפון דרך דרופבוקס או גוגל דרייב אבל אינו בענן בצורה גלויה, וגם אם יגנבו את הקובץ הוא מוצפן בסיסמה שרק אנחנו יודעים, וכך כל מקום מקבל סיסמה אחרת, אפילו אקראית.
7. קונסולידציה וקורלציה: הדבר החשוב ביותר שה-SIEM עושה הוא איחוד וקישור בין זמנים ובין אירועים, הוא מחבר את כל הנקודות יחד מכל מערכות ההתרעה, אנטי וירוסים, פיירוולים, מערכות IDS, ניסיונות אימות, שרתים ודאטאבייסים, ומציג הכל לפי זמנים ומקומות.
8. נירמול הלוגים: במציאות לוגים של סיסקו כתובים בצורה אחת, לוגים של ווינדוס בצורה אחרת, כל ספק ציוד כותב אחרת ולינוקס בכלל בקבצי טקסט, וה-SIEM מרכז את הכל בצורה סטנדרטית אחידה ברשימה אחת, מה שנקרא נורמליזציה או data aggregation, כדי שיהיה קל לנתח ולקשר בין האירועים לפי הזמן.
9. התרעות דרך כל הערוצים: ה-SIEM לא רק מרכז אלא גם מקפיץ בעצמו התראות דרך אימייל, הודעות קובצות, סמס ואפילו שיחות טלפון, ותפקיד אנשי ה-SOC הוא לקבל את ההתראות האלה ולהתחיל להגיב, ולפעמים מזמינים מומחה מחברה חיצונית שיסייע בתחקיר האירוע.
10. עוצמת הקיבולת: מה שמיוחד ב-SIEM הוא היכולת לאגור המון המון אירועים, הקיבולת שלו ענקית בניגוד למחשב פרטי, יש בו המון מקום בדיסק ויכולת דיוק לבודד את האירועים בעלי הסיכון הגבוה.
11. ההבדל מול IDS ו-IPS: מערכות IDS ו-IPS, אלו שמזהות או מונעות חדירה, לרוב מותקנות בפיירוול ובתחנות עבודה והן מקומיות מאוד ומתריעות על משהו נקודתי, בעוד שה-SIEM לא מייצר לוג משלו אלא אוסף לוגים ממערכות אחרות, מעבד ומפיק מהם התרעות חכמות לפי הצורך.
12. הבעיה של התרעות שווא: מערכות ה-SIEM נותנות המון התרעות שווא, וראינו ארגונים שאיבדו אמון במערכת כי אנשים מתייאשים מהתרעות מתמדות, מישהו הכניס USB ומישהו טעה בסיסמה, ואם לא מכוילים את המערכת כמו שצריך קל מאוד להגיע לזלזול ולפספס אירוע אמיתי.
13. זיהוי תבניות תוקפים: מהמקום המרכזי אפשר לזהות פאטרנים, תבניות של שיטת פעולה של התוקף, לרוב מדובר בתוכנה אוטומטית שעושה בסדר קבוע פינג, ניסיון שם וסיסמה ועוד, ואם מזהים את התבנית הקבועה של מלוור זדוני אפשר לנטרל אותו, כי להילחם בתבנית ידועה הרבה יותר קל.
14. רנסומוור וכופר: יש תוכנות זדוניות שעובדות לגמרי באופן אוטומט, נכנסות, מתפשטות לכל הכיוונים ואחרי פרק זמן מצפינות את כל הדיסקים ודורשות כופר בביטקוין, ואין שום דרך לדעת אם ישחררו את המערכות אחרי התשלום, ולכן בדרך כלל עדיף לא לשלם אלא לשחזר הכל מגיבוי, למרות שארגונים גדולים שילמו.
15. דוגמה להתרעה חכמה: אם משתמש אחד פתאום מנסה להתחבר בו זמנית למאה שרתים ולהעתיק מהם קבצים, כנראה שווירוס חדר לתחנה שלו, וכל שרת רושם לוג שהמשתמש התחבר אליו, כך שכל לוג בנפרד נראה תקין אבל רק מהמקום המרכזי רואים שבאותה דקה היו מאה התחברויות, וזה מה שמקפיץ התרעה.
16. המשחק של רגישות: מתנהל משחק של חתול ועכבר, אם נהיה רגישים מדי נקבל הרבה התרעות שווא ונתחיל להתעלם מהן, ואם לא נהיה מספיק רגישים נפספס התקפה, וכשנתעורר יהיה מאוחר מדי, גנבו את המידע הסודי, הצפינו את הדיסקים, דרשו כופר ואיימו לחשוף פרטי לקוחות.
17. זה קורה גם לענקים: תקריות כאלה קרו גם בחברת סוני ובארגונים ענקיים עם כסף והגנות, ואפילו חדרו למשרד ההגנה האמריקאי דרך ספק צד שלישי, חברה שסמכו עליה עם חיבור VPN בין שתי החברות, שהיא עצמה לא הייתה מספיק מאובטחת.
18. עייפות התראות: התרעות שווא שחוזרות על עצמן הן לדעת המרצה הבעיה המרכזית, וקיים מושג שנקרא alert fatigue, עייפות מהתרעות, כי כולם קונים SIEM, מגדירים אותו קצת ואחר כך אין כוח להתעסק בו, וכשקורה אירוע מתעוררים מאוחר מדי.
19. מציאות של מנהלי רשת: בארגונים גדולים יש מעל אלף שרתים וחמישה מנהלי רשת בלבד, המנהלים מטפלים רק בשרתים ויש מחלקת הלפדסק למשתמשים, וכשאחראי על מאות שרתים קל מאוד לפספס דברים, ובווינדוס יש custom views לסינון אירועים אבל זה רק ברמת מחשב בודד.
20. רגולציה וקומפליינס: SIEM הוא לא רק מומלץ אלא לפעמים נדרש בחוק, חברות שמתעסקות בכרטיסי אשראי מחויבות בתקן PCI ומזמינות בדיקה חיצונית פעם בשנה, יש תקן אירופי GDPR, ותקני ISO, ולהיות תואם לתקנות נקרא compliance, ובנקים, חברות ביטוח וקופות חולים מחויבים לפי חוק שיהיה להם SIEM.
21. זרימת המידע במערכת: התהליך מתחיל ב-ingest, קבלת הלוג ממקור כלשהו עם קונקטור מיוחד לכל סוג מקור שיודע להבין את השפה שלו, ואחר כך מעבדים את המידע לצורה תקנית וסטנדרטית כך שכל הלוגים מכל המערכות ייכנסו לטבלה אחת שאפשר להבין ולקשר בין הזמנים.
22. שלושת השלבים והתוצר: יש שלושה שלבים, איסוף מידע, נרמול המידע, וייצור חוקי detection והתראות, והתוצר הוא דשבורדים שמראים מה קורה, דוחות והתרעות על תקריות, כדי שצוות ה-SOC יוכל לזהות את הבעיות ולהגיב אליהן.
23. חוכמה מובנית וספים: בתוך ה-SIEM יש חוכמה מובנית לזיהוי דברים מסוכנים, וכדי שלא יהיו התרעות שווא משתמשים ב-thresholds, סף מינימום שצריך לעבור, למשל התרעה רק אחרי חמישה ניסיונות סיסמה שגויים, ואפשר להתאים ספים לכל משתמש, כמו משתמש שידוע שמתבלבל ומותר לו להתבלבל עד עשרים פעמים, ובענן גם רגישות גבוהה מאוד לניסיונות VPN מבחוץ.
24. SIEM עם בינה מלאכותית: יש היום SIEM מתוחכמים שמשלבים AI שמנתח לבד התנהגות חשודה גם בלי תכנות מראש, המערכת לומדת את ההתנהגות הרגילה ואת ה-baseline של הארגון עם מכונת למידה, וכשיש חריגה מהתבניות הקבועות היא מקפיצה התראה.
25. SOC בצד שלישי ומודל הענן: אנשי SOC בהרבה ארגונים לא נשארים במקום העבודה בלילה, ואת שירותי ה-SOC של הלילה מעבירים לחברת צד שלישי, וה-SIEM עצמו יכול להיות on-premise בתוך החברה או בענן, כאשר בענן השרת הפיזי נמצא אצל אחרים, כמה ארגונים חולקים שרת חזק אחד והעלויות מתחלקות ביניהם, כפי שנהוג בעולם אתרי האינטרנט שצורכים מעט משאבים.
סיכום:
בשיעור זה הבנו מהו SIEM ומדוע הוא הפך להיות הכרחי בניהול אירועי אבטחה בארגון, ראינו את הבעיה של התרוצצות בין מאות שרתים וחיבור ידני של אירועים, למדנו את שלושת השלבים של המערכת, איסוף, נרמול והפקת חוקים והתראות, הכרנו את האתגר של התרעות שווא ועייפות ההתרעות ואת הפתרונות של ספים וכיול ואפילו AI שלומד את ההתנהגות הרגילה, וראינו את ההיבטים הרגולטוריים ואת מודל הענן שבו העלויות מתחלקות בין ארגונים.
SR13623HE

פרקי ההרצאה: הסבר על SIEM

  1. 00:00

    מהי מערכת SIEM

  2. 00:37

    הדגמת Event Viewer בשרת בודד

  3. 01:15

    אתגר ריבוי השרתים בארגון

  4. 01:52

    מערכות SIEM מסחריות

  5. 03:06

    זיהוי התקפות בזמן אמת

  6. 03:57

    שימוש חוזר בסיסמאות ו-KeePass

  7. 05:25

    קונסולידציה וקורלציה של אירועים

תמלול ההרצאה: הסבר על SIEM

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על SIEM» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם, בהרצאה זו נדבר על סים, מה זה סים ולמה הוא כל כך חשוב. למעשה סים זאת מערכת שמרכזת את כל אירועי אבטחת המידע, את כל האיבנטים, את כל מה שקורה במאות המחשבים של היוזרים וגם בכל השרתים שלנו.

  2. 00:20

    הכל מתנקז למערכת אחת מרכזית, ואנחנו מסתכלים ומנתחים מידע מתוכה. לפני שהיו מערכות סים בתחילת שנות האלפיים, צריך להיכנס לכל מחשב בנפרד לכל שרת בנפרד לדוגמה יש לי פה שרת 2025 אני עושה רייט קליק הוא נראה כמו windows 11 ונכנס פה ל event viewer זה אירועים שקרו בשרת אחד ואתם יכולים לראות פה שבשרת שאפילו לא פעיל סתם התקנתי

  3. 00:51

    שרת עוד לא עשיתי בו שימוש אפילו תראו כמה אירועים קורים בווינדוס כל מיני עדכונים לוגין יש יומן אירועים של כל מיני תוכנות שאומרות שהייתה פה איזושהי שגיאה, איזושהי תקלה, תקלה מספר 16, ואפשר אפילו לראות מי הסורס, סיקיוריטי סנטר.

  4. 01:09

    אתם רואים, פעמיים קרתה תקלה מספר 16, ופה למטה יש לי גם את הפירוט על התקלה הזאת. עכשיו, זה קורה בתחנה אחת, בשרת אחת. תחשבו שיש לי בארגון מאות שרתים, אם לא אלפי שרתים, ואלפי תחנות עבודה, נניח בית חולים, או חברת תקשורת כלשהי, או טלפוניה, כל חברה בינונית עד גדולה יש לה מאות אם לא אלפים של מחשבים וצריך לרכז את הכל במקום אחד אי אפשר כל בוקר לבוא ולעבור פה על כל

  5. 01:37

    הלוגים בכל היומנים בסקיוריטי באפליקיישן בסיסטם אנחנו רוצים הכל במקום מרכזי אפילו מייקרוסופט עצמם עשו בחינם forwarded events אירועים שהגיעו אלינו ממחשבים אחרים אבל הדבר הזה לא רציני כי אנחנו רוצים לא רק אירועים מווינדוסים אנחנו רוצים גם מלינוקסים גם מפיירוולים אנחנו רוצים לרכז את הכל ולקבל התרעות שהמערכת

  6. 02:01

    גם תינתח אותם. בשביל זה המציאו את סים. סים נראה משהו כזה דבר, זה של IBM, מערכת שנקראת Q-Radar, שמרכזת פה אלפי אירועים מכל מיני כתובות IP, איזה יוזר נכנס.

  7. 02:16

    לדוגמה, פה במערכת של מקאפי אנחנו רואים שיש להם כרגע איזה 500 אלף אירועים לפי דרגות חומרה, לפי כתובות IP. אנחנו ניכנס לכל הדקויות האלו בהמשך.

  8. 02:27

    יש גם מערכת של סים של מייקרוסופט. האמת שבלי מערכות סים אי אפשר היום לנהל אירוע, כי צריך להתרוצץ בין מאות שרתים, ולא רק להתרוצץ, גם לחבר מה קרה באיזה שרת באיזה דקה.

  9. 02:41

    במקום לעשות את זה עדנית, יש לנו מערכות סים. דרך אגב, כל המערכות סים האלו הן די חדשות. הן קיימות 10, אולי 15 שנה. זאת אומרת, כשהייתי צעיר ויפה, לא היו מערכות סים.

  10. 02:52

    גם אירועי הסייבר היו ממש מעטים. יחד עם ההתפתחות של התקפות סייבר גם התפתחו מערכות אנטי-סייבר, אנטי-התקפות, מערכות הגנה, ואחת מהן זאת סים.

  11. 03:02

    שימו לב, סים נותן התרעות בזמן אמת, משהו שבן אדם רגיל לא יצליח לעשות עם מאות השרתים שיש בכל ארגון, כולל חומרה וכולל תוכנה וכולל אירועי אבטחה. סים מאפשר לאנשי ה-IT, שזה בעצם אנחנו, לגלות סייבר-אטאקס בזמן שהם קוראים, כי הוא מקפיץ לי ישר אירוע.

  12. 03:22

    לדוגמא, עובד שגר בראשון, פתאום היוזרנם שלו מתחבר מאפריקה, מאיזה מלזיה. אז הוא ישר מקפיץ לי התראה שמישהו מנסה לפרוץ, אולי גנבו לו שם וסיסמה.

  13. 03:35

    או יוזר שעשה לוגין בתוך רשת פנימית, פתאום מתחבר ב-VPN מבחוץ, שזה גם מקפיץ התראה. כשמישהו מנסה לחדור פנימה, יכול להיות שהוא גנב שם וסיסמה של יוזר. כי הרבה יוזרים והרבה משתמשים עושים אותה סיסמה גם לאתרים חיצוניים וגם לעבודה, ואם מישהו פורץ לאיזשהו אתר היכירויות באינטרנט וגונב את כל הסיסמאות שמה,

  14. 03:57

    פתאום קולט שזה אימייל של עובד באיזושהי חברה, והוא מנסה עם אותה סיסמה של אתר היכירויות להיכנס ל-VPN במקום העבודה, מתוך הנחת יסוד שאולי העובד הזה בתמימות שלו משתמש באותה סיסמה בכל המקומות.

  15. 04:12

    למעשה הדרך הנכונה לשמור סיסמאות זה בתוכנה שנקראת KIPAS, ואז יש לי סיסמה אחת ראשית שרק אני יודע אותה, ולא משתמש בה בשום מקום אחר.

  16. 04:23

    הסיסמה הראשית הזאת, מאסטר פאסוורד, מצפין את קובץ הראשי של תוכנת קיפאס, ובתוך התוכנה הזאת יש לי את כל אתרי האינטרנט שאני משתמש בהם, ולכל אתר סיסמה ייחודית משלו.

  17. 04:35

    זאת אומרת, קיפאס הזה שומר לי את כל הסיסמאות, ושימו לב, זה נמצא אצלי בארדיסק, ומסתנכן דרך דרופבוקס או דרך גוגל דרייב גם לטלפון שלי.

  18. 04:45

    אבל זה לא נמצא בשום מקום בענן, וגם אם מישהו יפרוץ לי לג'ימל או לטלפון לא יעזור לו כי קובץ הסיסמאות הזה הדאטאבייס הזה עם כל הסיסמאות הוא בעצמו מוצפן עם סיסמה שרק אני יודע זאת אומרת לא יעזור לכם לגנוב לי את הקובץ הזה בקיצור לא להשתמש באותה סיסמה בכל המקומות כל מקום סיסמה אחרת אפילו אקראית

  19. 05:08

    ואת הסיסמאות לשמור בקיפס תוכנה חינמית שעובדת גם בטלפון וגם במחשב ואז הם יפרצו לאיזשהו אתר שאתם הייתם שם רשומים והם ידעו את האימייל שלכם הם לא יוכלו לנצל את זה כדי להיכנס לאתרים אחרים או למערכות בתוך הארגון בכלל המושג הזה של סים פעם ראשונה

  20. 05:27

    הופיע בשנת 2005 רק המציאו את הרעיון הזה והדבר הכי חשוב שזה עושה זה עושה קונסולידציה איחוד וקורליישן קישור בין זמנים בין אירועים מחבר את כל הנקודות ביחד מכל מערכות התרעה כמו מערכות של אנטיווירוס מערכות של פיירוול מערכות של IDS, Intrusion Detection System, ניסיונות של אותטיקציה של לימוד שם וסיסמה,

  21. 05:53

    שרתים, דאטאבייסים. הוא מרכז הכל, ולא רק מרכז, גם נותן לי את זה לפי זמנים, איפה, מה קורה. בפועל זה התחיל להיכנס לארגונים, לדעתי אחרי 2010. הנה הם כותבים כאן שסין אוסף מידע ממחשבים, Network Devices, התקני רשת כמו סוויצ'ים וראוטרים, שרתים,

  22. 06:13

    והוא מביא לי את המידע הזה בצורה סטנדרטית שהכל במקום אחד בתקן אחד וקונסולידייט מאוחד ברשימה אחת כדי שיהיה לי קל לנתח את זה כי תחשבו במציאות לוגים של סיסקו כתובים בצורה אחת לוגים של ווינדוס בצורה אחרת וכל ספק ציוד נניח 40 גייט כותב לוגים בצורה אחרת ולינוקס בכלל בקבצי טקסט וצריך לחפור לחפש אותם כל זה מתרכז לשים בצורה סטנדרטית אחידה מאוחדת ברשימה אחת וזה ממש ממש נוח ולא רק

לקורס המלא: קורס SOC אונליין – מיישם הגנת סייבר

ההרצאה הקודמת: דו"ח לאחר הפריצה

ההרצאה הבאה: הסבר על ElasticSearch - חלק 1

קורסים נוספים במסלול

  • קורס סייבר למתחילים - Hacking - בדיקות חוסן תשתיתי ופריצה ל-Windows 10/11 - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לתשתית ארגונית - בדיקות חוסן מתקדמות ל-Active Directory - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לאתרי אינטרנט - בדיקות חוסן לאתרים - Web Pentesting - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס סייבר והאקינג ל-Android - פריצה לטלפונים ואפליקציות אנדרואיד - בודק חוסן - Mobile App Pentesting