พื้นฐานการทำงานดังนี้
1. ระบบเฝ้าระวังภัยคุกคามและสิ่งผิดปกติที่เกิดขึ้นบนระบบเครือข่าย ภายในและภายนอก และรายงานผล(Intrusion Detection / Prevention System)
2. ระบบประเมินความเสี่ยง เพื่อตรวจหาจุดเสี่ยง และรายงานผลแนวทางการแก้ไข (Vulnerability Assessment)
3. ระบบตรวจสอบ ผลเหตุการณ์ภัยคุกคามที่เกิดขึ้นในเครือข่ายคอมพิวเตอร์ โดยเทียบตามมาตรฐาน ISO17799 (Network Security Compliance)
คลิกที่รูปเพื่อดูภาพใหญ่
เป็นระบบที่สมบูรณ์และเหมาะสมกับการสร้าง SOC แบบพอเพียง ขึ้น ประโยชน์ที่ใช้ SRAN ในการทำ SOC
1. ประหยัดงบประมาณในการลงทุนเทคนิคโนโลยี
2. การประมวลผล สามารถแสดงผลผ่าน Web-Application (TCP ผ่าน HTTPS) จะประหยัด Bandwidth เครือข่ายได้มากกว่า การส่ง DB หรือ Syslog แบบ Out of Band
3. ภัยคุกคามจากการ เฝ้าระวังผ่าน Web Monitoring มีน้อยกว่า ที่ต้องให้ Firewall เปิด port syslog หรือ DataBase ที่ต้องเปิด port 514 UDP สำหรับ syslog หรือ port 1433 TCP สำหรับ MS SQL หรือ port 3306 TCP หรืออื่นๆ ที่เกี่ยวข้องกับ DataBase Application
4. สะดวก ในการบริหารจัดการ ทั้งในแง่การติดตั้ง ออกแบบ และรวมศูนย์ควบคุม
5. เป็นเทคโนโลยี ที่เราสามารถควบคุมเองได้ สร้างเป็นต้นแบบสำหรับใช้ในงานด้านความมั่นคงของชาติ
ในแผนการปฏิบัติงานในศูนย์เตือนภัยทางระบบเครือข่าย มีการประยุกต์แผนนี้จาก MSSP จาก Cert Team โดยมีผังกล่องส่วนการทำงาน Incident Response Procedure ดังนี้
นี่เป็นภาพที่พึ่งร่างเสร็จในเครื่องคอมที่ใช้ประจำ มีความพยายามที่จะเสนออุปกรณ์ SRAN กับการสร้างศูนย์เตือนภัยทางระบบเครือข่าย หรือที่เรียกว่า SOC (Security Operation Center) ให้เข้าใจง่ายที่สุด สำหรับการนำไปใช้จริง
เราคงต้องเดินหน้าต่อไป สำหรับวิธีการออกแบบศูนย์เตือนภัยทางระบบเครือข่ายคอมพิวเตอร์ ที่ประหยัดงบประมาณ และมีประสิทธิภาพมากที่สุดให้ได้
อ่านต่อการหน้าจอการตรวจจับสิ่งผิดปกติที่เกิดขึ้นบนระบบเครือข่ายได้ที่ SRAN System LAB (16/01/50)
รายงานผล Log ที่เกิดขึ้นจากระบบที่สอดคล้องกับ ISO 17799 อ่านได้ที่ SRAN Network Security Compliance (05/12/49)
การประยุกต์ส่ง syslog SRAN ให้ใช้งานกับ Core Switch อ่านได้ที่ ทดสอบ SRAN ส่ง syslog ใช้กับอุปกรณ์ Switch Alcatel
ทิ้งท้าย Blog นี้ ด้วยเพลง Walk on ของ U2 ลองฟังกันดูครับ
ไม่มีความคิดเห็น:
แสดงความคิดเห็น