Сергей Жестов

Информационная безопасность.

Участвовал в Инфотелеком-2022 в вузе СПБГУТ Бонч-Буревича по направлению Безопасность компьютерных систем. Защищенные системы и сети связи.

Занял 3 место с докладом о применении межсетевых экранов в дата-центре в летней школе по информационной безопасности в СПБГУТ.

 Введение в SIEM и SIEM Kuma

• Основы SIEM: Изучение принципов работы SIEM-систем, их роли в мониторинге безопасности, сборе и анализе логов.
• Знакомство с SIEM Kuma: Обзор функциональных возможностей платформы, ее архитектуры и преимуществ перед другими решениями.
• Сценарии использования: Понимание, как SIEM Kuma может быть использована для обнаружения инцидентов, расследования и предотвращения атак.

2. Развертывание SIEM Kuma

• Установка и настройка:
  • Подготовка инфраструктуры (серверы, хранилища данных, сетевые настройки).
  • Установка SIEM Kuma на выбранную платформу (например, Linux-сервер).
  • Настройка базовых параметров: роли пользователей, доступы, интеграция с Active Directory или LDAP.
• Сбор и нормализация логов:
  • Настройка источников данных (лог-серверы, сетевые устройства, приложения).
  • Нормализация логов для унификации форматов данных.
• Интеграция с другими системами: Настройка интеграции с базами данных, системами тикетов (например, Jira), SOAR-платформами.

3. Работа с логами и событиями

• Анализ логов:
  • Изучение структуры логов (например, Syslog, Windows Event Log, журналы веб-серверов).
  • Поиск аномалий и подозрительных событий.
• Создание дашбордов:
  • Настройка визуализации данных для мониторинга ключевых показателей безопасности (KPI).
  • Использование графиков, диаграмм и отчетов для анализа данных.

4. Создание корреляционных правил

• Основы корреляции:
  • Понимание принципов корреляции событий для выявления сложных атак.
  • Изучение встроенных правил и шаблонов.
• Написание простых правил:
  • Создание правил для обнаружения базовых угроз (например, множественные неудачные попытки входа, сканирование портов).
• Разработка сложных правил:
  • Использование логических операторов (AND, OR, NOT) для создания многоуровневых правил.
  • Пример: обнаружение атаки методом "перебор учетных данных" (Brute Force) с учетом временных интервалов и количества попыток.
• Тестирование и оптимизация правил:
  • Проверка корректности работы правил на тестовых данных.
  • Оптимизация производительности для минимизации ложных срабатываний.

5. Расследование инцидентов

• Триггеры и уведомления:
  • Настройка оповещений (email, SMS, интеграция с мессенджерами).
• Анализ инцидентов:
  • Использование SIEM Kuma для расследования инцидентов, включая поиск root-причины.
  • Работа с цепочками событий (Event Correlation).
• Создание отчетов:
  • Генерация отчетов для руководства и аудиторов.

6. Расширенные возможности SIEM Kuma

• Интеграция с Threat Intelligence:
  • Использование внешних источников данных об угрозах для улучшения корреляции.
• Автоматизация:
  • Настройка автоматических ответов на инциденты (например, блокировка IP-адресов через интеграцию с файрволом).
• Масштабирование системы:
  • Оптимизация производительности для работы с большими объемами данных.

7. Практические кейсы

• Реальные сценарии:
  • Анализ кейсов из реальной жизни, таких как атаки методом SQL-инъекций, фишинговые кампании, атаки на IoT-устройства.
• Симуляции атак:
  • Проведение учебных атак (например, с использованием Metasploit) и их обнаружение с помощью SIEM Kuma.

8. Итоговая аттестация

• Тестирование знаний:
  • Проверка понимания принципов работы SIEM, навыков настройки и написания корреляционных правил.
• Практический экзамен:
  • Развертывание SIEM Kuma в тестовой среде, настройка источников данных и создание корреляционных правил для обнаружения сложных угроз.