SISTEMA SECURELOG LA PIATTAFORMA SECURELOG. Sistema di trasmissione unidirezionale per l'archiviazione sicura dei Log

Transcript

1 LA PIATTAFORMA SECURELOG SecureLog è una suite completa di ultima generazione per la gestione dei Log: permette in maniera intuitiva di centralizzarli e archiviarli, di effettuare analisi approfondite a vari livelli e garantisce l'inalterabilità dei Log archiviati grazie a protocolli sicuri per la trasmissione e la memorizzazione dei dati. SecureLog è stato concepito per strutture informatiche che devono risolvere il problema della gestione dei Log in modo efficiente ed a costi ridotti. La scalabilità del sistema ed i moduli che compongono la piattaforma SecureLog rispondono anche alle esigenze dei sistemi più complessi. La piattaforma SecureLog consente di centralizzare i Log in modalità cifrata e con robusti controlli di affidabilità, sia utilizzando agenti software in completa sicurezza, sia utilizzando i comuni protocolli di trasmissione. La suite dispone infatti di una configurazione per l'acquisizione dei Log che non fa uso di software da installare sui server ed è dotata di potenti strumenti di analisi, statistici e grafici, per una comprensione immediata delle informazioni di Log. La possibilità di creare e modificare i modelli d'analisi esistenti permette la massima scalabilità sui sistemi, utilizzando gli strumenti d'analisi di SecureLog sui Log prodotti da qualsiasi software o dispositivo. Per l'uso a fini legali dei Log, il modulo di firma elettronica integrato presente nelle appliance SecureLog fornisce all'amministratore di sistema un potente sistema di certificazione dei Log, unico nel suo genere. Le funzioni di hashing e firma digitale automatica riducono il tempo di gestione fornendo un doppio livello di garanzia sull'integrità dei Log centralizzati e aumentando la sicurezza delle informazioni. I vantaggi della soluzione SecureLog si possono riassumere in questi punti: * Centralizzazione dei Log; * Messa in sicurezza dei Log, durante il loro intero ciclo di vita; * Garanzia di integrità dei Log; * Identificazione delle attività e dei potenziali rischi della rete; * Facilità di analisi dei dati raccolti; * Riduzione dei costi di gestione della sicurezza; * Conformità ai requisiti richiesti dalla legge Pisanu Antiterrorismo, Basilea II, certificazione ISO27001, Sarbanes-Oxley Act (finanza e Nasdaq), HIPAA (sanità), GLBA (finanza), Visa Cisp. Un sistema di acquisizione dei Log deve essere affidabile, sicuro, scalabile e adattabile alle esigenze del cliente. SecureLog è stato concepito come una completa piattaforma di strumenti per la gestione sicura di tutto il ciclo di vita dei Log: acquisizione, trasmissione, centralizzazione, archiviazione, analisi, validazione. La realizzazione di un sistema di archiviazione e gestione dei Log rappresenta un obiettivo strategico di ogni struttura informatica complessa. Le informazioni contenute all'interno dei file di Log e la potenziale analisi forense che è possibile effettuare su di essi, rendono imprescindibile un approccio integrato della gestione dei Log. Grazie a SecureLog si può trasformare la gestione dei Log in uno strumento per migliorare l'efficienza del sistema informatico aumentandone la sicurezza complessiva e ridurre i costi derivanti da attività e attacchi fraudolenti. SecureLog Data Path

2 I LOG E LA LORO GESTIONE Nel corso degli ultimi anni c'è stato un costante aumento nell' utilizzo dei sistemi di sicurezza nella gestione di reti e postazioni informatiche: oltre agli attacchi esterni (hacking, virus, spam e intrusioni in genere) da cui ogni sistemista dovrebbe proteggersi al meglio, è necessario gestire e controllare dall'interno la rete per poter monitorare e memorizzare ogni evento e quindi risalire alle attività critiche e alle tracce che gli eventi lasciano nel sistema. Il tracciamento delle attività avviene attraverso un'analisi approfondita dei Log di sistema, ovvero i file che memorizzano le informazioni sullo stato della macchina (informazioni generate sia dall'hardware che dal software che la macchina utilizza) e sulle attività che la macchina ha compiuto all'interno della rete. L'utilizzo di un Log server, ovvero una macchina che ha il solo e preciso compito di raccogliere centralmente i Log dalle macchine della rete, consente di agevolare la consultazione di questi e facilitare l'individuazione di eventuali attività "irregolari", oltre che ottenere più facilmente informazioni sullo stato dei servizi e sulle normali attività delle macchine. L'impiego di algoritmi per la cifratura dei dati, nelle fasi di transito e memorizzazione, consente inoltre di avere una copia fedele e inalterata dei Log di ogni macchina del sistema. Con tale soluzione infatti, anche se un hacker può modificare i Log sulla macchina locale, ci sarà una copia non modificabile di tali file sulla macchina remota progettata per non essere raggiunta dall'attacco: inoltre un sistema sicuro di gestione dei Log centralizzato migliora e semplifica la gestione dei file di diverse macchine e la successiva analisi degli eventi. I Log, oltre a permettere di ricostruire a posteriori gli avvenimenti, forniscono a tutti gli effetti una prova di ciò che è accaduto nel sistema, diventando all'occorrenza uno strumento con valenza probatoria in caso di dibattito (sono sempre più numerose le leggi e i regolamenti che citano i Log, ad esempio la legge Pisanu Antiterrorismo, la certificazione Iso27001, la Basilea II e altre leggi internazionali quali la Sarbanes-Oxley Act, la Visa Cisp e la GLBA). L'ARCHITETTURA DEL SISTEMA Il componente centrale (nucleo) dell'architettura SecureLog è costituito dal Model SL, ovvero l'appliance in grado di gestire autonomamente la raccolta, l'indicizzazione, la memorizzazione, la messa in sicurezza e l'analisi dei Log ricevuti. I sensori SecureLog sono in grado di raccogliere eventi attraverso il monitoraggio in real-time di file su sistemi Linux, Windows, nonché la maggior parte delle implementazioni Unix e altri sistemi operativi conformi allo standard POSIX; nel caso di piattaforme Windows basate su Kernel NT possono anche essere acquisiti, attraverso l'uso di sensori SecureLog, gli eventi di sistema. In questi casi, la connessione ad un'unità SL può essere diretta, poiché i sensori provvedono nativamente a trasferire in modalità sicura ed affidabile i dati all'unità centrale. Nei casi in cui i Log provenienti da apparati con sistemi di logging remoto intrinsecamente insicuri (es. SysLog) debbano essere convogliati ad un'unità SL attraverso reti inaffidabili o non protette come Internet, è possibile utilizzare SecureLog model G, un vero e proprio Gateway applicativo, in grado di raccogliere i dati e trasferirli ad un'unità SL in maniera cifrata, sicura ed affidabile. Example 1: Simple local area network Example 2: Remote Log collection Al momento la gestione sicura dei Log è un problema che viene affrontato dalle aziende internamente, il più delle volte solo dopo che si è verificato un problema od un attacco ed è stato necessario gestire il recupero dei Log incriminati.

3 Example 3: Enterprise environment Una volta giunti all'unità SL i dati vengono indicizzati, per consentire una veloce analisi e memorizzati in formato RAW (Log originali), così da conferire loro le caratteristiche di originalità ed integrità necessarie a garantirne valenza legale. Gli stessi vengono compressi per ottimizzare l'utilizzo di storage, cifrati per aumentare il livello di sicurezza ed infine firmati digitalmente con accesso ai certificati digitali per mezzo di un lettore di smart-card con standard ISO7816 integrato nell' appliance, così da sancire la definitiva valenza legale degli stessi; i certificati possono essere validati da qualsiasi certificatore autorizzato (PosteCom, BNL, Infocamere ecc). La ricerca e l'analisi dei Log risultano assolutamente semplici ed immediate, grazie anche all'integrazione nel prodotto di una versione specificatamente customizzata del motore d'analisi Sawmill, dalla consolidata affidabilità e flessibilità. L'apparato è così in grado di analizzare oltre 600 formati di Log ed ottenere dagli stessi report sui dati aggregati, oltre che l'estrazione immediata delle informazioni di proprio interesse, attraverso operazioni di Drill Down. L'indicizzazione dei dati consente anche la realizzazione di plug-in scritti ad hoc per la correlazione di eventi provenienti da diversi Log, consentendo di ottenere in maniera rapida, intuitiva e precisa le informazioni di proprio interesse. Le funzionalità di esportazione dei dati, nonché l'utilizzo di tecnologie aperte per l'indicizzazione degli stessi, consentono un facile ed immediato interfacciamento dell'appliance SecureLog SL con i software di analisi e correlazione, eventualmente già presenti. Attraverso SecureLog Model Zero è possibile separare logicamente i Log raccolti da stazioni SL raggiungibili in rete, attraverso un flusso di dati unidirezionale, veicolato attraverso un protocollo USB cifrato. In questo modo è possibile garantire l'assoluta integrità dei Log, non essendovi di fatto, dopo la scrittura, alcun metodo d'accesso diretto agli stessi. E' quindi possibile ottenere soluzioni di tipo WORM, prescindendo dall'utilizzo di complesse e costose soluzioni di Storage dedicato. Specifiche tecniche Supporto sensori Altre fonti supportate Funzionalità di diagnostica Affidabilità Prestazioni Sicurezza dei dati Compressione Garanzie di integrità Gestione Profili utente Formati di log Supportati Operazioni Previste Operazioni Aggiuntive Esportazione Windows, Linux, POSIX SysLog, SysLog-NG Allarmi via ed SMS nel caso di irregolarità nel funzionamento di un agente Garantita da buffer negli agenti e model G, nonchè da controllo su sequenza trasmissione, a livello applicativo, su model SL eventi garantiti al secondo Trasporto e momorizzazione cifrati con Rijndael (standard AES) Approssimativamente 10:1 Hashing SHA, MD5, Firma Digitale Interfaccia web su protocollo https Definibili più profili di gestione, con diverse opzioni, in sola visualizzazione o completo controllo Oltre 600, più possibilità di integrazione pressochè immediata, attraverso realizzasione di template appositi Analisi aggregate, drill down, definizione di filtri personalizzati, report (anche attraverso grafici) Definibili plug-in per la correlazione dei dati ad hoc Possibilità di esportazione delle informazioni in formato CSV (previa selezione dei dati significativi)

4 Features Possibilità di raccolta dei Log attraverso sensori o in modalità agentless; Compatibilità nativa dei sensori di acquisizione con sistemi Windows, Linux, standard POSIX; Supporto per l'acquisizione dei Log dalla maggior parte dei dispositivi di rete, server e workstation disponibili sul mercato e possibilità di realizzare plug-in per l'acquisizione dei dati da qualsiasi tipo di periferica; Compatibilità con standard SysLog, SysLog-NG; Supporto per oltre 600 tipi di file di Log e possibilità di gestione di qualsiasi nuovo tipo di file, attraverso costruzione personalizzata di template di indicizzazione ed analisi; Trasporto cifrato dei Log attraverso algoritmo Rijndael (AES); Meccanismi di salvaguardia dei flussi di dati trasferiti attraverso controlli di sequenza ed autenticità, sia a livello di rete, sia a livello applicativo; Funzionalità di report e generazione di allarmi attraverso nel caso di malfunzionamento o anormale interruzione del trasferimento da parte di un sensore; Sistema operativo hardened Linux, interamente compilato per l'architettura hardware di destinazione ed ottimizzato per le mansioni previste; Salvataggio dei dati in forma cifrata (Rijndael o, su richiesta, Blowfish o Serpent); Possibilità di memorizzazione dei dati su sistemi S, SAN, dischi locali ed altri dispositivi di storage; Gestione di tutte le funzionalità di amministrazione tramite interfaccia web, raggiungibile attraverso canale cifrato dalle sole postazioni cui è stata data autorizzazione e solo dopo una fase di autenticazione; Possibilità di definire diversi profili di utente, sia per l'amministrazione che per la consultazione dei Log; Possibilità di analisi dei dati in forma aggregata e supporto per operazioni di "drill down", fino alla visualizzazione degli eventi in formato RAW, nonché possibilità di definizione di filtri ad hoc, anche per mezzo di regular expressions; Doppia garanzia di integrità, attraverso hashing SHA e MD5; Supporto per firma digitale con accesso ai certificati per mezzo di lettori di smart-card con standard ISO7816; i certificati possono essere validati da qualsiasi certificatore autorizzato (PosteCom, BNL, Infocamere ecc); Possibilità pressochè illimitata di scalare l'architettura SecureLog attraverso l'inserimento in un sistema esistente di uno o più nuovi dispositivi SecureLog; Possibilità di interfacciamento con qualsiasi dispositivo di storage e backup per cui venga fornito supporto per sistemi Red Hat Enterprise, CentOS o derivati; Possibilità di esportazione dei dati e dei risultati delle operazioni di query ed analisi sui dati aggregati.

5 HARDWARE Al fine di garantire un adeguato supporto hardware, per l'architettura SecureLog si è deciso di adottare piattaforme dalle consolidate prestazioni ed affidabilità. Modello Hardware Storage interno Eventi/Sec* G - Tower Xeon 2.2Ghz - 2 Gb Ram G - Standard Xeon 2.2 Ghz - 2 Gb Ram G - Enterprise 1 x Xeon 3.0 Ghz - 4 Gb Ram SL - Tower 2 x Dual Xeon Ghz - 12 Gb Ram SAS 2.1 Tb -RAID 5 SL - Standard 2 x Dual Xeon Ghz - 12 Gb Ram SAS 1.5 Tb - RAID 5 SL - Enterprise SAS 3.0 Tb - RAID SL - Standard Diskless 2 x Dual Xeon Ghz - 12 Gb Ram ND ** SL - Enterprise Diskless ND ** ZERO - Tower 2 x Dual Xeon Ghz - 4 Gb Ram SAS 2.1 Tb - RAID ZERO - Standard 2 x Dual Xeon 2.2 Ghz - 4 Gb Ram SAS 1.5 Tb - RAID 5 ZERO - Enterprise SAS 3.0 Tb - RAID * Dati garantiti e statisticamente ottenuti attraverso la trasmissione di eventi di lunghezza media di 80 byte in condizioni ottimali in termini di temperatura (22 C costanti) ed infrastruttura di rete. ** Per necessità di storage a lungo termine, è possibile associare un'unità S che sarà proposta in base alle specifiche esigenze del cliente o eventualmente già presente. Nel caso di particolari esigenze, configurazioni specifiche possono essere richieste. Tra queste, segnaliamo la possibilità di escludere le funzionalità di analisi, riducendo così il costo del prodotto o costituire nodi in alta affidabilità, per mezzo dei modelli G-HA e SL-HA in grado di garantire continuità del servizio, anche nel caso di guasti hardware. Le opzioni HA non sono disponibili nel caso di integrazione di Model ZERO. Gli specifici modelli sopra riportati sono da considerarsi indicativi e Sata H.T.S. si riserva la facoltà di sostituirli con analoghi di pari o superiori prestazioni. La scelta operata da Sata H.T.S. sarà comunque rivolta a dei vendor di comprovata affidabilità come ad esempio IBM, DELL o HP a seconda della disponibilità di mercato. In sede di un'eventuale offerta, vendor e modelli proposti verranno ovviamente specificati. SATA HTS HI-TECH SERVICES Palazzo delle Professioni- via Cjavecis, 3 / Udine, Italy tel fax info@sata-hts.com