اسپلانک چیست ؟
اسپلانک چیست ؟
Splunk یک فناوری پیشرفته، مقیاس پذیر و مؤثر است که پرونده های ثبت شده در یک سیستم را فهرست بندی و جستجو می کند. اسپلانک این داده های تولید شده توسط ماشین را تجزیه و تحلیل می کند تا بر مبنای هوش ماشین برنامه عملیاتی را ارائه دهد.
ضمناً توسط Splunk میتوان از تمامی دادههای جمع آوری شده به بهترین نحو استفاده و بهره برداری کرد همچنین این امکان نیز فراهم میشود تا با ایجاد سطحی از هوش عملیاتی، سازمان را در سطح بالاتری از عملکرد، رقابت، سودآوری و امنیت قرار دهد تا بتواند به نوعی تمامی دادهها را مشاهده نماید.
پردازش زمان واقعی بزرگترین نقطه قوت Splunk است زیرا، ما شاهد بهبود و بهتر شدن دستگاههای ذخیرهسازی در طول سالها بودهایم، ما شاهد بودهایم که پردازندهها با گذشت هر روز کارآمدتر میشوند.
برای اینکه اطلاعات بیشتری در مورد نحوه عملکرد Splunk به شما بدهم، قصد دارم به شما بگویم که Bosch چگونه از Splunk برای تجزیه و تحلیل داده ها استفاده کرد. آنها داده های مراقبت های بهداشتی را از بیمارانی که از راه دور مرتبط بودند را با استفاده از دستگاه های (حسگرها) IoT جمع آوری کردند. Splunk این داده ها را پردازش می کند و هرگونه فعالیت غیرعادی از طریق رابط بیمار به پزشک گزارش می شود. Splunk به آنها کمک کرد تا به موارد زیر دست یابند:
گزارش وضعیت سلامتی به صورت بلادرنگ در پرونده سلامتی بیمار
الگوها را به صورت عمیق تجزیه و تحلیل کنید.
هشدارها
قابلیت های Splunk Enterprise
این نرم افزار مانند گوگل برای LogFile های تولیدی در یک شبکه از تجهیزات کامپیوتری و الکترونیکی است که به نوع و فرمت لاگها وابستگی ندارد و فقط متنی بودن لاگ ها کافی است تا بتوان آنها را به Splunk Enterprise وارد کرد. مثالهای مختلفی از منابع تولید این لاگها در ادامه آورده شده است:
- لاگهای ایجاد شده توسط تجهیزات امنیتی از قبیل IPS, Firewall, Anti-Virus
- لاگهای ایجاد شده توسط تجیزات زیرساخت از قبیل Switch, Router, Modem
- لاگهای ایجاد شده توسط نرم افزارهای داخلی از قبیل بانکداری، اتوماسیون، مالی، انبار
- لاگهای ایجاد شده توسط سرویس های داخلی ار قبیل AD, DNS, IIS, Apache, DHCP
- لاگهای ایجاد شده توسط سیستم عامل های مختلف از قبیل Windows, Linux, MacOS
- لاگهای ایجاد شده توسط تجهیزات هوشمند و همراه از قبیل گوشی و تبلت
- لاگهای ایجاد شده توسط تجهیزات الکترونیکی از قبیل دربهای برقی، آسانسور، حسگرها، کنترل تردد
Splunk Enterprise تمام لاگهای تولید شده را یکجا دخیره و دسته بندی میکند و امکان ارتباط بین تغییرات و رخدادهای گوناگون در بخشهای مختلف را میدهد و میتوان به ایجاد اصلاحات اقدام نماییم. همچنین از Splunk Enterprise به عنوان یک نرم افزار مانیتورینگ ۳۶۰ میتوان استفاده کرد بدون نیاز به افزودن SNMP یا موارد دیگری که سایر محصولات مشابه نیاز دارند.
قیمت لایسنس اسپلانک Splunk ES
قابلیت های SPLUNK
- سرعت بالا در پردازش دادهها
- سطح بالای سازگاری با دادههای مختلف
- امکان انواع روشهای جستجو (جستجوهای منطقی، امکان جستجوی رشتهای، استفاده از wildcard در پارامترهای جستجو، جستجوی بلادرنگ، جستجو در بازه زمانی و …) و نمایش نتایج جستجو به صورت گزارش، نمودار و داشبوردهای متنوع
- استخراج هوشمندانه فیلدها و بازیابی سریع دادهها، امکان شناسایی فیلدها
- پایش و اخطار و زمانبندی ارائه این هشدارها و مدیریت نمایش هشدارها (ارسال رایانامه، اجرای Script و یا نمایش اخطار و ….)
- گزارشهای متنوع (در قالبهای مختلف و نمودارهای متنوع) و امکان نمایش در داشبوردهای کاربری
- مقیاس پذیری (امکان استفاده از Splunk در سطح سازمانها و شرکتهای کوچک و متوسط تا سازمانهای بزرگ از قابلیتهای آن است.)
- لایسنس و فعال سازی اسپلانک(Splunk License)
- وجود نسخه تریال دوماهه و رایگان که از وبسایت شرکت اسپلانک قابل دانلود و نصب می باشد. هیچ یک از محصولات رقیب از جمله HP ArcSight و IBM Qradar دارای چنین امکانی نیست.
- لایسنس اسپلانک میزان حجم لاگهای ورودی در ۲۴ ساعت را مد نظر قرار میدهد. تا محدودیتی برای ارسال لاگهای تجهیزات خود را به سرویس SIEM نداشته باشند.( لایسنس سایر محصولات معمولاً بر اساس تعداد لاگ تولید شده درثانیه (EPS) می باشد)
- هزینه خرید به مراتب پایین تر نسبت سایر رقبا
- دارای سیستم امنیت مبتنی بر تجزیه و تحلیل هوشمند
- انطباق سریع داده ها با تغییرات در تهدیدات و رویارویی با تهدیدات پیشرفته
- شناسایی سریع تهدیدات در کسری از ثانیه
- تجزیه و تحلیل تهدیدات و پاسخ به تهدایدات
- قدرتبخشی به SOC با پلتفرم هوش امنیتی سریع و انعطافپذیر
- شناسایی، بررسی و گزارش آنی در موارد کلاهبرداری و سوء استفاده
- افزایش اثربخشی فرآیندها و پرسنل SOC
- قابلیت پیادهسازی به صورت Cloud، On-Premise و ترکیبی از این دو حالت
- قابلیت مقیاسپذیری و چابکی
قیمت لایسنس اسپلانک Splunk ES
روشهای ورود اطلاعات به Splunk
روشهای مختلفی برای ورود اطلاعات وجود دارد که به شرح زیر معرفی میگردند:
- بارگذاری فایلها درفرمتهای ساخت یافتهای مانند CSV و فایلهای ثبت وقایع محلی.
- دریافت خودکار دادهها از مسیری مشخص، Syslog ، Script ، WMI و …
- دریافت داده از ارسال کننده Splunk
شاخص بندی داده ها در Splunk
همچنین با توجه به هوشمندی Splunk، امکان شاخصبندی دادههای متعارف شامل موارد زیر قابل انجام میباشد:
- دادههای ساخت یافته، مانند CSV , JSON, XML
- فایلهای رویداد و ثبت وقایع محصولات مایکروسافت مانندActive Directory، Exchange …
- رویدادهای قابل ارسال از طریق Syslog (جمعآوری رویدادها از تجهیزاتی مانند سوئیچهای سیسکو)
- رویدادهای ایجاد شده توسط سرویس دهندههای وب مانند Apache و IIS
- سرویس دهندههای بانکهای اطلاعاتی، Oracle, MS SQL Server, My SQL
Enterprise Security
شرکت اسپلانک علاوه بر افزونههای رایگان متعدد، تعداد محدودی افرونه غیر رایگان نیز ارائه میدهد که مشتریان بنا به نیاز خود با پرداخت مبالغ مشخص میتوانند این افرونهها را به صورت مدتدار یا نامحدود استفاده نمایند، یکی از این افزونههای یاد شده Enterprise Security میباشد. تواناییهای Enterprise Security در یک نگاه
- امکان تجمیع، تحلیل و گزارشها از لاگهای ایجاد شده
- امکان تشخیص و اقدام لازم برای تیمهای امنیتی در زمان به حملات شناخته شده و حتی شناخته نشده داخلی و خارجی
- قابلیت همخوانی با تمامی تجهیزات امنیتی
- مانیتورینگ لحظهای و دورهای وضعیت امنیتی شبکه و رخدادهای امنیتی بر اساس الویتهای دلخواه
- اولیتبندی رخدادها و تعریف عکس العملهای متناسب با هر رخداد
- تعریف Search های دلخواه روی لاگهای موجود به منظور یافتن رفتارهای غیر عادی در شبکه
- تعریف آنالیزهای پویا و به روز به منظور یافتن فعالیتهای مخرب در شبکه به صورت خودکار
بیگ دیتا (Big Data) بیگ دیتا از نظر لغوی بهمعنای «داده بزرگ» است و اصطلاحی رایج است که رشد و در دسترس بودن داده، چه ساختارمند و چه غیرساختارمند، را توصیف میکند. با تجزیه و تحلیل آن میتوان، «الگوهای پنهان» و «همبستگیهای ناشناخته» و سایر اطلاعات مفید را استخراج کرد. در بیگ دیتا عموماً با دادههایی سر و کار داریم که حجم آنها بیشتر از ظرفیت نرمافزارهای عادی است بنابراین در این پروسه، حجم عظیمی از اطلاعات تفکیک نشده و ساختار نیافته در اختیار قرار میگیرد که ساختار بندی و کشف الگوها، کاری دشوار محسوب میشود. دلایل اهمیت بیگ دیتا (Big Data)
- تعیین علت های اصلی شکست ها، مسائل و نقوص در لحظه و صرفه جویی میلیاردها دلار
- بهینه سازی مسیر وسیله های حمل بسته های تحویلی که هنوز در جاده هستند
- محاسبه مجدد ریسک ها در مدت زمان کوتاه
- شناسایی سریع مشتریان دارای بالاترین درجه از اهمیت
Splunk و ارتقا SIEM نرم افزار Splunk از قابلیت های عملکردی SIEM نیز فراتر رفته است و امکانات و توانایی هایی افزون بر SIEM دارد که در ادامه به آنها اشاره خواهد شد:
- Splunk دارای پلتفرم هوش امنیتی کاملاً یکپارچه و مبتنی بر Big Data نسبت به SIEM است.
- Splunk قابلیت تجزیه و تحلیل هوشمند حجم انبوهی از داده های نرمال و قابل اطمینان نسبت به SIEM دارد.
- ارزیابی وضعیت امنیت، مانیتورینگ، کنترل رویداد و هشدار
- تحلیل و بررسی نقض دادهها
- پاسخگویی به تهدیدات پیشرو
- همبستگیهای بین رویدادها
- جستجوهای زمینهای
- تحلیل و شناسایی سریع تهدیدات پیشرفته
- سادهسازی روند مدیریت تهدیدات
- کاهش ریسکها و حفظ امنیت کسب وکار
راهکارهای مختلف نرمافزار Splunk در تکمیل پیادهسازیهای فعلی SIEM
راهکارهای پیادهسازی | سناریو ۱ | سناریو ۲ | سناریو ۳ |
یکپارچهسازی | — | Splunk Feeds SIEM | SIEM Feeds Splunk |
Logging | Splunk & SIEM | Splunk | SIEM |
بررسی Forensics | Splunk | Splunk | Splunk |
همبستگی / اعلام هشدار/گزارش گیری | SIEM | SIEM | Splunk |
انطباق | SIEM | Splunk | Splunk |
سایر نکات | منابع داده مختلف برای Splunk و SIEM | Splunk صرفاً زیر مجموعه های داده های خام را به SIEM ارسال مینماید. | در ابتدا کانکتورهای SIEM روی تعداد زیادی Host قرار دارند که جایگزینی آن را مشکل میکند. |
کاربرد Splunk با اهداف مختلف در راهاندازی SIEM
- دستیابی به SIEM در سطح پایه با Splunk Enterprise و Splunk Cloud
- دستیابی به SIEM پیشرفته با Splunk Enterprise Security
- وجود بیش از ۳۰۰ برنامه امنیتی ، افزونه و امکانات دیگر در Splunk با قابلیتهایی نظیر جستجوهای ازپیشتعریفشده، گزارشگیری و تصویرسازی، مانیتور کردن امنیت، فایروالهای نسل بعدی (Next-Generation Firewall) ، مدیریت تهدیدات پیشرفته و ….
معرفی Splunk ES
Splunk Enterprise Security یا به اختصار Splunk ES میتواند به عنوان یک راهکار امنیتی مطلوب به صورت On-Premise ،Public Cloud ،Private Cloud ،SaaS یا هر ترکیبی از آنها باشد. همچنین این تکنولوژی را میتوان به صورت نرمافزار همراه با Splunk Enterprise یا به عنوان سرویس Cloud همراه با Splunk Cloud استفاده نمود. در ادامه تواناییهای Splunk ES به اختصار ذکر می گردد:
- مانیتورینگ مستمر در جهت واکنش نسبت به رویدادها
- ایجاد یک مرکز عملیات امنیت (SOC)
- شناسایی سریع حملات داخلی و خارجی و واکنش مقتضی
- تسهیل مدیریت تهدید
- کاهش ریسک و افزایش محافظت از کسب و کار
- امکان استفاده از تمام دادهها برای تیم امنیتی در تمام سطوح سازمان
- ارائه قابلیتهای جدید برای مدیریت Alertها، قدرت کشف و شناسایی پویا، جستجوهای زمینهای و همچنین شناسایی و تحلیل سریع تهدیدهای پیشرفته
- ارائه انعطافپذیری در سفارشیسازی در جهت بهبود عملکردهایی شامل جستجوها، هشدارها، گزارشات و داشبوردها مطابق با نیازهای خاص؛ برای انجام مانیتورینگ مستمر، پاسخگویی به رویدادها، مرکز عملیات امنیتی (SOC)
- ایجادامنیت مبتنی بر تجزیه و تحلیل و مانیتورینگ مستمر برای تهدیدها
- بهینهسازی عملیاتهای امنیتیبا زمان پاسخگویی کوتاهتر
- بهبود وضعیت امنیتبا ایجاد دید End-to-End نسبت به تمامی اطلاعات دستگاهها
- افزایش قابلیتهای بررسی و شناسایی با هدف شناسایی ناهنجاریها و تهدیدها
- اتخاذ تصمیمات آگاهانهتر نسبت به تهدیدات
قیمت لایسنس اسپلانک
قیمت لایسنس اسپلانک به نیاز شما یعنی میزان دادههای سازمان شما بستگی دارد و بر اساس حجم داده مورد نیازتان میتواند متفاوت باشد.