[Splunk新手小學堂]8/27的新手小學堂- Windows 資安稽核

系統管理者總是希望能夠充分掌握系統運行與使用者活動的情形，究竟有沒有辦法做到？ 資安管理人員希望要有資安稽核報表，究竟哪些才算是稽核報表？系統管理與資安稽核，有沒有可能共生共存，一兼二顧？

Splunk 提供了許多 Apps ，可以讓 Splunk 擴充功能，衍生新特性扮演不同角色，滿足各種領域管理人員的需求。那麼在 Windows 資安稽核這個領域，Splunk 應該如何發揮功能，有效協助 Windows 系統管理員與資安稽核人員雙方充分利用？又應該要下載安裝什麼 Apps 才能夠快速達成這個目的？

[Splunk 應用技巧] Splunk App for Enterprise Security and PCI Compliance Correlation Search Drill-downs

Splunk App for Enterprise Security (ES) and PCI Compliance (PCI) 是 Splunk 兩個資安上的重量級應用，也是 Splunk 少數的收費 Apps ，裡面大量使用了 Splunk 的 關連搜尋(Correlation Searches) 與 深入搜尋(Drill-down searches) 兩項技術。

關連搜尋技術如同傳統 SIEM 的技術一般，能夠把不同類型的事件串連，這裡就不多說。而 Drill-down 充分發揮了 Splunk 的搜尋能力，讓 Splunk 的搜尋結果變成可以操作的互動式介面，讓使用者可以直覺的深入搜尋數字背後的相關事件。就是眾多像這樣的 Splunk 技術與能力，讓 Splunk + ES 可以在今年的 Gartner MQ SIEM 項目進入領導者象限。

以下是 Drill-down 的幾個簡單應用：
1. 看到柱狀圖中特定時間內的事件量出現峰值，就可以點進去看到底是哪些 Event。
2. 登入失敗次數前十大的使用者，點 User ID 就可以看到這個 User 的登入失敗紀錄。
3. 發現 proxy log 中連往特定網站的紀錄異常大量，點一下 URL 就可以看到哪些內部 IP ，點 IP 就可以看到同時段所有相同來源 IP 的 Events，再去點防毒的紀錄尋找最近有無中毒紀錄....

而且 Drill-down 還可以串連，因此 A->B->C->D 並不是不可能的，另外還可以連到外部資源，例如從 Web Access Log 中點 ProductID 可以實際連到網頁上的商品頁面，帥吧！

http://www.function1.com/2013/07/splunk-app-for-enterprise-security-and-pci-compliance-correlation-search-drill-downs/

Splunk Value Story:線上博弈服務商Swisslos 利用Splunk 強化資安架構優化使用者經驗

Swisslos(Swisslos Interkantonale Landeslotterie)成立於1937年，Swisslos旗下擁有多個國家和跨國彩卷，體育彩卷，賓果遊戲和其他線上博弈遊戲。Swisslos目前是瑞士的最重要的文化和體育的支持企業。

本次採訪對象Joris Vuffray是Swisslos總部網路與系統管理中心主管。

為何Swisslos決定採用Splunk呢?

1. 無痛轉換的替代方案：Swisslos在2010年使用IBM的Tivoli系統和網絡管理控制台。但IBM的Tivoli系統即將停止服務，所以Swisslos急欲尋找合適的替代方案。 
2. Big Data解決方案：Swisslos正在找可以自行host線上遊戲平台（http://www.swisslos.ch）的解決方案。因為這個遊戲平台的使用者眾多(約有50萬位使用者)、因此資料量也多，所以Swisslos需要的是更有彈性的操作平台及系統，如此才得以存取使用者資料，以利後續評估網站的績效和系統穩定度。

在多方研究之下，Swisslos決定採用可以延續既有系統功能又能夠及時提供有意義且專門處理/分析巨量資料的Splunk。

如何應用Splunk?

Splunk在Swisslos發揮了的最大效益，除了滿足IT和資安部門的需求，也兼顧管理部門的預算:

1. IT部門：和其他電子商務公司一樣Swisslos線上遊戲平台需要一套很有彈性的解決方案，因為Swisslos的線上遊戲平台同時有數種不同的遊戲在線上服務，也經常需要整合新上線的遊戲，因此產生的資料也各有不同，Splunk可以接受各種系統/各種型態資料的特性，與Swisslos現有IT架構整合就顯得輕而易舉。Joris Vuffray也補充說明這次Swisslos系統轉換只花費了3個月，這樣的轉換時間比他預期的快很多。在系統轉換期間Swisslos線上遊戲平台也照常服務，轉換期間沒有遭遇到資料無法寫入或是系統異常的問題，而且比照以往轉換的經驗這次的轉換是相對的順利，他回憶在轉換過程中唯一遭遇到的技術性問題就是Splunk須整合現有的BMC Patrol(監控軟體)，後來藉由LC Systems(瑞士Splunk夥伴)開發操作介面整合兩個系統，而這樣的整合也只花費了6人天。
2. 資安部門：Splunk 監控系統的資安狀態以及測試系統的網路穩定度，例如:某位玩家不正常的多次登入，是屬於單純的忘記密碼或是駭客正在用暴力破解法入侵系統， Splunk機警的預防駭客攻擊和處理資安事件是Swisslos的資安第二道防線。此外，Swisslos有多套監控系統，專門監控系統上的各種行為，來自不同監控系統的資料都會送至Splunk進行資料關聯和評估，使用者可以設定系統資安等級，只要相關條件超過系統安全值，Splunk就會發出通知。
3. 管理部門：以成本利潤為導向的管理部門則是看中Splunk以量計價的收費方式(licensing fee)以及系統高穩定度為管理部門也節省了許多維護的成本。

Splunk為Swisslos帶來以下2點好處：

1. 系統穩定度提高直接提升顧客滿意度：Swisslos特別注重玩家滿意度以及系統穩定度，玩家滿意度低代表會流失客戶，系統不穩定則代表無法營運，這是Swisslos最在意的事情，但自從導入Splunk之後系統發生的意外狀況總能及時反映或是事先預知，也直接提高玩家滿意度。客戶的滿意度越高，就代表會花更多的時間和金錢在遊戲上， Swisslos也將線上遊戲系統的規劃迎合使用者的需要， Splunk即時回應的特性和資料分析的功能，可以讓Swisslos立即根據玩家的使用者經驗改善系統，提高客戶使用滿意度。 
2. 節省工時：Splunk的資料處理速度很快，節省了IT部門的等待工時，讓IT工程師不必在像以前一樣等待系統回應、處理報表，讓工作更有效率。

客戶反饋與評價

Swisslos這次Splunk專案負責人Joris Vuffray說早知道Splunk功能這麼強大，他會更早導入Splunk。以前沒有Splunk他走了很多冤妄路，現在有了Splunk幫他和整個資安部門縮短了資料和人的距離，以前面對龐大的使用者資料及資安資訊，總要經過很長一段時間的處理、運算才能轉成報表，在這段時間整個人生都是黑白的，但是現在Splunk資料分析、詮釋報表、迅速的處理巨量資料的能力讓他的人生變成彩色了，就是這樣的超凡能力讓Joris Vuffray對Splunk讚譽有加！

產品新訊 - Splunk App for Enterprise Security 2.4 版開啟資安新世代

Splunk公司於5月3日釋出Splunk App for Enterprise Security 2.4版。

升級後的Splunk App for Enterprise Security 2.4版突破傳統資安分析方法，將統計分析應用於傳統資安系統忽略的數據資料，可協助資安人員設定資安規則，快速偵測系統異常，全面進行企業資安防護。Splunk App for Enterprise Security 2.4版的HTTP流量統計分析功能可提升資料的使用價值，將過去隱藏在Raw Data中具有意義的線索挖掘出來，而這樣的功能可偵測出一般資安系統忽略的威脅，事實上，在大量的使用者行為資料背後隱藏著許多異常活動事件，而這些事件就包括影響企業的病毒或駭客的惡意攻擊，利用既有資料進行統計分析，提升資安防護等級，將企業資安做到滴水不漏的程度，更重要的是提高資安等級並不會增加資安中心的工作量，甚至提供更簡單、快速的設定，Splunk App for Enterprise Security智慧資安平台實為企業資安的最佳夥伴。 

Splunk App for Enterprise Security 2.4版的HTTP流量統計分析方案的創新功能包括： 

1. 隱藏在URL中的指揮及控制指令(CNC)－Splunk App for Enterprise Security將流程自動化，從中尋找資料中的異常數值。 
2. 主動記錄新的惡意網站－記錄過去24-48小時才登記之網域(極有可能為CNC網站)，Splunk使用者可比對網域登記與Proxy數據，達到即時與歷史監控。 
3. 不明通訊流量增加－監控特定使用Proxy，讓企業監控整體流量中特定使用者突然爆增的不明通訊。 
4. 異常的用戶代理識別－Splunk監控並自動收集用戶代理識別資料，即時提供用戶代理識別異常之警示。 
5. 異常之來源/目的地流量－Splunk可於使用者指定的時間區間追蹤來源/目的地之間平均流量，並標示出異常之使用者。 

精誠資訊為Splunk在亞太地區最資深也是經驗最豐富的合作夥伴，已有數百個Splunk資安應用的導入案例與經驗，也有成功為企業成功導入Splunk App for Enterprise Security的經驗，身為台灣五百大服務業軟體業第一寶座的精誠資訊是全台最大的Splunk代理商，可針對企業本身進行諮詢顧問、量身打造最適合導入Splunk App for Enterprise Security的環境。

Splunk Value Story:Motorola使用Splunk做Log及網路資料分析

客戶的問題與挑戰

資安中心的使命就是維護Moto內部網絡、維運不受惡意攻擊，並管理/服務客戶。資安中心的工作目標必須維持每天24小時穩定且不斷線的服務品質。

除了維護企業內部網路不遭受駭客攻擊之外，Moto的資安中心也必需負荷大量的使用者log，並且符合公共資訊安全及無線通訊安全。

在還沒導入Splunk之前Moto的資安工程師是利用內部開發之工作系統與資安件管理系統 (Security Information and Event Management SIEM) 維持資安品質及管理，但既有的系統除了不夠彈性之外也無法負荷每天產出的Big Data，產生以下四大困難：

• 原有的工作系統只能進行偵測無法預測
• 系統進行adhocquery時無法即時回應，反應時間甚至過長
• C無法進行大量或所有資料分析
• D針對既有系統進行擴大新客戶以及資料來源不敷成本

如何應用Splunk解決問題

UDP (User Datagram Protocol)每天會傳輸資安及客戶資料(log資料)到Splunk Sever。

• Apache logs, app data (syslog), DNS records, firewall data, a/b data, VPN data等資料，所有的資料都會匯入指定的index
• 數10個index代管客戶資料，約0.5GB

前Moto資安中心系統正在轉換中，因此目前是由兩個系統同時運作，運作地比例大約為80：20(Splunk：SIEM)，未來則會朝向100% 完全使用Splunk系統進行分析及儲存。

Splunk的資料格式非常有彈性，且同時具有快速設置快速搜尋的優點，完全吻合Moto資安中心對於資安層級以及資料分析地要求。

產生效益

以往Motorola並沒有有效且系統化的資安系統及方法，資安中心工程師對於網路上的惡意攻擊毫無頭緒而且只能利用土法煉鋼的兵來將擋、水來土淹的方式，但各種的資安事後補救的方式都不比上事前可以預防來得有效，因此自從Motorola導入Splunk之後提升資安防護等級，對於駭客的惡意攻擊也有系統化的防禦和處置。

• 工程師藉由Splunk提升資安資料資料產出率並縮短資安搜索地回應時間
• 可辨識重大資安攻擊：利用'backdoors-calling home stage'保護和辨識已知和未知的C2(command and control)惡意軟體。其步驟有以下三點：

1. 查詢事件與惡意軟體之關係
2. 比對C2模式
3. 進行事件分析與已知駭客分析進行比對

Splunk自動儲存搜尋紀錄：

1. Splunk儲存指標清單
2. 進行資料庫比對

透過Splunk儀錶板顯示即時系統資安狀態。

對於代管客戶的服務則可以進行防火牆資料偵測、檢查內部NAT活動阻止DOS攻擊事件、偵測到威脅則系統會自動警示、與Motorola ticketing system進行整合、適用於WMI、OPSEC、LEA等其他遙控介面。

客戶的評價

Moto資安中心的Jim Chrisos表示，導入Splunk之後進行重複的資料分析與資安防禦不但變得更快更有效率，而且Splunk資料輸入不受限於特定資料格式，同時也可輕易針對既有分析條件不斷進行修正。從此之後資安中心工程師不需輸入複雜的指令再等候數個小時才可以得到想要的資料。因為Splunk簡化了資料分析的方式也縮短系統分析時間從幾個小時到幾秒鐘。

活動快訊:Splunk有獎徵答,最佳分享送敲可愛忍者隨身碟!!

請問大家都用Splunk來做些甚麼？
咦~什麼是Splunk?同學別鬧啦!!
是用來做網路與系統的IT維運管理？
全面性的應用系統管理？
還是資安監控調查與稽核應用？
又或是使用者行為剖析與商業智慧？
都歡迎大家分享出來? 
我們會在5/15 (三)，選出最棒的分享。然後奉上超可愛的 "忍者 sub隨身碟"，還有其他的贈品，大家快點到我們的粉絲團留言喔!!