Technik für mehr Security Intelligence bei Maschinendaten Splunk App erhält eine Statistikanalyse für Security

Gemeinsam mit „Splunk Enterprise“ bildet „Splunk-App“ eine Security-Intelligence-Plattform, mit der Unternehmen unbekannte Bedrohungen in Echtzeit identifizieren können. Die Version 2.4 der App bietet neue Suchfunktionen, Dashboards und Visualisierungen, die eine statistische Analyse von Maschinendaten unterstützen.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

„Die neue Waffe gegen Gefahren, denen herkömmliche Sicherheitssysteme hilflos ausgeliefert sind, heißt Statistikanalyse“, sagt Mark Seward, Senior Director für Sicherheit und Compliance bei Splunk. Tief verborgen in den Terabytes von Maschinendaten steckten wertvolle Hinweise auf abnorme Aktivitätsmuster, die auf Malware oder Datenfeinde in den eigenen Reihen hinweisen könnten.

Die jüngste Version der Splunk App für Enterprise Security ermöglicht die statistische Analyse von HTTP-Traffic, so dass Sicherheitsprofis schnell darauf stoßen können, welche Aktivitäten harmlos sind und wo Auffälligkeiten vorliegen, denen sie nachgehen sollten.

Die jüngste Generation Malware funktioniert nach einem gemeinsamen Schema: Sie signalisiert einer externen Stelle, das sie an Ort und Stelle und funktionsbereit ist, übernimmt danach die Kontrolle über die befallenen Systeme und sendet dann wertvolle Daten an die Angreifer. Dabei werden Mitarbeiter des geschädigten Unternehmens zu unfreiwilligen Mithelfern, zu so genannten „Data Mules“.

Werden Sie nicht zum Maulesel!

Für die Übertragung der ausspionierten Daten verwenden die Angreifer häufig Web-basierte Protokolle, um sich auf diese Weise in den Terabyte großen Datenmengen zu verbergen. Während herkömmliche Sicherheitsverfahren bekannte Risiken erkennen, können mit der statischen Analyse unverfängliche Nutzeraktivitäten von Anomalien unterschieden werden, die durch unbekannte Bedrohungen verursacht werden.

Scott Crawford, Managing Research Director, Security & Risk Management bei Enterprise Management Associates, ordnet die Splunk-App wie folgt ein: “Sie läutet eine neue Ära in der Sicherheitsdatenanalyse ein – durch Anwendung von statistischen Ansätzen bei Daten, die oftmals für herkömmliche Tools unerreichbar sind.“

Das neue Release bietet laut Hersteller nicht nur wie bisher Suchfunktionen, Dashboards und Visualisierungen für eine besonders feinmaschige Gefahrenerkennung, die aufdeckt, welche Aktivitäten und Nutzungsmuster Anlass zur Besorgnis geben. Mit Hilfe der Statistikanalyse ließen sich folgende Attacken und Bedrohungen aufdecken:

• In URLs eingebettete Command & Control (CNC)-Befehle: Die Splunk-App für Enterprise Security automatisiert die Erkennung von Datenausreißern.

• Host-Kommunikation mit neu registrierten bösartigen Websites: Hosts, die Daten mit Domains austauschen, die in den vergangenen 24 bis 48 Stunden registriert wurden, kommunizieren vermutlich mit einer CNC-Site. Durch den Abgleich von Domain-Registrierungen und Proxy-Daten können Splunk-Anwender ihre Systeme in Echtzeit und für die Vergangenheit auf derartige Ereignisse überprüfen.

• Signifikante Zunahmen unbekannter Kommunikationsverbindungen: Indem sie mit der Splunk App für Enterprise Security die Proxy-Daten einzelner Anwender überwachen, können die Sicherheitsverantwortlichen entsprechende Nutzungsspitzen als Gesamttrend und auf Anwenderebene analysieren.

• Verwendung ungewöhnlicher User Agent Strings (UAS): User Agents automatisieren die Sammlung von Daten wie beispielsweise E-Mails, können bei einer Cyber-Attacke aber auch den automatischen Datenaustausch zwischen Opfer und Angreifer ermöglichen. Splunk-Kunden können User Agent-Anomalien in Echtzeit überwachen pder alarmiert werden, falls fragwürdige UAS festgestellt werden.

• Ungewöhnlich hohes Aufkommen von Quell-/Ziel-Traffic: Das durchschnittliche Datenaufkommen für bestimmte Quell-/Zielpaare wird erfasst und für einen benutzerdefinierten Zeitrahmen berechnet. Statistische Ausreißer werden in einem Streudiagramm dargestellt und können so als Ausgangspunkt für eine detaillierte Analyse dienen.

Crawford beschreibt den Effekt: „Die Zukunft der Unternehmenssicherheit liegt in der Analyse aller verfügbaren Daten, nicht nur der kleinen Teilmenge, die bei herkömmlichen Ansätzen als sicherheitsrelevant gilt. Statistikanalyse erhöht den Wert dieser Daten. Denn sie trägt dazu bei, wertvolle Erkenntnisse aufzudecken, die sonst in den meisten Fällen in der Masse von Rohinformationen unerkannt untergehen.“

Die Kunden können ...

Splunk-Kunden, die die Splunk App für Enterprise Security bereits im Einsatz haben, können die neue Version von der Community-Website „Splunkbase“ herunterladen. Neukunden wenden sich an den Splunk-Vertrieb.

Fieldglass, ein branchenführender Anbieter von Vendor Management Systemen (VMS), ist Kunde. Die SaaS-Plattform von Fieldglass hilft nahezu 200 Unternehmen bei der Auswahl und Verwaltung ihrer weltweiten externen Mitarbeiter. Vor zwei Jahren ersetzte das Unternehmen sein bisheriges Security Information and Event Management (SIEM)-Tool durch Splunk Enterprise und die Splunk App für Enterprise Security. Fieldglass nutzt Splunk für die Datenforensik und -analyse, das Sicherheitsreporting und als SIEM-System.

Jim Krev, Senior Security Manager bei Fieldglass Inc., erläutert: „Es ist extrem schwierig, mit den immer neuen Bedrohungsszenarien Schritt zu halten. Splunk Enterprise Security 2.4 hilft uns hier, indem wir ungewöhnliche Datenmerkmale mithilfe der statistischen Analyse detektieren und visualisieren können.“

Zum Beispiel lasse sich Schadsoftware erkennen, die einen Host und den von ihm abgehenden Datenverkehr kompromittiere. Er sagt: „Dank der Visualisierungsfunktionen kann ich auch dem Management anschaulich zeigen, dass unsere Antiviren-Software gut funktioniert und wir keine Payload-Probleme haben.“

Hinweis auf die Jahreskonferenz der Splunk-Anwender

Die mittlerweile vierte Jahreskonferenz der Splunk-Anwender „.conf2013“, mit über 100 Veranstaltungen von Kunden, -Partnern, -Experten und –Mitarbeitern, findet vom 30. September bis zum 03. Oktober 2013 im Cosmopolitan Hotel, Las Vegas, statt.

(ID:39443740)