SIEM integracja

Integracja SIEM z pocztą pozwala centralnie analizować zdarzenia bezpieczeństwa związane z infrastrukturą mailową.

Rola integracji SIEM z pocztą elektroniczną

SIEM, czyli system zarządzania informacjami i zdarzeniami bezpieczeństwa, zbiera dane z wielu źródeł, normalizuje je i koreluje w celu wykrywania zdarzeń mogących wskazywać na naruszenie bezpieczeństwa. W przypadku poczty elektronicznej źródłem informacji mogą być serwery pocztowe, bramy antyspamowe, systemy ochrony przed złośliwym oprogramowaniem, usługi uwierzytelniania oraz urządzenia sieciowe obsługujące ruch do i z infrastruktury mailowej. Integracja nie polega na przekazywaniu do SIEM całej treści wiadomości, lecz przede wszystkim na dostarczaniu metadanych i komunikatów o działaniach systemu.

Do analizowanych zdarzeń należą między innymi próby logowania, nieudane uwierzytelnienia, zmiany konfiguracji skrzynek, przekierowania poczty, odrzucenia wiadomości, wykrycie spamu, blokady załączników oraz alerty dotyczące podejrzanych adresów nadawców lub odsyłaczy. SIEM może zestawić takie informacje z logami z innych systemów. Przykładowo, wielokrotne nieudane logowania do skrzynki połączone z udanym logowaniem z nietypowego adresu IP i późniejszą zmianą reguły przekierowania stanowią spójniejszy sygnał niż pojedynczy wpis rozpatrywany osobno.

Jak dane pocztowe trafiają do systemu analitycznego

Techniczny sposób integracji zależy od możliwości konkretnego systemu pocztowego i platformy SIEM. Często wykorzystywane są komunikaty syslog przesyłane z urządzenia lub usługi do centralnego kolektora. W innych przypadkach dane są pobierane przez interfejs API, odczytywane z plików dziennika albo przekazywane przez dedykowany konektor producenta. Niezależnie od transportu istotne jest zachowanie podstawowych pól zdarzenia: czasu w uzgodnionej strefie, identyfikatora użytkownika, adresu IP, nazwy hosta, typu operacji, wyniku oraz identyfikatora wiadomości lub sesji, jeżeli system go rejestruje.

Po odebraniu wpisy są mapowane na wspólny model danych. Dzięki temu różne komunikaty oznaczające podobne działania mogą być analizowane według jednego kryterium, nawet gdy pochodzą z różnych produktów. System powinien rozróżniać co najmniej logowanie udane i nieudane, odrzucenie wiadomości, dostarczenie, przekazanie do kwarantanny, zmianę ustawień konta oraz operację administracyjną. Należy również ustalić, czy czas zapisany w źródle jest lokalny, czy wyrażony w UTC. Błędna interpretacja strefy czasowej utrudnia odtworzenie kolejności zdarzeń i może powodować nieprawidłowe korelacje.

Korelacja zdarzeń i wykrywanie nieprawidłowych przepływów

Największa wartość integracji pojawia się wtedy, gdy SIEM nie ogranicza się do przechowywania logów, lecz łączy zdarzenia w sekwencje. Reguła detekcji może wskazywać na serię nieudanych prób uwierzytelnienia z wielu adresów, nagły wzrost liczby wysyłanych wiadomości, logowanie do tego samego konta z odległych lokalizacji albo utworzenie automatycznego przekierowania po zmianie hasła. Każda z tych sytuacji może mieć legalne wyjaśnienie, dlatego reguła powinna uwzględniać kontekst, na przykład konto użytkownika, zakres adresów zaufanych, typ klienta pocztowego i wcześniejszą aktywność.

Integracja pomaga także analizować przepływ wiadomości między etapami obsługi poczty. Przykładowo, komunikat o przyjęciu wiadomości, wpis z kontroli antyspamowej, decyzja o kwarantannie i późniejsze zwolnienie wiadomości powinny dać się powiązać za pomocą identyfikatora wiadomości, adresów nadawcy i odbiorcy oraz przedziału czasowego. Brak któregoś z tych pól może powodować duplikaty albo utrudniać ustalenie, czy dwa wpisy dotyczą tej samej wiadomości. Alert powinien wskazywać źródłowe zdarzenia, regułę, która doprowadziła do jego utworzenia, oraz poziom pewności, zamiast prezentować wyłącznie ogólny komunikat o podejrzanej aktywności.

Warunki poprawnego wdrożenia i utrzymania integracji

Przed uruchomieniem przepływu danych trzeba określić zakres zbieranych logów, częstotliwość ich przekazywania, sposób uwierzytelniania konektora oraz reakcję na niedostępność kolektora SIEM. Ważne jest sprawdzenie, czy źródło nie ogranicza liczby komunikatów, nie obcina długich pól i nie usuwa identyfikatorów potrzebnych do korelacji. Należy również kontrolować opóźnienie między wystąpieniem zdarzenia a jego pojawieniem się w SIEM, ponieważ opóźnione dane mogą zmienić kolejność analizy. Po zmianie wersji oprogramowania pocztowego lub konfiguracji logowania integrację trzeba ponownie przetestować.

Test powinien obejmować zarówno zdarzenia oczekiwane, jak i sytuacje błędne: udane oraz odrzucone logowanie, wysłanie wiadomości, blokadę załącznika, wpis do kwarantanny, zmianę ustawienia konta i przerwę w dostarczaniu logów. Wynikiem powinno być potwierdzenie kompletności pól, poprawności czasu, braku nieuzasadnionych duplikatów oraz prawidłowego działania reguł korelacyjnych. W środowisku użytkownika końcowego problemy z takim przepływem często wymagają najpierw sprawdzenia systemu operacyjnego, połączenia sieciowego, lokalnego klienta pocztowego i stanu urządzenia, ponieważ awaria komputera może wyglądać jak brak aktywności pocztowej, mimo że centralna integracja działa prawidłowo.