[Splunk新手小學堂]9/27新手小學堂Web事件資安分析

身為企業網站管理者，或是營運中的線上購物網站
當網站出現異常狀況時，所承受有形與無形的損失通常難以估計。
這時有沒有合適的日誌分析工具能讓快速的發現、找出問題？

您又是不是常遇到無法調閱異質複數設備日誌？將數據圖像化又很曠日廢時？

本堂《Splunk 新手小學堂-Web資安事件分析》將帶領您學習如何使用Splunk匯入網站日誌，如何使用Splunk統計分析，產生數據圖表，並製作出自行設計之儀表板讓您輕鬆一覽網站日誌所產生之報表畫面。讓您的網站日常營運更穩定順暢。

• 課程時間 : 2013/9/27  14：00～16：30 
• 課程地點 : 台北恆逸教育訓練中心(台北市復興北路99號 14樓)

[Splunk 應用技巧] Splunk App for Enterprise Security and PCI Compliance Correlation Search Drill-downs

Splunk App for Enterprise Security (ES) and PCI Compliance (PCI) 是 Splunk 兩個資安上的重量級應用，也是 Splunk 少數的收費 Apps ，裡面大量使用了 Splunk 的 關連搜尋(Correlation Searches) 與 深入搜尋(Drill-down searches) 兩項技術。

關連搜尋技術如同傳統 SIEM 的技術一般，能夠把不同類型的事件串連，這裡就不多說。而 Drill-down 充分發揮了 Splunk 的搜尋能力，讓 Splunk 的搜尋結果變成可以操作的互動式介面，讓使用者可以直覺的深入搜尋數字背後的相關事件。就是眾多像這樣的 Splunk 技術與能力，讓 Splunk + ES 可以在今年的 Gartner MQ SIEM 項目進入領導者象限。

以下是 Drill-down 的幾個簡單應用：
1. 看到柱狀圖中特定時間內的事件量出現峰值，就可以點進去看到底是哪些 Event。
2. 登入失敗次數前十大的使用者，點 User ID 就可以看到這個 User 的登入失敗紀錄。
3. 發現 proxy log 中連往特定網站的紀錄異常大量，點一下 URL 就可以看到哪些內部 IP ，點 IP 就可以看到同時段所有相同來源 IP 的 Events，再去點防毒的紀錄尋找最近有無中毒紀錄....

而且 Drill-down 還可以串連，因此 A->B->C->D 並不是不可能的，另外還可以連到外部資源，例如從 Web Access Log 中點 ProductID 可以實際連到網頁上的商品頁面，帥吧！

http://www.function1.com/2013/07/splunk-app-for-enterprise-security-and-pci-compliance-correlation-search-drill-downs/

Splunk Value Story:線上博弈服務商Swisslos 利用Splunk 強化資安架構優化使用者經驗

Swisslos(Swisslos Interkantonale Landeslotterie)成立於1937年，Swisslos旗下擁有多個國家和跨國彩卷，體育彩卷，賓果遊戲和其他線上博弈遊戲。Swisslos目前是瑞士的最重要的文化和體育的支持企業。

本次採訪對象Joris Vuffray是Swisslos總部網路與系統管理中心主管。

為何Swisslos決定採用Splunk呢?

1. 無痛轉換的替代方案：Swisslos在2010年使用IBM的Tivoli系統和網絡管理控制台。但IBM的Tivoli系統即將停止服務，所以Swisslos急欲尋找合適的替代方案。 
2. Big Data解決方案：Swisslos正在找可以自行host線上遊戲平台（http://www.swisslos.ch）的解決方案。因為這個遊戲平台的使用者眾多(約有50萬位使用者)、因此資料量也多，所以Swisslos需要的是更有彈性的操作平台及系統，如此才得以存取使用者資料，以利後續評估網站的績效和系統穩定度。

在多方研究之下，Swisslos決定採用可以延續既有系統功能又能夠及時提供有意義且專門處理/分析巨量資料的Splunk。

如何應用Splunk?

Splunk在Swisslos發揮了的最大效益，除了滿足IT和資安部門的需求，也兼顧管理部門的預算:

1. IT部門：和其他電子商務公司一樣Swisslos線上遊戲平台需要一套很有彈性的解決方案，因為Swisslos的線上遊戲平台同時有數種不同的遊戲在線上服務，也經常需要整合新上線的遊戲，因此產生的資料也各有不同，Splunk可以接受各種系統/各種型態資料的特性，與Swisslos現有IT架構整合就顯得輕而易舉。Joris Vuffray也補充說明這次Swisslos系統轉換只花費了3個月，這樣的轉換時間比他預期的快很多。在系統轉換期間Swisslos線上遊戲平台也照常服務，轉換期間沒有遭遇到資料無法寫入或是系統異常的問題，而且比照以往轉換的經驗這次的轉換是相對的順利，他回憶在轉換過程中唯一遭遇到的技術性問題就是Splunk須整合現有的BMC Patrol(監控軟體)，後來藉由LC Systems(瑞士Splunk夥伴)開發操作介面整合兩個系統，而這樣的整合也只花費了6人天。
2. 資安部門：Splunk 監控系統的資安狀態以及測試系統的網路穩定度，例如:某位玩家不正常的多次登入，是屬於單純的忘記密碼或是駭客正在用暴力破解法入侵系統， Splunk機警的預防駭客攻擊和處理資安事件是Swisslos的資安第二道防線。此外，Swisslos有多套監控系統，專門監控系統上的各種行為，來自不同監控系統的資料都會送至Splunk進行資料關聯和評估，使用者可以設定系統資安等級，只要相關條件超過系統安全值，Splunk就會發出通知。
3. 管理部門：以成本利潤為導向的管理部門則是看中Splunk以量計價的收費方式(licensing fee)以及系統高穩定度為管理部門也節省了許多維護的成本。

Splunk為Swisslos帶來以下2點好處：

1. 系統穩定度提高直接提升顧客滿意度：Swisslos特別注重玩家滿意度以及系統穩定度，玩家滿意度低代表會流失客戶，系統不穩定則代表無法營運，這是Swisslos最在意的事情，但自從導入Splunk之後系統發生的意外狀況總能及時反映或是事先預知，也直接提高玩家滿意度。客戶的滿意度越高，就代表會花更多的時間和金錢在遊戲上， Swisslos也將線上遊戲系統的規劃迎合使用者的需要， Splunk即時回應的特性和資料分析的功能，可以讓Swisslos立即根據玩家的使用者經驗改善系統，提高客戶使用滿意度。 
2. 節省工時：Splunk的資料處理速度很快，節省了IT部門的等待工時，讓IT工程師不必在像以前一樣等待系統回應、處理報表，讓工作更有效率。

客戶反饋與評價

Swisslos這次Splunk專案負責人Joris Vuffray說早知道Splunk功能這麼強大，他會更早導入Splunk。以前沒有Splunk他走了很多冤妄路，現在有了Splunk幫他和整個資安部門縮短了資料和人的距離，以前面對龐大的使用者資料及資安資訊，總要經過很長一段時間的處理、運算才能轉成報表，在這段時間整個人生都是黑白的，但是現在Splunk資料分析、詮釋報表、迅速的處理巨量資料的能力讓他的人生變成彩色了，就是這樣的超凡能力讓Joris Vuffray對Splunk讚譽有加！

產品新訊 - Splunk App for Enterprise Security 2.4 版開啟資安新世代

Splunk公司於5月3日釋出Splunk App for Enterprise Security 2.4版。

升級後的Splunk App for Enterprise Security 2.4版突破傳統資安分析方法，將統計分析應用於傳統資安系統忽略的數據資料，可協助資安人員設定資安規則，快速偵測系統異常，全面進行企業資安防護。Splunk App for Enterprise Security 2.4版的HTTP流量統計分析功能可提升資料的使用價值，將過去隱藏在Raw Data中具有意義的線索挖掘出來，而這樣的功能可偵測出一般資安系統忽略的威脅，事實上，在大量的使用者行為資料背後隱藏著許多異常活動事件，而這些事件就包括影響企業的病毒或駭客的惡意攻擊，利用既有資料進行統計分析，提升資安防護等級，將企業資安做到滴水不漏的程度，更重要的是提高資安等級並不會增加資安中心的工作量，甚至提供更簡單、快速的設定，Splunk App for Enterprise Security智慧資安平台實為企業資安的最佳夥伴。 

Splunk App for Enterprise Security 2.4版的HTTP流量統計分析方案的創新功能包括： 

1. 隱藏在URL中的指揮及控制指令(CNC)－Splunk App for Enterprise Security將流程自動化，從中尋找資料中的異常數值。 
2. 主動記錄新的惡意網站－記錄過去24-48小時才登記之網域(極有可能為CNC網站)，Splunk使用者可比對網域登記與Proxy數據，達到即時與歷史監控。 
3. 不明通訊流量增加－監控特定使用Proxy，讓企業監控整體流量中特定使用者突然爆增的不明通訊。 
4. 異常的用戶代理識別－Splunk監控並自動收集用戶代理識別資料，即時提供用戶代理識別異常之警示。 
5. 異常之來源/目的地流量－Splunk可於使用者指定的時間區間追蹤來源/目的地之間平均流量，並標示出異常之使用者。 

精誠資訊為Splunk在亞太地區最資深也是經驗最豐富的合作夥伴，已有數百個Splunk資安應用的導入案例與經驗，也有成功為企業成功導入Splunk App for Enterprise Security的經驗，身為台灣五百大服務業軟體業第一寶座的精誠資訊是全台最大的Splunk代理商，可針對企業本身進行諮詢顧問、量身打造最適合導入Splunk App for Enterprise Security的環境。

產品新訊 - Splunk 獲本年度歐洲SC雜誌最佳企業資安解決方案獎及美國SC雜誌最佳資安事件管理 （SIEM）解決方案獎

身為智慧資安領導品牌的Splunk因本身卓越的即時分析能力及智慧平台，被歐洲SC雜誌評定為2013年最佳企業資安解決方案(歐洲SC獎為歐洲資安領域最具公信力的機構)，無獨有偶，美國SC雜誌也宣布Splunk為2013年最佳資安事件管理（SIEM）解決方案。事實上Splunk除了連續在不同地區獲獎之外，也連續兩年獲此殊榮。

Splunk副總裁Tim Mather表示：「很高興Splunk再次被SC雜誌選為最佳資安解決方案，這也顯示資安軟體的要求越來越高，因為必須面對駭客連續性的攻擊、資安漏洞、躲避系統偵測等。Splunk智慧資安平台具備了速度、巨量資料處理能力、及高度客製化等特性，再次獲獎就代表Splunk有的是實力而不是運氣」。Splunk智慧資安平台提供企業完整的資安防護，目前全球已有2000多個企業組織利用Splunk進行企業資安防護做為企業資安的第一道防線。」

產品新訊:Splunk 企業版榮獲 2013 年美國 SC MAGAZINE 最佳讀者信賴獎

Splunk獲最佳資安與事件管理

(Security Information & Event Management,SIEM)解決方案殊榮

Splunk是專門處理各式各樣機器資料的平台，可以安裝在各種作業系統上，包含實體環境或雲端環境中，目前全球已經有上千個企業廣泛的將Splunk作為巨量資料與資安應用的處理平台。Splunk的資安應用範圍很廣，包括：日誌管理、資安稽核、資安標準與法規遵循、事件調查與鑑識分析、可視化資安風險報告、及時告警和欺詐檢測平台，可以協助企業內的稽核部門與資安團隊迅速而全面掌握資安事態，縮短作業時間。Splunk提供的Splunk企業資安套件(Splunk App for Enterprise Security)，有易於操作的儀表板及系統化的事件工作流程，因此可優化傳統SIEM系統的功能，例如:資安關聯搜尋、即時警告、資安報告產出等。

Splunk 可以接受各種系統或應用程式產生的資料與log，匯入Splunk的原始資料不需事先進行資料正規化，因為這樣的特性，Splunk可以幫助企業拉高資安層級擴大企業風險的管理範圍，蒐集與分析各式各樣的應用系統與客製化應用程式日誌，補強傳統SIEM系統不擅長處理非資安日誌的先天不足。同時，Splunk有超過150個指令，讓使用者進行資料搜索、比對關聯度與產出統計/分析報告時更加得心應手。

目前已經有Splunk客戶每天傳輸超過100TB資料，並在好幾PB(1PB = 1,000 TB)的歷史資料中自動搜索，而且搜尋的回應時間僅需要幾分鐘甚至幾秒鐘。事實上已經有數以千計的Splunk客戶同時將Splunk應用在外部的資安法規遵循，IT維運、應用程式的管理與市場行銷分析，跨部門的應用打通部門間的隔閡與壁壘，部門之間的溝通也更加順暢與安全，所以將Splunk引進企業內部，可以協助企業提昇企業風險的防護等級與警覺性，還能擴大至各種應用領域，降低工具學習曲線，大幅提升投資報酬率，是最有價值的企業投資。

精誠資訊為Splunk在亞太地區最資深也是經驗最豐富的合作夥伴，已有數百個Splunk資安應用的導入案例與經驗，如果貴部門對Splunk與資安應用需要更進一步的了解，歡迎與我們聯繫或立即下載免費試用www.splunk.com。