Ki Ellenőrzi Az Ellenőröket?

A BalaBit IT Security 2013. február 27-én tájékoztatót tartott budapesti székhelyén, ahol jelentős termék-verziók bejelentésére került sor. A cégvezetés szerint ezek a termék-változatok meghatározó jelentőségűek lesznek a vonatkozó termékek piacán, s a BalaBit azt várja, hogy a többi gyártó is ebbe az irányba fogja fejlesztését irányítani. A BalaBit 2013-as üzleti terveit is ezekre az új verziókra építi.

Bejelentették a syslog-ng Store Box naplózó szerver termékbe kerülő újdonságokat, valamint a cég megelőző védelmi funkciókkal felvértezett termékének, a Shell Control Boxnak (SCB) legfrissebb, 3 F4 jelű verzióját, az új fejlesztés eredményeként a magyar termék az élre kerülhet a tevékenységfelügyeleti eszközök piacán, s a megelőzést előtérbe helyező paradigmaváltás úttörőjévé válhat.

Szomor Bence marketing menedzser rámutatott, Magyarországon a BalaBit az egyetlen olyan, nemzetközi szinten is jegyzett szoftverfejlesztő vállalat, amely az IT biztonsági piacon tevékenykedik. A cég árbevételét, a cégméretet, a termékek innováció tartalmát, ill. ezek nemzetközi keresletét tekintve, a BalaBit a négy leginkább elismert magyar szoftverfejlesztő vállat közé sorolható.

syslog-ng Store Box 3 F1

Gyöngyösi Péter, a BalaBit fejlesztő szakembere, termékmenedzser, a lapozó technológiával kapcsolatos termék-tevékenység felelőse ismertette a syslog-ng Store Box 3 F1 terméket.

A naplózó tevékenység, a logging, log-menedzsment történetileg az első levelező szerver tevékenységéhez kapcsolódott, ahhoz találták ki. A fejlesztést segítő eszközből, a programozók „játékából" folyamatosan vált a rendszergazdák eszközévé, majd egyre inkább biztonságot szolgáló eszközzé. Naplóüzenetek biztonsági auditként való figyelésére kezdték használni, ill. a személyek aktivitásról a rendszerekből való adatgyűjtővé.

A naplózáshoz kapcsolódó piac motiválója; a számítógépek elterjedtsége, mindenhol keletkeznek logok.

A log-menedzsment létjogosultságát nem kell bizonygatni a felhasználóknak. Az IT biztonsági botrányok nyomán mindenki törekszik a biztonság megteremtésére, egyes iparágakban ezt törvények is megkövetelik.

A követelmények sok esetben a naplózásra is kényszerítő erővel hatnak, „tudni kell", hogy mi történik a rendszerben. A kereskedelem, a gyártási szolgáltatások ipara egyre inkább az online, digitális térbe helyeződik át.

A digitális szolgáltatások nagy előnye, hogy a felhasználó egész tevékenységére rálátás nyílik, ez az üzleti döntéshozást nagymértékben felgyorsíthatja. A BalaBit 15 éve van a naplózó termékek piacán. Termékeinek felhasználószámát 800 ezerre becsülik.

A nyílt forráskódú alapokból indult naplózó termékekből a BalaBit az elmúlt évben kb. egymilliárd Ft-nyi bevételre tett szett, 50%-os növekedéssel a megelőző évhez képest. Ingyenes, és kiegészítő támogatású fizetős változat létezik. A cég syslog-ng terméke nagy elterjedtségnek örvend világszerte, nagyon sok kisebb-nagyobb termékbe beépítik. A teljes termékvonal értékesítésének mintegy 20%-a származik Magyarországról.

Nagyvállalatoknál nagyon heterogén az IT környezet, legalább 8-10 féle rendszerből gyűjtenek információkat. (Routerekből, Linuxos szerverekből, régi unixos main-framekből, windows-os kliensekből, cloud-szerverekből, stb.)

A syslog-ng Store Box olyan nagykapacitású naplózó-szerver, mely számos, egymástól különböző platformról képes gyűjteni az üzeneteket, s ezeket titkosított, aláírt, tömörített és időpecséttel ellátott módon tárolja. Működése megfelel az IT rendszerekre vonatkozó nemzetközi törvények és iparági szabványok előírásainak. A termék a világ leggyakrabban használt központi naplózó szerverének, a több százezer vállalat által kvázi-szabványként alkalmazott nyílt forráskódú syslog-ng technológiának a kereskedelmi változata.

A dobozos, webes felülettel rendelkező termék új kiadása, a most bemutatott feature release. Egyik legfontosabb új tulajdonsága, hogy a termék képessé vált SQL adatbázisból is naplókat gyűjteni, kiszélesítve ezzel a naplózható eszközök körét. A másik fontos változás a többprocesszoros feldolgozás és a kódoptimalizálás révén közel kétszeresére növelt teljesítmény. Ennek eredménye, hogy indexelt forgalom esetén az eszköz már másodpercenként 70 ezer eseményt, vagy óránként 35 GB adatot képes rögzíteni, indexelni, kereshetővé tenni.

Ez a gyakorlatban azt jelenti, hogy egyetlen syslog-ng Store Box segítségével akár 20 ezer, Windows-t futtató tipikus kliens adatai is feldolgozhatók. Egy cég teljes kliens hálózatát, windowsos architektúráját rá lehet ültetni egy ilyen store box-ra. Nagy előrelépést jelent ez az ár-érték arányban, amelytől a BalaBit nagy versenyelőnyt remél, olyan dolog ez, amit a konkurensek nem tudnak. (Hasonló méretű vason a konkurencia 10 ezer kliens tud kezelni.) Lefedhető a BalaBit megoldással egy országszerte számos fiókkal rendelkező pénzintézet teljes naplógyűjtési igénye, az ügyintézők deszktopjától kezdve a központi adatbázis-szerverekig. A termék így kategóriájának egyik legnagyobb teljesítményű megoldásává vált, rendkívül komoly költségmegtakarítási lehetőséget biztosítva a felhasználók számára.

A syslog-ng vonal nagy előnye, hogy bridget tud képezni, össze tudja kötni a különböző adatforrásokat. Számos alkalmazás van, amely SQL adattáblát használ információ-tárolásra, s ebben megoldja a loggolást is. Csinál ilyet pl. maga az Oracle is. A legtöbb rendszer azonban nem ezt csinálja. Olyankor, amikor a rendszerek 90%-a valamely sys-log formátumban, vagy hasonlóban küldi a logokat és mellette van egy-két rendszerünk, amely valamely más módon teszi ezt, akkor kialakul több adatsiló. Ezeket valahogyan integrálni kell. Korábban is megoldották a dolgot kis scriptekkel, de ehhez saját integrációs rendszereket kellett kialakítani, karban kellett tartani, elavulás ellen követésre volt szükség, a teljesítmény időnként nem volt elegendő. A BalaBit megoldás naplógyűjtő központja viszont maga tudja kinyerni ezekből a rendszerekből az adatot és képes konvertálni olyan logokká, amit az összes többi rendszerből be tud gyűjteni, s egységesen kezelni mindkettőt. Ez a BalaBit nagy újítása.

A Store Box különböző méretekben érhető el, a legnagyobb 10 Terabyte-os, ezen kb. 2 hónapnyi adat fér el.

Képes egyfajta lokális cash-ben tartani a legfrissebb adatokat és a régebbieket egy külső háttértárra kimenteni.

Képes megvalósítani a napló-adat ciklus-menedzsmentet. A háttérre való mentés, archiválás periódus-ideje beállítható. Integritás-ellenőrzést végez rajta, ha kell, akkor titkosítva, vagy időközönkénti mintavételezéssel tárolja.

A BalaBit a támogatást, szoftver-követést egy csomagban árulja a termékkel, tehát az első ár ezt tartalmazza, a támogatás szoftverkövetéssel együtt megújítható. A licenc ára a kliensek számától függ.

A vonatkozó trendekről

A naplózó termékvonallal kapcsolatban nyolcadik éve készít nemzetközi felméréseket egy szervezet a logokkal foglalkozó cégekről. Kimutatták, a rendszer-üzemeltetők 80-90%-a a windowsos környezetben meg akarja oldani a naplózást, mert rá van kényszerülve. Többségüknek ezzel komoly problémája van, mert windowsos környezetben eléggé mostoha gyerek a naplózás. A BalaBit már az idén jelentősen bővíti windowsos portfólióját, megjelenik a

syslog-ng windows szerveren és sokat fognak javítani windowsos kliensükön is. Unixos open-source környezetben van több, versenyképes konkurensük, de windowsos környezetben nincs közeli versenytárs.

A cloud naplózást tekintve, a BalaBit megoldás a bemeneti és a kimeneti irányban lehet érdekes, azaz, cloudon futó alkalmazásokból tudjunk begyűjteni adatokat, ill. nagy, cloudon futó analitikai rendszerekbe tudjunk bejuttatni adatokat.

További trend, hogy a napló üzeneteket egyre inkább a logokon lévő ember megtalálására használják, aktivitását ezzel tudják követni. Ebből adódik, hogy egyre szorosabbá fűződik a kapcsolat a BalaBit másik termékével, a Shell Control Boxal, amely a felhasználók aktivitását „trekkeli". A két termék két szempontból végzi a vizsgálódást, a kettő között kell összefüggést teremteni.

Shell Control Box SCB 3 F4

Stange Szilárd, a Shell Control Box termék menedzsere szólt a megoldás SCB 3 F4 változatáról.

A BalaBit IT Security itthon és külföldön egyaránt jól ismert egyedülálló hálózatbiztonsági megoldásairól.

A cég a Shell Control Box terméket 2006 óta fejleszti. A BalaBit IT Security ezen termékét világszinten több mint 300 tevékenység-felügyeleti projektnél használják, amelyből már több mint 6 millió dollár bevételt értek el. Kiemelkedő eredmények mutatkoznak Németországban, Svájcban, Ausztriában, a volt szovjet tagállamokban, ezeken a helyeken lokális képviselettel is rendelkeznek. A vállalat legjövedelmezőbb termékének számító Shell Control Boxot olyan vállalatok és intézmények használják, mint a Telenor Norge, a Dubai Islamic Bank, a Svenska Handelsbanken, a Raiffeisen csoport, a Leibniz szuperszámítógép központ, az Ankara University, Európa egyik legnagyobb energetikai társasága a C.E.Z, vagy Ukrajna vezető távközlési szolgáltatója az MTS Ukraine.

A most bejelentett új funkcióknak és a rendkívül komoly nemzetközi érdeklődésnek köszönhetően az utóbbi évek legsikeresebb magyar IT biztonsági fejlesztésévé válhat a BalaBit terméke.

A BalaBit cégként elérte azt a méretet, amely elegendő alapot nyújt bizonyos technológiák, termékek kifejlesztésre, azok világpiacra vitelére, de mérete még nagyfokú fejlesztési rugalmasságot tesz lehetővé, s közel van az ügyfelekhez, kiváncsi azok igényeire, ezekre igyekszik a lehető leggyorsabban reagálni. A BalaBit minden termékénél támogatja a nyílt szabványokat.

A bejelentett új SCB termékváltozattal lehetőség nyílik a felhasználói tevékenységek monitorozására, különös tekintettel a kiemelt jogosultságú felhasználók tevékenységére, valamint a belső biztonságtechnikai incidensek megelőzésére. Az SCB 3 F4 megoldás elősegíti, hogy a bankok, távközlési szolgáltatók és más kritikus infrastruktúrát üzemeltető, érzékeny adatokat kezelő vállalatok minden tekintetben képesek legyenek megfelelni a törvényi előírásoknak és az iparági szabványoknak.

A Shell Controll Box fejlesztésének jó része a budapesti központban, ill. a két éve nyílt veszprémi kutatóközpontban történik. A veszprémi indíttatású BalaBit jó kapcsolatot ápol a helyi Pannon Egyetemmel. A két kutatóközpontban, az Európai Unió és a Magyar Állam által meghirdetett pályázatok révén, mintegy 71 millió Ft összegű társfinanszírozással fejlesztették ki a Shell Control Box 3 F4-et. A 130 fővel dolgozó BalaBit mintegy 30 mérnöke munkálkodik ezen a terméken.

Mi indokolja ezt a fejlesztést?

A Shell Controll Box kialakításakor a valóság kihívásaira kívántak választ adni; a kiemelt felhasználók hozzáférhetnek adatokhoz, azokat akár el is tulajdonítják, megváltoztatják, teljes rendszerleállást is képesek okozni, miként az a közelmúltban megtörtént az Amazon, a Bank of New York, vagy a City Group rendszerével, stb.

A hazai egyetemeknél is előfordult, hogy nemkívánatos adatok szivárogtak ki az internetre. A BalaBit saját kutatása is igazolja, hogy illegális tartalmak letöltése, bizonyos kritikus rendszerek, vagy tűzfal szabályok megváltoztatása, érzékeny adatokhoz való hozzáférés a szervezetek számára komoly, valós gondot jelent. Ezeket a jelenségeket a vállalatok szeretnék megakadályozni, megfogni, nem csak érzékelni.

A működő rendszereknél találunk rendszermérnököket, és partnereket, akiknek bizonyos fejlesztéseket, munkákat, karbantartási feladatokat kiadunk. Vannak menedzsereink, akik szeretnek mindenhez hozzáférni, s vannak felhasználóink, akik már virtuális deszktopokon dolgoznak, de szeretnénk szemmel tartani, hogy bizonyos kritikus rendszerhelyeken ők mit csinálnak. A felhasználók sokféle protokollal kapcsolódnak rendszereinkhez, SSH, HTTP, Telnet, Citrix, stb. Az SCB 3 F4 újdonsága a HTTP és HTTPS kapcsolatok (routerek, switchek, egyéb eszközök) auditálása. Ezekhez a rendszerekhez azonban a legtöbb esetben a hozzáférés nem tartható felügyelet alatt, nem tudjuk megfogni, egy egyszerű tűzfal nem tudja olyan szinten használni a jogosultság-kezelést, amely az elérések kiválogatását intézni képes. Az LDP protokollok sem tudnak határolást vinni a rendszerbe, „rés a pajzson".

A kiemelt felhasználók (rendszergazdák, szoftverfejlesztők) mindenképpen különleges kezelést kívánnak, ők ezekhez a rendszerekhez teljes mélységben hozzáférnek, bármit tehetnek a rendszeren, akár bizonyos ténykedésük nyomait is képesek eltüntetni. Ők lehetnek belsős alkalmazottak, vagy külsős partnerek, de olyan felhasználók is, akik nem a normál, engedélyezett irányból próbálják rendszereinket elérni. Szeretnénk megtudni, pontosan mit tettek az adott rendszerrel. Vannak bizonyos elfogadott szabályozások PCI DSS, stb. szinten, amelyek megkövetelik nem csak a naplózást, de adott felhasználók mélyebb szintű auditálását is. Ez külső kényszerítő feltételt jelent a szervezetek számára. Sok helyen felismerték, hogy ezek a kiemelt felhasználók valós veszélyt jelentenek a szervezetre, ezért vonatkozó belső szabályozást is létrehoztak. A bizalom nem lehet mindig teljeskörű, hiszen egy új IT vezető, akinek az egész struktúrát át kell látnia, sok ismeretlen emberrel találkozik, akikben meg kéne bíznia, de jobb, ha van valamilyen eszköz a kezében.

Az egyik ilyen eszköz a naplózás, de ez kiemelt felhasználók monitorozásában nem nyújt kellő mélységű információkat. A felhasználói tevékenység nagyon nehezen követhető a naplózásból, ahol végül is csak eredményeket látunk; azt, hogy mi az ami már megtörtént az adott rendszeren. Az, hogy milyen út vezetett odáig, milyen egyéb módosításokat végzett valaki a rendszeren, aminek esetleg nincsen naplóüzenete, nem látható. Sok olyan alkalmazás van, amely nem naplóz megfelelő mélységben; eszközök, főbeállítások változtatását, új szabály felvételét, meglévő módosítását naplózzák, de sok esetben azt nem, hogy mi változott meg a rendszeren.

Az események részletei nem mindig elérhetőek. A kiemelt felhasználók a rendszer mélységéhez hozzáférnek, ezért nem tekinthetjük mindig megbízhatónak azt a naplóforrást, hiszen ő meg tudja akadályozni, hogy azok a naplóüzenetek eljussanak a naplógyűjtő rendszerekbe. Nem beszélve arról, hogy irdatlan mennyiségű, nem kívánatos naplóüzenetet generálhatnak a felhasználók ezekben a rendszerekben.

A probléma kezelésére a Shell Controll Box már korábban is alkalmas volt. Teljes mértékben tudtuk rögzíteni a forgalmat, s video módján visszajátszani, hogy mit csinált a felhasználó. Ez azonban utólagos ellenőrzés csak, amikor a baj már megtörtént. Sok esetben észre sem vesszük, hogy bajban vagyunk, a nemkívánatos események rejtve maradhatnak. Nem biztos pl., hogy a tűzfal-szabály megváltoztatása rögtön kiderül. Felmerül a gondolat, hogyan akadályozzuk meg ezeket az eseményeket. Vannak nemkívánatos parancs-futtatások a rendszerben, nem szeretnénk, ha bizonyos fájlokat letörölnének, bizonyos adatokhoz hozzáférjenek ezek a rendszergazdák. Nem szeretnénk, ha szolgáltatásokat indítanának ellenőrizetlenül, vagy bizonyos szolgáltatásokat leállítanának. Nem szeretnénk, ha bizonyos korlátozottan kiemelt felhasználók, back-up operátorok, egyéb limitált felhasználók megpróbálnának magasabb szintet szerezni. Szeretnénk megakadályozni bizonyos adatok kiszivárgását, hogy még ezen kiemelt adminisztrátoraink se férjenek hozzá, hiszen rengeteg adatot, pl. bankkártya számokat, vagy hallgatói adatokat tárolhatunk adatbázis szerverekben, nem szeretnénk, ha ezek az adatok a rendszeren kívülre kikerülnének.

A fenti gondok megoldásra fejlesztette ki a BalaBit a Shell Controll Box új, SCB 3 F4 változatát. A megoldás a megelőzésre helyezi a hangsúlyt, nem az utólagos nyomozásra. A termékkel a BalaBit trendet próbál létrehozni a kiemelt felhasználók monitorozásának világpiacán. A technológia teljesen magyar fejlesztésű. Ilyen proxy-alapú, rendszerektől független technológiát, amely megelőzésben ezt a működésmódot tudja, ill. amire még a továbbiakban képes lesz, nagyon korlátozott számú gyártó képes produkálni a világpiacon.

A Shell Controll Box független monitorozó megoldás, nem használ agenteket, se kliensen, se szerveren, amihez a rendszergazda hozzáférhetne, deaktiválhatna, kikapcsolhatna, megváltoztathatna. Teljesen független eszközként helyezkedik el a hálózatban a kliens és a szervergép között.

Képes ellenőrizni a távoli szerverekhez, virtuális asztalokhoz és egyéb hálózati eszközökhöz való hozzáféréseket, a rendszerekhez csatlakozó felhasználók teljes munkafolyamatát pedig filmszerűen visszajátszható formában rögzíti, ami visszajátszható, kereshető. Megtekinthető, hogy mit csinált a felhasználó, látjuk azt is, hogy mit gépelt be. Amennyiben a monitoron az „ablakot" kihúzza a képernyő látható tartományából, akkor is meg tudjuk mondani, hogy mit csinált az adott rendszeren.

Az aktuális verzió legfontosabb újdonsága tehát, hogy a nyomon követhetőség mellett biztosítja a felhasználók valós időben történő monitorozását, valamint az eszköz minta-adatbázisa alapján gyanúsnak ítélt tevékenységek automatikus felfüggesztését és riasztások küldését a beavatkozás vagy megelőzés érdekében.

Az új termékkel valós idejű forgalom-elemzést tudunk megvalósítani. A kapcsolat teljes ideje alatt valós időben elemezzük az összes felhasználói interakciót és megjelent tartalmat. Meg tudjuk akadályozni a nemkívánatos eseményeket. Az eszköz különös előnye a megelőző beavatkozás képessége, az, hogy már a gyanús parancsok begépelésekor (pl. egy fájl törlésre jelölésekor) meg tudjuk akadályozni azok végrehajtását, a parancs a távoli szerveren már nem kerül végrehajtásra, meg tudjuk szakítani, s közben értesíteni tudjuk az auditort, az IT vezetőt, egyéb illetékes személyt, hogy itt nemkívánatos esemény történt.

Ez az új fejlesztés új szemléletet, megközelítésmódot is hoz a tevékenység-felügyeleti eszközök piacán, hiszen a korábbi gyakorlattól eltérőn, nem csak az utólagos nyom-elemzést és felderíthetőséget teszi lehetővé, hanem a tényleges megelőzést is. Az új megközelítés rendkívül komoly hozzáadott értéket jelent egy olyan területen, ahol az emberi mulasztásokból, hibákból, vagy ártó szándékból bekövetkezett incidensek, különösen a legnagyobb vállalatoknál, évente akár több millió dollárnyi anyagi kárt, vagy pénzben ki sem fejezhető hitelvesztést eredményeznek.

Összegezve:

HTTP és HTTPS kapcsolatok auditálása

Az SCB 3 F4 verziója már lehetővé teszi a távoli adminisztrációhoz használt HTTP és HTTPS kapcsolatok vezérlő felügyeletét és auditálhatóságát is. Az eszközzel videofelvétel-szerűen rögzíthetők és visszajátszhatók a különböző útválasztók, tűzfalak, egyéb hálózati eszközök, webszolgáltatások webes kezelőfelületének elérésére használt HTTP/HTTPS protokollok történései. Az SCB a kliensek és a szerver közötti összes kommunikációt, kérést és választ, (beleértve az adatrészeket is) audit trail állományokban rögzíti. (http://www.szak.hu/szotar/index.html?audit_trail_0_n.htm ) Ezek az adatok mind megjeleníthetők és felülvizsgálhatók. Sőt, az indexelt audit trail állományokban keresésre is mód van, így egyszerűen megtalálhatók pl. specifikus POST kérések, fájl átvitelek, stb.

Valós idejű tartalomfelügyelet riasztással és a kapcsolatok blokkolásával

Az SCB-vel valós időben felügyelhető az SSH kapcsolatokon zajló forgalom, s ha bizonyos minták (pl. gyanús parancs vagy szöveg) megjelennek a parancssorban vagy a képernyőn, akkor különböző műveletek indíthatók. Ezzel a funkcióval a kockázatos felhasználói tevékenységek így nem csak rögzíthetők és riportolhatók, hanem eleve meg is akadályozhatók. Az SCB képes pl. azelőtt blokkolni egy kapcsolatot, mielőtt egy veszélyes rendszergazdai parancs végrehajtásra kerülne. Az SCB különböző számminták, pl. a bankkártya-számok felismerésére is alkalmas.

A keresendő minták reguláris kifejezésként adhatók meg.

A fejlesztés ezzel a termék-változattal nem ért véget. Az első félévben újabb „nagy dobás" várható, amely a grafikus protokollok támogatását viszi tovább, a képernyőn levő tartalmak valós idejű elemzésével. Hosszú távon pedig olyan technológiát próbál a cég a piacra bevezetni, amely nem konkrét parancsokkal, vagy képernyőn megjelenő tartalmak bekonfigurálásával dolgozik, hanem a teljes rendszert ruházza fel olyan intelligenciával, amely meg tudja mondani, mik azok a gyanús esetek, amelyekre figyelni szeretnénk. (Ilyen lehet pl., amikor bizonyos felhasználói aktivitás normál munkaidőhöz kötött, de a rendszer szombat éjszaka érzékeli.)

A felhasználói konfigurációt a jövőbeni megoldás a lehető legkisebb mértékűre csökkenti, de mégis segít megakadályozni az ilyen eseteket. Nem lesz teljesen önműködő, az adott rendszerhez hozzá kell majd igazítani, de ezt a termék maga elősegíti.

www.balabit.hu

2011: http://www.sans.org/reading_room/analysts_program/logmgt-survey-web.pdf

2012: https://www.sans.org/reading_room/analysts_program/SortingThruNoise.pdf

http://www.balabit.com/company/references

Harmat Lajos