SIEM合规审计平台

SIEM合规审计平台AgendaMcAfeeSIEM系统介绍相关报表仪表板介绍UseCase介绍资质和成功案例介绍SIEM介绍SecurityInformation&EventManagement(SIEM)是两种不同技术的演变和整合安全事件管理(SEM)主要目的是收集和统计安全事件信息安全管理(SIM)主要目的是标准化和关联安全事件，进行深入挖掘SecurityInformation&EventManagement(SIEM)采用了如下技术:日志数据收集关联统计标准化保存分析和工作流123驱动SIEM部署实施的三个主要因素实时地威胁可视性安全运维的高效性

合规和日志管理的需求分布式部署和Combo设备McAfeeADM应用程序数据监控Layer7数据解码完整的原始数据收集应用可视性100sofapplicationsand500+documenttypes数据可视性监控主流数据库的数据流McAfeeDBM数据库访问行为监控数据库日志采集会话审计风险评分发现潜在威胁高级关联分析基于风险的关联分析历史数据关联分析McAfeeACE资产信息和环境信息漏洞信息处于最高风险的资产McAfeeESM集中展现和分析合规和报表策略管理McAfeeReceiver第三方日志事件收集网络流量数据收集支持Vmware虚拟化收集器McAfeeELM日志管理日志存储存储管理SAN/CIFS/NFS/LocalSIEM介绍DASCIFSNFSSANiSCSIEventReceiver3rdPartyLog/Event/FlowCollectionReceiverELMESMEnterpriseLogManagerFullyintegratedCompliantLogManagementReceiverAESEncryptedChannelAESEncryptedChannelReceiver原始日志数据的归档管理Receiver直接将原始日志转发给ELMELM数据库可同时管理原始日志和解析过的日志原始日志完整性管理完整性校验,确保日志的不可辩驳性原始日志压缩管理最高达20:1的压缩比,有效节省存储空间灵活的存储管理支持本地,DAS,SAN,CIFS,NFS,iSCSI支持冗余ELM日志管理平台介绍报表仪表板介绍缺省报表仪表板模板ISO27000BASELIIEU8thDirectiveFISMAGIODOGLBA数百张报表模板GPG-13HIPAANERCPCISOXISO27000相关模板PCI相关模板SOX相关模板定制报表样例AD用户密码超过180天未修改的帐户清单定制报表样例AD用户密码超过180天未修改的过期帐户清单定制报表样例UNIX/Linux服务器关机和重启事件定制报表样例UNIX/Linux服务器SU提权操作时间定制报表样例UNIX/Linux服务器修改密码事件定制报表样例UNIX/Linux服务器用户添加删除事件定制报表样例Windows服务器上所有的帐户变更事件定制报表样例Windows服务器上组变更事件定制报表样例Windows服务器上密码修改事件定制报表样例Windows服务器上登录成功事件定制报表样例Windows服务器上登录失败事件定制报表样例Windows服务器关机和重启事件定制报表样例数据库连接访问事件定制报表样例数据库建用户授权事件定制报表样例应急VPN登录事件UseCase介绍开箱即用的关联分析规则200多种关联规则免费提供给用户关联规则可以分为外部攻击威胁和内部合规审计两大类根据用户需要订制关联规则内部合规审计类外部攻击威胁类AttempteddatabaseconfigurationchangebyaremotehostBruteforceattemptsagainsttelnetserviceLogonwithoutcorrespondingLogoffonaninternalIPMultipleeventsforDatabaseusedetectedonahostMultipleeventsforPeer-to-PeeronahostMultipleeventsforunauthorizedIPaddressconnectiondetectedonahostMultiplefailedloginattemptsfromonesourceOff-hoursEventsfromaNon-CompanyGeolocationOff-hoursEventsfromaSuspiciousGeolocationRepeateddatabaselogonfailuresbysuperuserSameUserLogonfromDifferentGeolocationSameUserLogonfromDifferentHostSuccessfulHostloginaftermultiplefailedattemptsfromonesourceAnomalousactivityafterexploitBackdoorafterbuffer-overflowattackConfickerworm-possibleactivitydetectedGTI-RemoteShellCommunicationwithSuspiciousHostGTI-SuccessfulLoginfromSuspiciousHostHorizontalScanfromasinglesystemtomultipledestinationsPhishingattack-repeatedAccessDeniedandDatabaseAccessDeniedErrorsPossibleBotnetIRC/IMconnectionPossibleBotnetP2PconnectionProjectBlitzkrieg-CommunicationwithKnownCommandandControlServerSQLInjectionattack-fromsamesourceSuccessfullocalafterexploitattemptSuccessfullocalaftermalwareattemptVirusActivityAcrossMultipleSystems合规UseCase规则说明：发现源地址为非堡垒机的访问登录生产服务器的行为。事件案例：X月X日13:57，10.xxx.xx.xxx以root账号登录10.xxx.xx.xx（XX平台），同时还访问过其他几台服务器10.xxx.xxx.2/3/4/5。该源地址不是来自堡垒机，SIEM判断为违规访问。事件调研：经排查这次访问有对应变更，补交变更号后将源地址加入例外。跳过堡垒机访问生产服务器堡垒机合规UseCase规则说明：在5分钟之内发现有2个以上的IP地址登录堡垒机的事件，则可认为是疑似帐户滥用的行为。事件案例：xx月xx日22:38，waxxx1账号同一时间在10.xx.xx.27和10.xx.xx.93登录服务器10.xx.xx.xx（xxx管理系统），并从10.xx.xx.xx上执行Linux命令“mkdirlomkdirlog”在服务器上创建文件夹。SIEM判断为有共享堡垒机账号存在。事件调研：经联络当事人的确有此类行为发生，需后续整改。共享堡垒机账号堡垒机I