SIEM

Implementacin de un
correlacionador de eventos
Juan Carlos Flores Ibarra
Edgar Israel Rub Chvez
 Antecendentes SIEM
SIM Security Information Management

Sistema de Gestin de activos

Incorpora sistemas de seguridad de la informacin

Reportes deben ser mapeados a un sistema envolvente

 Antecendentes SIEM
SEC - Security Event Correlation

Analiza eventos y bitcoras

Busca patrones de comportamiento inusual

Alerta al responsable
 SIEM Security Information and
Event Management
Convierte trminos generalizados a
informacin administrable

Implementar controles de seguridad e

infraestructura

Combinacin de los sistemas SEC y SIM

 Objetivo
Implementar un correlacionador de eventos
que centralice las bitcoras de los servicios
brindados por la Subdireccin de Seguridad de
la Informacin en un solo servidor para
identificar comportamientos no deseados.
 Anlisis de
vulnerabi-
lidades

Monitoreo
de servicios Deteccin
de ataques

Conjunto
IDS
de reglas
 SIEM Open Source
Cyberoam iView

AlienVault Ossim

Bitsum

Logalyze
Comparativo SIEM
ALIEN VAULT OSSIM
 Instalacin
USM (Unified Security Management):

Es la instalacin completa para los servicios de

administracin.

Sensor:

Es la instalacin de un sensor que reporta a un USM

instalado en otro equipo.
Configuracin AlienVault
Configuracin sensor
 Recursos
Arpwatch Sudo
Cisco-router Syslog
DHCP Rsyslog
Fortigate Snort
Nagios PHP
Pam-unix Switch-Cisco
SSH Nmap-monitor
Resumen
 Anlisis
Eventos de seguridad.

Alarmas.

Tickets.
 Eventos de seguridad
Eventos capturados por Alien Vault:
Sensor que lo detect.
Nombre.
Fecha.
IP origen.
IP destino.
 Alarmas
Nmero mximo de ocurrencias de un mismo
tipo de evento.
Fecha.
Estado de la alarma.
Mtodo usado.
Nivel de riesgo.
IP origen y destino.
 Tickets
Asignar a usuario el seguimiento de evento.
Activos
Nagios
Anlisis de vulnerabilidades
Escaneo vulnerabilidades
Reporte de vulnerabilidades
Directivas
Directivas modificadas
Reglas
Alertas por correo
Administracin AlienVault
 Beneficios
Aprendizaje de la red
Centralizar bitcoras
Deteccin de posibles ataques.
Es compatible con la mayora de los
dispositivos actuales
Actualizacin constante del sistema
Presenta informes ejecutivos y tcnicos
Fcil Administracin
 Puntos dbiles
Limita al usuario root
Conocer ampliamente el entorno de red
No permite administrar la base de datos
No resuelve los problemas de seguridad
 Oportunidades de mejora
Comprar licencia AlienVault

Sensores en diversas dependencias de la

UNAM