Elk systeem heeft wel een administratieaccount zoals Administrator (Windows), root (Unix), SYS (Oracle), … In tegenstelling tot normale gebruikersaccounts zijn deze niet gekoppeld aan een persoon maar kunnen die gedeeld worden met mensen die het wachtwoord kennen van deze accounts. Het wachtwoord van gedeelde accounts wordt niet snel gewijzigd en soms onvoldoende beschermd. Als een account werd gebruikt weet men niet wie de fysieke persoon achter het toetsenbord was.

Privileged Account Management (kortweg PAM) heeft tot doel de geprivilegieerde toegang tot systemen te regelen en te controleren en maakt deel uit van het arsenaal aan tools beschikbaar voor security governance.

AlienVault is een waardevolle tool die erin geslaagd is heel wat reeds bestaande open source software (Nessus, Snort, Nagios, etc.) netjes te integreren in een SIEM (Security Informaton & Event Management) tool die vrij overzichtelijke dashboards aanbiedt. Desondanks kan hij niet tippen aan de top SIEM-producten. Wel interessant voor een eerste praktische kennismaking met SIEM.

In een moderne IT-infrastructuur van een bedrijf worden vandaag de dag al snel miljoenen security gerelateerde logs door honderden of meer devices gegenereerd, potentieel vanaf verschillende geografisch verspreide locaties. Typisch zijn er op een dag hoogstens enkele incidenten. De uitdaging is om aan de hand van die miljoenen logs die paar incidenten in real-time te extraheren. Indien nodig kan dan ingegrepen worden om de schade te minimaliseren of kunnen achteraf maatregelen genomen worden om dergelijke incidenten in de toekomst te voorkomen. Dergelijke reactieve maatregelen vallen echter buiten de basisfunctionaliteit van SIEM.

Het extraheren van incidenten uit logs is wat SIEM-systemen op een geautomatiseerde manier beloven te doen. Daarnaast bieden ze de mogelijkheid achteraf uitgebreide analyses op de verzamelde logs te doen.

Presentation

In een moderne IT-infrastructuur van een bedrijf worden vandaag de dag al snel miljoenen security gerelateerde logs door honderden of meer devices gegenereerd, potentieel vanaf verschillende geografisch verspreide locaties. Typisch zijn er op een dag hoogstens enkele incidenten. De uitdaging is om aan de hand van die miljoenen logs die paar incidenten in real-time te extraheren. Indien nodig kan dan ingegrepen worden om de schade te minimaliseren of kunnen achteraf maatregelen genomen worden om dergelijke incidenten in de toekomst te voorkomen. Dergelijke reactieve maatregelen vallen echter buiten de basisfunctionaliteit van SIEM.

Het extraheren van incidenten uit logs is wat SIEM-systemen op een geautomatiseerde manier beloven te doen. Daarnaast bieden ze de mogelijkheid achteraf uitgebreide analyses op de verzamelde logs te doen.