강력한 보안 운영, 강력한 세분화

조직이 효과적인 SecOps 무기고의 일부로 배포할 수 있는 모든 강력한 도구를 고려할 때, 좋은 것이 너무 많을 수 있는 것은 아닌지 궁금해집니다.   

이러한 많은 도구의 보안 운영과 이러한 도구가 생성하는 경고를 개선하기 위해 많은 사람들이 "단일 창(" )을 통해 보안을 중앙에서 관리하기 위해 SIEM에 의존하고 있는 것은 진부한 표현처럼 당연합니다. 

팀은 몇 가지 주요 이유로 전체 보안 태세 전반에서 인사이트를 얻기 위해 SIEM에 의존합니다. 첫째, 조직이 직면할 수 있는 심각한 위협을 신속하게 파악합니다. 둘째, 공격에 대한 관련 맥락과 세부 정보를 파악하는 데 걸리는 조사 시간을 단축할 수 있습니다. 셋째, 더욱 자동화된 작업과 워크플로우를 통해 팀이 더 빠르게 대응할 수 있습니다.   

이러한 상황에서 벤더는 보안팀의 업무가 더 쉬워지도록 SIEM과의 깔끔한 통합을 제공해야 합니다.  

이러한 이유로 Illumio는 Splunk와 긴밀하게 통합되어 있습니다. 공동 고객은 보안 상태를 더 잘 이해하고 몇 번의 클릭만으로 공격에 대응할 수 있습니다. Illumio 통합은 직관적이고 세심하게 제작된 시각화를 사용하여 팀이 한눈에 상황을 파악하고 이해하여 클릭 한 번으로 대응할 수 있도록 합니다. Splunk와 Illumio를 통해 데이터 센터에서 어떤 머신이 손상될 수 있는지 또는 세분화 정책이 부족한지 팀에게 알려줍니다. 

하지만 이러한 중요한 질문에 답할 수 있다는 것은 Splunk 통합의 이점의 시작에 불과합니다: 

• 귀중한 팀 리소스를 어디에 배치할지 파악하세요: 이벤트 알림은 발생 중인 보안 이벤트를 명확하게 강조 표시하므로 팀은 영향을 받을 수 있는 자산과 즉시 대응해야 할 위치를 알 수 있습니다. 
• 세분화가 안전한지 파악하세요: 숙련된 공격자는 데이터에 액세스하기 위해 방화벽 및 세분화 설정을 변조하려고 시도할 수 있습니다. 이러한 이유로 저희는 세분화가 얼마나 안전한지 보여드리기 위해 방화벽 변조 시도를 iptables 또는 Microsoft WFP(Windows 필터링 플랫폼)에서 강조 표시합니다. 서버가 불법적인 권한을 얻거나 보안 정책을 우회하려고 시도하는 경우 즉시 알려줍니다.  
• 진행 중인 공격 시도를 확인하세요: 공격에서 측면 이동은 종종 포트 스캔이 선행됩니다. 포트 스캔이 본질적으로 나쁜 것은 아니지만, 포트 스캔은 종종 누군가가 내부적으로 이동할 수 있는 위치를 찾기 위해 정찰을 수행하고 있음을 나타냅니다. 포트 스캔을 강조 표시하여 공격이 임박했음을 나타내는 의심스러운 활동이 있는지 즉시 알 수 있습니다. 
• 어떤 머신이 의심스러운 행동을 하는지 확인하세요: 호스트별로 차단된 상위 트래픽을 명확하게 시각화하여 호스트가 공격을 받고 있는지 빠르게 파악할 수 있습니다. 또한 이 시각화를 통해 호스트 세분화 정책이 잘못되어 예기치 않은 트래픽이 차단되는지도 알 수 있습니다. 
• 비즈니스와 보안팀 사이의 완벽한 연결: 정책을 시행하기 전에 잠재적으로 차단 될 수 있는 트래픽을 한 눈에 파악할 수 있습니다. 즉, 보호하려는 비즈니스 애플리케이션을 손상시키지 않도록 라이브 서비스 전에 세분화 정책을 쉽게 확인할 수 있습니다.   
• 빠르게 조사하세요: 비정상적인 동작을 보이는 워크로드를 조사할 때는 문제가 무엇인지 즉시 파악하고 싶을 것입니다. 모든 워크로드 세부 정보, 트래픽 이벤트, 감사 이벤트가 단일 보기로 통합되어 관련 조사 작업의 양이 줄어듭니다. 
• 클릭 한 번으로 공격을 차단하세요: Splunk의 통합으로 보안 가시성을 명확하게 확보할 수 있지만, 그에 못지않게 중요한 것은 팀에서 조치를 취할 수 있다는 점입니다. 클릭 한 번으로 Splunk에서 직접 의심스러운 워크로드를 격리할 수 있습니다.   
• 클릭 몇 번으로 알림을 생성하세요: 알림을 만들려면 팀이 시스로그 메시지를 마스터하고, 그 내용과 문맥을 깊이 있게 이해한 다음 정규식을 만들어야 합니다. 사용자가 가장 중요한 Illumio PCE 생성 메시지에 대한 새로운 알림 구성을 생성할 수 있는 그래픽 인터페이스를 통해 사용자는 Splunk의 알림을 신속하게 활용하여 Illumio 배포를 관리할 수 있습니다.  

다음 블로그 게시물에서 Splunk 통합의 기능에 대해 자세히 살펴볼 예정이니 기대해 주세요. 

최신 버전을 시작하려면 Splunkbase로 이동하여 다운로드하세요 (https://splunkbase.splunk.com/app/3658/).