Page 1 sur 7. CiscoWorks Security Information Management Solution 3.1, une nouvelle étape dans la protection de l'infrastructure d'entreprise

Transcription

1 Fiche Technique CiscoWorks Security Information Management Solution 3.1, une nouvelle étape dans la protection de l'infrastructure d'entreprise L'un des principaux challenges de la sécurité d'entreprise réside dans la gestion des innombrables alertes générées par un nombre croissant de périphériques et de systèmes de sécurité multifournisseurs. Le recours à l'automatisation est indispensable pour isoler et classer par priorité les quelques messages qui signalent de réelles menaces pour la sécurité. La clé d'une automatisation efficace de la sécurité repose sur une technologie logicielle baptisée Security Information Management (SIM). CiscoWorks SIMS (Security Information Management Solution) 3.1 s'appuie sur une technologie de netforensics et intègre de puissantes fonctionnalités pour le recueil et l'analyse de la multitude de données d'événements de sécurité que les sociétés doivent prendre en charge. Les sociétés peuvent gérer leur infrastructure de sécurité en pleine expansion et surveiller efficacement des millions de messages liés à des événements sans personnel supplémentaire. Avec CiscoWorks SIMS 3.1, l'utilisateur dispose d'une solution qui offre : une surveillance exhaustive des événements pour les environnements basés sur l'architecture SAFE et tous les environnements de sécurité multifournisseurs ; une visualisation avancée pour une surveillance de sécurité rapide et intuitive ; une évaluation des risques intégrée permettant de comprendre la vulnérabilité globale d'une ressource individuelle quelconque de l'entreprise ; des rapports et des données juridiques complets pour tous les niveaux d'opérations de sécurité ; des gains de productivité et une réduction des coûts. CiscoWorks SIMS 3.1 offre ces fonctionnalités par l'intermédiaire du logiciel plébiscité netforensics, composant central de la solution. CiscoWorks SIMS 3.1 collecte, analyse et met en corrélation les informations d'événements de sécurité de toute l'entreprise au cours de quatre étapes distinctes : normalisation, agrégation, corrélation et visualisation. Copyright 2000, Inc. Tous droits réservés. Page 1 sur 7

2 Normalisation et agrégation Durant les phases de normalisation et d'agrégation, les événements de sécurité sont collectés à partir de la quasi-totalité des systèmes de détection d'intrusions, des pare-feu, des systèmes d'exploitation, des applications et des systèmes antivirus. Ces informations sont alors converties au format commun XML pour une compréhension plus facile. Les événements sont ensuite agrégés pour supprimer les doublons : les opérateurs de sécurité obtiennent ainsi un message unique et non 6000 après analyse d'un port au travers d'un pare-feu PIX. Corrélation Un mécanisme de corrélation statistique classe les événements de sécurité normalisés en types d'incident de sécurité, par ressource ou groupe de ressources. Il existe de nombreux types d'incident : attaque de reconnaissance, attaque de virus, attaque de refus de service, etc. Pour chaque ressource, un score de menace est calculé en continu, en combinant la gravité des événements et la valeur de la ressource pour déterminer une mesure globale du potentiel d'incident de sécurité. L'avantage clé de ce modèle est sa capacité à repérer des anomalies qui passeraient inaperçues avec un dispositif de corrélation reposant sur des règles. Visualisation CiscoWorks SIMS 3.1 affiche les résultats mis en corrélation sur une console temps réel centralisée dotée d'une interface graphique basée sur Java qui allie puissance, intuition et convivialité. Le tableau de bord exécutif fournit en temps réel une vue des tendances de sécurité dans l'entreprise et la console temps réel permet de repérer rapidement les attaques de sécurité grâce à des fonctions de corrélation et d'analyse en temps réel. Copyright 2000, Inc. Tous droits réservés. Page 2 sur 7

3 Évaluation des risques En termes de sécurité, l'évaluation des risques implique une connaissance de la vulnérabilité globale d'une ressource individuelle quelconque de l'entreprise. Le risque est généralement défini comme la combinaison d'une menace, d'une vulnérabilité et d'une valeur où : La menace représente tout trafic ou activité anormal sur un système ou une ressource. netforensics attribue un score à chaque type de menace selon qu'il s'agit d'une analyse de port ou d'un échec de connexion. Ces scores entrent ensuite dans le calcul du risque global. La valeur représente le niveau d'importance (par exemple, en dollars) d'un système ou d'une ressource spécifique. La variable de valeur est définie par l'utilisateur pour chaque ressource de l'entreprise. La vulnérabilité représente la probabilité d'aboutissement d'une menace sur un système ou une ressource. La solution combine ces éléments pour attribuer un score de risque global à chaque ressource de l'entreprise, les scores les plus élevés correspondant aux plus fortes vulnérabilités. La solution génère un rapport d'évaluation de risque qui contient les détails nécessaires concernant chaque ressource et le risque correspondant. La connaissance de la vulnérabilité des ressources spécifiques de l'entreprise permet de renforcer les stratégies de sécurité existantes. Résumé Alors que la protection de l'infrastructure informatique des entreprises s'inscrit en tête des préoccupations, les sociétés doivent s'appuyer sur la technologie pour assimiler la quantité d'informations liées aux événements de sécurité générée par un nombre croissant de périphériques et de systèmes de sécurité. La technologie a non seulement pour rôle d'aider les organisations à réduire le risque d'attaque, mais elle doit également accélérer la réponse en cas d'attaque. CiscoWorks SIMS 3.1 améliore l'efficacité des équipes de sécurité en place et, par suite, contribue à la réalisation d'un retour sur investissement réel mesurable. Options de déploiement flexibles La solution CiscoWorks SIMS 3.1 est disponible à la commande en plusieurs configurations. 1. Option logiciel seul. Cette option permet de mettre en œuvre une architecture serveur multiniveaux. Elle convient aux déploiements étendus. 2. Option composant. Cette configuration comporte la solution CiscoWorks SIMS 3.1 préinstallée sur la plate-forme matérielle Cisco Elle facilite le déploiement pour le client. L'option composant offre les mêmes fonctionnalités que le pack de démarrage logiciel seul. Elle comprend une licence qui permet de surveiller jusqu'à 30 périphériques. Toutefois, si le volume global d'événements provenant du réseau est particulièrement élevé, le composant peut ne pas supporter les 30 périphériques annoncés. Si le volume d'événements est peu important, l'utilisateur peut acheter des licences supplémentaires permettant de surveiller plus de 30 périphériques. Le nombre réel de périphériques que le composant peut supporter est fonction de plusieurs variables, dont le débit des messages, la stratégie de rétention et le type de périphérique. Le composant inclut plusieurs outils tels que System Health Monitor pour mesurer le débit des messages et les performances du logiciel. Copyright 2000, Inc. Tous droits réservés. Page 3 sur 7

4 Option logiciel seul Architecture distribuée Évolutivité globale Service d'installation 1 à 4 jours Destiné aux déploiements de moyenne à grande envergure Option composant Serveur unique Évolutivité régionale Temps de configuration minimal Destiné aux déploiements de petite à moyenne envergure Périphériques supportés pour la surveillance. Tableau 1 Sources d'événement et versions supportées Application/Périphérique Version Composants nf Arbor Peakflow DoS 2.1 Agent for Arbor Peakflow Check Point FireWall-1 NG, 4.1 Agent for Check Point Cisco IOS ACL, FW, IDS 12.2, 12.0 Syslog File Agent Cisco Secure ACS 3.1,3.0 Agent for CSACS Module Cisco Firewall Switch Syslog File Agent Cisco Secure IDS 4.1,4.0, 3.1, 2.5, 2.2 CSIDS Agent Cisco Secure PIX Cisco Secure PIX IDS 6.3, 6.2, 6.1, 6.0, 5.3, 5.2, 5.1, , 6.2, 6.1, 6.0, 5.3, 5.2 Syslog File Agent Syslog File Agent Cisco Security Agent 4.0 (nécessite Management Center pour que les Cisco Security Agents suivent les événements) Cisco VPN Concentrator 3.1, Syslog File Agent CyberGuard Firewall 5.1 Agent for CyberGuard Dragon Sensor / Squire 6.1 / Agent for Dragon Entercept HIDS 4.0, 2.5, 2.0 Agent for Entercept Intruvert 1.2 Agent for Intruvert ISS RealSecure HIDS / NIDS 6.5, 6.0, 5.5 / 7.0, 6.5, 6.0 Agent for ISS RealSecure ISS SiteProtector 2.0 Agent for ISS SiteProtector NetScreen 4.0 Agent for NetScreen Copyright 2000, Inc. Tous droits réservés. Page 4 sur 7

5 Application/Périphérique Version Composants nf Network Flight Recorder 3.0 Agent for NFR Secure Computing Sidewinder 5.2 Agent for Sidewinder Sourcefire 2.0 Agent for Sourcefire Snort NIDS 1.8 Agent for Snort Symantec Enterprise FW/VPN 7.0, 6.5 Agent for Symantec Symantec ManHunt NIDS 2.2 Enterprise Firewall/VPN Symantec ITA 3.6 Agent for Symantec Tripwire NIDS 3.0 Agent for ManHunt UNIX OS Events Solaris 8/7/6, Linux 7.2/7.1 Agent for Tripwire Serveurs Web Apache, IIS, iplanet Agent for Web Servers Événements Windows Win 2000 Server / Adv.Server UNIX OS File Agent La liste des sources d'événements et des versions supportées est régulièrement mise à jour. Il est possible que les informations de cette fiche technique ne soient pas les plus récentes. Configuration requise pour l'option logiciel seul Systèmes d'exploitation supportés Le tableau 2 énumère les systèmes d'exploitation supportés pour les différents composants netforensics. Tableau 2 Récapitulatif des systèmes d'exploitation supportés Composant Systèmes d'exploitation supportés nf Engine Red Hat Linux, Solaris 8 nf Master Red Hat Linux, Solaris 8 nf Provider/Oracle 9i Database Red Hat Linux, Solaris 8 nf Web Server Red Hat Linux, Solaris 8 nf Agent for Arbor Peakflow nf Agent for Check Point nf Agent for CSACS Windows 2000 Copyright 2000, Inc. Tous droits réservés. Page 5 sur 7

6 Composant Systèmes d'exploitation supportés nf Agent for CSIDS Red Hat Linux, Solaris 8 nf Agent for CSIDS 4.0 nf Agent for CyberGuard nf Agent for Dragon Red Hat Linux, Solaris 8 nf Agent for Entercept Windows 2000 nf Agent for ISS RealSecure Windows 2000 nf Agent for ManHunt nf Agent for Raptor Solaris 8, Windows 2000 nf Agent for Sidewinder nf Agent for Snort Red Hat Linux, Solaris 8 nf Agent for Tripwire nf Agent for Windows Windows 2000 nf Batch Agent Red Hat Linux, Solaris 8 nf Batch Agent for Check Point nf Syslog File Agent nf Universal Agents nf UNIX File Agent Red Hat Linux, Solaris 8 Remarque : Red Hat Linux 7.1 (Kernel 2.4.9) ou Advanced Server uniquement ; Windows 2000 Server/Advanced Server (SP2) uniquement ; Solaris sur SPARC uniquement Copyright 2000, Inc. Tous droits réservés. Page 6 sur 7

7 Installation complète Tableau 3 Configuration minimale pour installation complète de l'option logiciel seul Composant Système d'exploitation Processeur Requis Voir la section "Systèmes d'exploitation supportés" Linux : Deux Intel Pentium 4 à 1,5 GHz (classe serveur) Solaris : Deux UltraSPARC-IIi à 444 MHz (classe serveur) Mémoire Espace disque disponible Périphérique de stockage Offres logicielles 4 Go de mémoire système au total 18 Go (voir la section "Disk Partitions" dans le guide Quick Start de netforensics) CD-ROM Linux : serveur FTP anonyme, bibliothèques de développement, développement kernel Solaris 8 : Voir la section "Solaris Patches and Packages" dans le guide Quick Start de netforensics Références pour commande Vous trouverez les références nécessaires à toute commande dans la fiche produit, à l'adresse : Copyright 2000, Inc. Tous droits réservés. Page 7 sur 7