Security automation and orchestration
1 like717 views
I’d like to talk about the effectiveness of Security Automation and Orchestration (SAO) in terms of Incident Response.
Security automation and orchestration
- 2. PREFACE ● Target ○ It’s sufficient that you have grasped the concept of SOC, MSS, SIEM. ● Object ○ Introducing Security Automation & Orchestration ○ 실무에 적용해 보고 싶다는 생각을 가지게 된다면 錦上添花 ● Challenge ○ I’d like to talk about the effectiveness of Security Automation and Orchestration (SAO) in terms of Incident Response.
- 3. CONTENTS 1. Definition 2. Components 3. SINE OUA NON 4. Case Study 5. Expected Effectiveness 6. Market and Pure Player 7. Sample: FireEye, Demisto, Open source 8. SIEM as a Service 9. Threat Intelligence
- 4. SAO DEFINITION 다양한 보안 장비/솔루션/서비스들과 연계하여, 분석업무를 지원하는 플랫폼 Security Orchestration represents the union of people, process and technology (by Bruce Schneier, ‘17.3) https://securityintelligence.com/security-orchestration-for-an-uncertain-world/
- 5. SAO COMPONENTS ● Dashboard ● Playbook ○ Use Case, Flow Chart, Automation, Jobs ● Settings ○ Integration ● Incident Response ○ Ticketing System (ex, Jira) ○ Warroom ○ Chatbot ● Reporting Firewall IDS/IPS Web Server CTI (VT, iSight,...) In-house Solution 3rd-Party Solution Security Analyst ESM / SIEM ESM / SIEM ESM / SIEM SAO /w SAO Security Events Computer Incident Prevention Automatically
- 6. ● People ○ R&R - RACI Matrix (Responsible, Accountable, Consulted, Informed) ● Process and Procedure ○ Principle, Charter and so on ● Technology ○ Interconnection ■ Perimeter Defender (ex, Firewall, IPS, etc.) ■ Cyber Threat Intelligence (ex, FireEye iSight, Virustotal, etc.) ■ SIEM (IBM QRadar, Arcsight, Splunk, etc.)
- 7. SAO CASE STUDY 외부 TI에 근거, C&C에 접속하는 것에 대해 관련된 정보를 수집하고 분석, 대응 및 보고하는 일련의 프로세스를 SAO를 통해 보다 정확하고 신속하게 대응한다. 내부망에서 C&C로 알려진 IP에 접속 시도하는 트래픽을 인지하고 SIEM의 Rule에 탐지됨 전통적인 보안관제 대응 SAO 적용한 보안관제 대응 A B C 보안관제 시스템 Security Analyst 악성코드 유포지 / C&C Server 대응시간이 약3시간에서 하루가 넘어가기도 함 가장 많은 시간이 소요되는 정보 수집 및 보고서 작성 등을 자동화로 정확하고 빠르게 대응 이벤트 발생 정보 수집 분석 초동 대응 보고서 작성 발생 수 집 분 석 초동 대응 보 고
- 8. SAO EXPECTED EFFECTIVENESS SAO 플랫폼을 활용하여 보안관제 서비스를 자동화/효율화 함으로써 실제 공격 중인 위협에, 적시에 대응하여 위험을 제거할 수 있다. MSS Over SAO 방어 체계 강화 보안관제 업무 능력 향상 침해사고 지능적 대응 - 분석 자동화로 공격 인지 후 자동차단 가능 - 자동으로 분석된 결과를 기반한 타 보안장비 탐지 스기느처 강화 - 분석 자동화를 통한 보안관제 프로세스 내제화 - 승인 받아 담당자에게 할당하는 조직적인 이벤트의 시급성을 사전에 정의된 Playbook에 의해 판단하고, 방역/예방 업무를 대응이 가능 - 분석 기술 내제화로 순한 근무/이직 등으로 인한 업무 공백 제거 및 분석 능력 상향 평준화 - 다양한 보안솔루션 및 보안위협정보(TI)와 연계를 통한 분석 정확도 향상 - 많은 보안 이벤트를 누락없이 전수 분석(MECE)
- 9. SAO MARKET AND PURE PLAYER 국내보다는 해외에서 시작되고 있으며, 보안 메이저 업체로는 FireEye, IBM, Cisco 와 같은 메이저 업체뿐만 아니라 개발력을 갖춘 벤처 기업의 시장 진입도 활발함 ● RSA 2017 Top10 Security Trends ○ Artificial Intelligence ○ Security Consolidation ○ Analytics ○ Talent Shortage ○ Security Automation & Orchestration ○ Third-Party Risk ○ IoT ○ Rise of MSPs ○ Endpoint Market Maturity ○ Mobile Security ● SAO 사업 전략적 인수 ○ FireEye Helix, INVOTAS Acquisition (‘16.2, $30M) ○ IBM, Resilient Acquisition (‘16.2, $100M) ○ Microsoft, Hexadit Acquisition (‘17.5, $100M) ○ RAPID7 Insight 플랫폼, KOMAND Acquisition (‘17.7) ● 그 밖에 ○ Phantom, Demisto, AlienVault, LogRhythm, ...
- 10. FireEye Security Orchestrator (Helix over FSO) Learn more at www.fireeye.com/orchestration
- 12. OPEN SOURCE ● Apache Metron Big Data Security (Evolving from OpenSOC) ○ https://cwiki.apache.org/confluence/display/METRON/Metron+Wiki ○ Architecture ■ Multi-vendor Sensor Support ■ Leverages the Apache Big Data Ecosystem ■ Interactive Visualization and alerting
- 13. Application Field ● SIEM as a Service ○ FireEye TAP, Threat Analytics Platform ○ AlienVault Unified Security Management & Threat Intelligence
- 14. Appendix#1. Providing by Threat Intelligence Service ● Paper, Bluttine ● Signature ○ File, HASH, IP, Domain (URL) ● OSINT ○ https://cymon.io/ ○ https://criticalstack.com/ ○ OTX, Open Threat Exchange ● Actionable TI ○ IoC (Indicator of Compromise) via API over STIX, TAXII ○ Cyber-Kill-Chain, TTP (Tactics, Techniques and Procedures) ○ Threat Hunting ● Recommend to update SIEM Rule, Infra Architecture, etc. 2020 2015 2010