Обеспечение безопасности программ с помощью Splunk и Tenable

22 июня 2023

Цифровой ландшафт сейчас развивается быстрыми темпами. Организации вынуждены искать более надежные методы защиты своей инфраструктуры. Команды безопасности в таких условиях играют в игру «Убей крота», когда на фоне стремительного роста кибератак и уязвимостей, они пытаются построить надежную защиту. 

Компания Splunk провела традиционный опрос Splunk State of Security 2023. По его результатам 53% пользователей считают, что соответствовать требованиям безопасности стало труднее, чем два года назад. Исследование Check Point показало, что в 2022 году компании столкнулись с атаками на 38% чаще, чем в 2021 году. В четвертом квартале 2022 года в среднем на каждую организацию приходилось 1168 еженедельных атак в апреле 2022 г. и 2363 в апреле 2023 г., что на 14,7% больше, чем в прошлом году.

Реальность такова, что пока не удается полностью искоренить кибератаки, но их можно контролировать, управлять, уменьшать их интенсивность. Splunk поставил перед собой задачу помочь службам безопасности более эффективно и быстро устранять угрозы за счет улучшения операций и аналитики безопасности. Для повышения эффективности операций безопасности в 2023 году разработчик Splunk создал стандартизированное решение, которое устраняет необходимость управления безопасностью по принципу «вращающегося кресла». Splunk Mission Control позволяет службам безопасности автоматизировать рабочие процессы с помощью Splunk SOAR и эффективно управлять жизненным циклом инцидентов с единой консоли.

Splunk сотрудничает со своим стратегическим партнером по управлению уязвимостями, компанией Tenable. Объединение усилий этих производителей позволяет создать унифицированные операции в сфере безопасности для немедленного их использования в Splunk. Для улучшения аналитических способностей групп безопасности Splunk предоставляет специалистам все данные и мощные возможности.

Этот подход принес разработчику признание в отрасли, а ведущие аналитические организации Gartner, Forrester и IDC назвали Splunk лидером в области SIEM. Аналитика уязвимостей – важный этап в работе служб безопасности для распределения предупреждений и принятия правильных ответных действий. Таким образом, Tenable и Splunk создали интеграцию, которая объединяет журналы безопасности, поведенческие данные и аналитику угроз от Splunk с информацией о кибер-уязвимости от Tenable.

Интеграция обеспечивается надстройкой Tenable и приложением Tenable для Splunk, которые доступны на Splunkbase. Надстройка Tenable для Splunk облегчает получение данных из нескольких источников Tenable, включая Tenable.io, Tenable.sc Vulnerability и Tenable.sc Mobile, в Splunk. Приложение Tenable для Splunk предоставляет готовые к использованию основные информационные панели, визуализации и отчеты на основе предварительно созданных настраиваемых корреляционных поисков. Такие поиски охватывают уязвимости и данные Nessus Network Monitoring (NNM).

Когда вся информация Tenable упорядочена и готова к поиску в Splunk, специалисты могут анализировать данные об уязвимостях с помощью запросов Splunk. Например, все, что нужно для поиска в Splunk открытых критических уязвимостей в среде, — это выполнить простой запрос SPL query: index=* sourcetype=”tenable:sc:vuln” severity=critical state=open.

Аналитики могут выполнять перекрестную корреляцию данных с сопоставлением другой информации, относящейся к безопасности. Это поможет определить приоритеты событий безопасности для расследования и устранения инцидентов. Например, при расследовании подозрительного события, обнаруженного Splunk и связанного с конкретным устройством, аналитикам могут понадобиться данные сканирования уязвимостей для этого устройства. Это нужно, чтобы увидеть, есть ли на нем какие-либо неисправленные уязвимости высокой степени серьезности. Если хост давно не сканировался, аналитик может запросить через Splunk Enterprise Security Adaptive Response Actions сканирование Tenable непосредственно из консоли расследования Splunk.

Допустим, специалисты по безопасности хотят изучить информацию об уязвимостях при оценке киберриска предприятия. Они могли бы использовать статус подверженности устройств, указанный в данных Tenable, как фактор, влияющий на оценку риска в оповещениях Splunk Enterprise Security.

Таким образом, наличие неисправленной критической уязвимости на устройстве повысит общий анализ риска. А события и оповещения, связанные с устройством, получат более высокий приоритет.

Какие преимущества получают команды безопасности от интеграции Splunk и Tenable:

1. Полная видимость и способность реагировать быстрее. Интегрированное решение обеспечивает всестороннюю видимость уязвимостей и событий. Повышается точность обнаружения, определяются приоритеты угроз, ускоряется реагирование.
2. Обширная база для оценки безопасности. Интеграция обогащает среду безопасности данными о воздействии отделов ИТ и ОТ для точной оценки рисков и эффективного расследования инцидентов.
3. Прогностическая приоритизация. С помощью Splunk и Tenable организации могут расставлять приоритеты при расследовании инцидентов и реагировании на них в зависимости от бизнес-рисков. Группы безопасности смогут сосредоточить свои усилия на самых критических уязвимостях. В этой ситуации оптимизируется использование ресурсов SecOps и повышается эффективность.
4. Оптимизация рабочих процессов. Взаимодействие Splunk и Tenable позволяет безопасникам использовать адаптивные ответные действия, запрашивать сканирование уязвимостей и получать к ним доступ непосредственно в консоли расследования Splunk.
5. Быстрая реализация поставленных целей. Проверенная интеграция между Splunk и Tenable помогает специалистам упростить процесс внедрения, минимизировать затраты на интеграцию и ускорить эффективность.

В условиях постоянного увеличения роста атак и уязвимостей повышается необходимость применения эффективных действий по обеспечению безопасности. Интеграция между Splunk и Tenable расширяет возможности, доступные аналитикам в рамках унифицированных операций безопасности Splunk. Организации смогут снизить киберриски благодаря обнаружению, устранению наиболее критических угроз на базе данных об инцидентах из Splunk, которые дополнены информацией об уязвимостях из Tenable.