강력한 보안 운영, 강력한 세그멘테이션

조직이 효과적인 SecOps 무기고의 일부로 배포할 수 있는 모든 강력한 도구를 고려할 때 좋은 점이 너무 많을 수 있다는 의문이 남습니다.

개선을 위해 보안 운영 진부한 말처럼 많은 툴과 이를 통해 생성되는 알림 중에서 SIEM은 “단일 창”을 통해 보안을 중앙에서 관리하는 데 많이 사용합니다.

팀은 몇 가지 주요 이유로 전체 보안 태세에 대한 통찰력을 얻기 위해 SIEM을 사용합니다.먼저 조직이 직면할 수 있는 심각한 위협을 신속하게 식별합니다.둘째, 공격에 대한 관련 컨텍스트와 세부 정보를 파악하는 데 걸리는 조사 시간을 단축할 수 있습니다.셋째, 팀은 더욱 자동화된 작업과 워크플로를 통해 더 빠르게 대응할 수 있습니다.

이러한 상황에서 공급업체는 보안 팀이 보다 쉽게 업무를 수행할 수 있도록 SIEM과의 완벽한 통합을 제공해야 합니다.

이러한 이유로 Illumio는 Splunk와 긴밀하게 통합되어 있습니다.공동 고객은 자신의 보안 태세를 더 잘 이해하고 몇 번의 클릭만으로 공격에 대응할 수 있습니다.Illumio 통합은 직관적이고 세심하게 제작된 시각화를 사용하므로 팀은 현재 상황을 한 눈에 보고 이해하고 클릭 한 번으로 대응할 수 있습니다.Splunk와 Illumio를 통해 데이터 센터에서 어떤 시스템이 손상될 수 있는지 또는 세분화 정책이 잘못되었는지 여부를 팀에 알릴 수 있습니다.

하지만 이러한 중요한 질문에 답할 수 있다는 것은 Splunk 통합의 이점 중 시작에 불과합니다.

• 귀중한 팀 리소스를 어디에 배치해야 하는지 파악하세요.이벤트 경고는 발생 중인 보안 이벤트를 명확하게 강조하여 팀이 어떤 자산이 영향을 받을 수 있고 어디에 즉시 대응해야 하는지 알 수 있습니다.
• 세그멘테이션이 안전한지 알아보기: 숙련된 공격자는 데이터에 액세스하기 위해 방화벽과 세그멘테이션 설정을 조작하려고 시도할 수 있습니다.이러한 이유로 iptables 또는 Microsoft WFP (Windows 필터링 플랫폼) 의 방화벽 변조 시도를 강조하여 세그멘테이션이 얼마나 안전한지 보여줍니다.이를 통해 서버가 불법적인 권한을 얻으려고 하거나 보안 정책을 우회하려고 시도하는 경우 이를 즉시 확인할 수 있습니다.
• 진행 중인 공격 시도 보기: 공격 시 측면 이동 전에 포트 스캔이 종종 발생합니다.항만 스캔이 근본적으로 나쁜 것은 아니지만, 항만 스캔을 하다 보면 내부적으로 이동할 수 있는 곳을 찾기 위해 정찰을 하는 사람이 있는 경우가 많습니다.당사의 통합 기능은 포트 스캔을 강조하여 공격이 임박했음을 나타내는 의심스러운 활동이 있다는 것을 즉시 알 수 있도록 합니다.
• 어떤 기계가 의심스럽게 작동하는지 확인하십시오. 호스트별로 가장 많이 차단된 트래픽을 명확하게 시각화하여 호스트가 공격을 받고 있는지 빠르게 알 수 있습니다.또한 이 시각화를 통해 호스트 세분화 정책이 잘못되어 예기치 않은 트래픽이 차단되는 경우도 알 수 있습니다.
• 비즈니스와 업계 종사자 사이를 완벽하게 연결하세요. 한 눈에 모든 것을 알 수 있습니다 잠재적으로정책을 적용하기 전에 트래픽을 차단했습니다.즉, 실제 운영 전에 세그멘테이션 정책을 쉽게 확인할 수 있어 보호하려는 비즈니스 애플리케이션이 손상되지 않도록 방지할 수 있습니다.
• 빠른 조사: 비정상적인 동작을 보이는 워크로드를 조사할 때는 문제가 무엇인지 즉시 파악해야 합니다.모든 워크로드 세부 정보, 트래픽 이벤트 및 감사 이벤트가 하나의 뷰로 통합되므로 관련된 조사 작업이 줄어듭니다.
• 클릭 한 번으로 공격 중지: 우리의 통합은 Splunk에서 명확한 보안 가시성을 제공하지만, 마찬가지로 중요한 것은 팀이 조치를 취할 수 있다는 것입니다.클릭 한 번으로 Splunk에서 직접 의심스러운 워크로드를 격리할 수 있습니다.
• 몇 번의 클릭으로 알림 생성: 알림을 생성하려면 팀에서 syslog 메시지를 마스터하고 콘텐츠와 컨텍스트를 깊이 이해한 다음 정규 표현식을 만들어야 합니다.사용자가 가장 중요한 Illumio PCE 생성 메시지에 대해 새로운 경고 구성을 만들 수 있는 그래픽 인터페이스를 통해 사용자는 Splunk의 알림을 신속하게 활용하여 Illumio 배포를 관리할 수 있습니다.

Splunk 통합 기능에 대해서는 다른 블로그 게시물에서 자세히 살펴보도록 하겠습니다. 기다려 주십시오.

최신 버전으로 시작하려면 Splunkbase로 이동하여 다음을 다운로드하십시오.https://splunkbase.splunk.com/app/3658/.