Kontinuerlig nätverksövervakning med djupanalys

# Varför traditionella SIEM inte räcker idag

Traditionella loggbaserade lösningar och SIEM-system ger er en detaljerad bild av era serverar, applikationer, Audit/Syslog/Firewall och andra loggar, interna driftavvikelser och incidenter. Här är SIEM bra på att insamla och organisera, skicka larm och varna.

Dessa lösningar är dock mindre bra på att analysera var som händer i infrastrukturen, i nätverken.. det som faktiskt skickas i kablarna. Där går signaler om felkonfigurationer, nätverksproblem, avvikande trafikflöden till rena attacker och överbelastningar som sällan eller aldrig fastnar i en traditionell loggpost!

Med vår säkerhetstjänst fångar vi in dessa signaler då vi analyserar varje enskilt datapaket i er miljö. Här skapas en detaljerad vy där vi identifierar attacker, avvikelser och andra händelser intill realtid, något som kanske aldrig annars upptäcks. Med tiden byggs en historisk vy upp är vi vet vad som är normalt och avvikande för just er miljö, vilket ökar träffsäkerheten.

Vi kan verifiera påstådda attacker, dataläckor och andra incidenter i dåtid ner på paketnivå och ta ut underlag och bevis. Vi kan förutse eventuella attacker, driftstörningar och andra risker som kan komma ske i framtiden, där ni får tidig förvarning.

# Hur tjänsten fungerar

Säkerhetstjänsten är uppbygg kring ett avancerat egenutvecklat analyseringssystem som byggs och anpassas efter er verksamt och tjänster. Detta system inhämtar metadata och loggar från er miljö som analyseras ner på paketnivå intill realtid under dygnets alla timmar, året om. Systemet letar konstant efter avvikelser, attacker, dataläckage, felkonfigurationer till händelser av okänd art.

Inom tjänsten får ni en säkerhetsanalytiker som dagligen arbetar med er miljö. Denne gör djupare utredningar av avvikelser som systemet har indikerat på, analyserar dem och avgör om det är ett hot mot er verksamhet. Om så, kontaktas ni med information.

Analytikern arbetar även proaktivt med er miljö, dvs. denna väntar inte på larm, utan ser över data och statistik dagligen och hittar signaler som kanske avviker eller på väg att avvika. Här görs tidiga undersökningar om vad det där och vad som eventuellt är orsaken, innan det blir störningar i era tjänster.

# Attacker & IT-hot vi identifierar

Då vi letar efter små signaler och dess historik så ser vi ofta saker som inte upptäcks.

Detta bidrar till att vi ser småattacker och testet som kan anses som ”oskyldiga anslutningar”, som egentligen är avancerade rekognoseringar mot er verksamhet. Dagligen skickar aktörer anslutningar och mäter er responstid, uptime, vilket svar de får från era servrar, något som kan användas mot er vid en direkt attack, överbelastning, proxyattack mot annan part.

Vi ser dem intill realtid, direkt när de startar!
Vi ser deras header, deras hopp, deras ursprung, payload och mycket mer. Vi analyserar deras anslutningar i detalj som skapar en historisk bild över vad deras syfte kan vara, vad deras nästa drag är, och kanske när. Vi varnar våra kunder direkt när en attack, större test eller rekognosering sker.

Detta är mycket värdefull information till våra kunder som lättare kan avgöra deras aktuella hotbild, intill realtid!

Nedan följer några exempel på vad vi upptäcker intill realtid:

Tester av DDoS- och andra överbelastningstester
Proxy- och webbscanningar, samt andra okända tester och inputs
Rekognosering av miljön och portscanningar
Extern informationsinhämtning och kartläggning av miljön
Brandväggsaktivitet, blockeringar och dess nivåer

DDoS, slowloris, SYN flooding, ping of Death och andra överbelastningsattacker
Spoofing-attacker, amplification attacks, Man-in-the-Middle, proxy-attacker
Okänd eller/och otillåten kommunikation in/ut från internet, mellan segment, mellan servrar
ICMP-tunnlar, ICMP-keep-alive och andra metoder som används i övertagna system.
Dataläckage, intrångsförsök i applikationer, exfiltreringsförsök m.m.

# Proaktiv övervakning & Förvarningar

Genom vår insyn i den faktiska kommunikationen får vi en tydlig förståelse för hur er miljö ska uppföra sig, vilket gör att vi snabbt kan upptäcka avvikelser och informera er.

Traditionella loggar säger sällan hela sanningen, och faktum är många problem aldrig hamnar i en logg. De fastnar däremot i datapaketen då de transporteras i kablarna, och det som är i kablarna, det ser våra analyseringssystem. Här kan vi fånga upp både kända som okända problem som våra säkerhetsanalytiker undersöker vidare och kontaktar er med information.

Kommunikationsproblem mellan verksamheten och dess slutkunder, och vice versa
Problem i BGP, TCP/IP, DNS, NTP, routing och annat ...
Felkonfigurationer i servrar och applikationer som påverkar miljön, infrastrukturen, kunddata
Oväntade förändringar i trafikmönster och belastningsmönster
Problem hos era leverantörer som påverkar era miljöer och kunddata

Ovan är endast några få exempel.
Då våra analyseringssystem analyserar den faktiska trafiken, det som verkligen skickas i infrastrukturen kommer vi fånga upp alla tänkbara mönster, kända som okända.

# Forensik & Inhämtning av bevis

När en incident har skett har vi möjlighet att gå bakåt i tiden på full paketnivå. Det innebär att vi kan stega tillbaka innan incidenten började, följa attacken steg för steg och återskapa händelsen från dess allra första tecken, in i minsta detalj, paket för paket genom miljön.

Här kan vi verifiera intrång, dataläckor, attacker eller andra avvikelser, ta ut underlag och bevis för processer till våra kunder.

I den dagliga driften fungerar samma metod som ett diagnosverktyg på djupet. Problem som inte syns i övergripande loggar eller monitorering är ofta synliga i själva datapaketen. Vi identifierar fel, tar ut statistik och grafer, undersöker felkonfigurationer och lokaliserar det som stör er miljö. Det underlättar för era utvecklare och andra team i den dagliga driften.

# Rapportering & Beslutsunderlag

Var vecka får våra kunder en rapport över identifierade attacker och incidenter, aktuell hotbild mot verksamheten utifrån våra dagliga analyser, vilka avvikelser som har hänt samt andra händelser av betydelse. I rapporterna finns statistik, data och analysgrafer samt vilka indikationer på framtida risker, störningar, rekognoseringsnivån och attacker som vi ser kan komma.

Våra rapporter är högst uppskattade hos våra kunder och används vid operativa veckomöten, underlag vid revision, kravställningar, felsökningar och andra tillfällen.

# Fast pris & Upplägg

Tjänsten levereras till fast månadskostnad baserad på analysomfattning och datamängd. Vår prismodell utgår inte från hur många servrar/noder ni har, utan er totala metadatamängd (packet capture), vilket betyder att ni betalar mer eller mindre samma pris om ni har 300 servrar som genererar samma metadata som 10 serverar (med viss undantag för design, trafikdata m.m.).

Varje kund tilldelas avtalad analystid per månad med en säkerhetsexpert inom Reykja som arbetar aktivt med er metadata och deltar vid behov i möten, incidenthantering och tekniska diskussioner i ett nära samarbete.

Ni får ett dedikerat komplett analyseringssystem inom Reykja (designas utefter datamängden) där varje installation byggs och konfigureras utifrån er arkitektur och trafikmönster. Regler och analysmodeller justeras och förfinas i takt med att er miljö förändras och hotbilden utvecklas under pågående avtal.

Automatiserad analys sker kontinuerligt dygnet runt, medan kvalificerad manuell analys genomförs under avtalade tider. Vid incident eller förhöjd hotnivå kan utökad analys genomföras inom fördefinierade ramar.

Reykja kan även ansvara för kunds brandväggar (beroende på modell). Det möjliggör direkta åtgärder vid attacker, belastningspåverkan eller andra säkerhetshändelser som måste hanteras omgående, inom överenskomna ramar.

# Testa tjänsten, anslutning inom 48 timmar!

Vill ni testa tjänsten för att se om detta är rätt för er verksamhet kan ni prova tjänsten utan långa avtal. Vi tilldelar sex (6) månads-testavtal med automatiskt avslut till fast månadskostnad.

Finner ni tjänsten värdefull och vill fortsätta förnyar vi avtalet med sex (6) eller tolv (12) månaders avtal (båda med två månaders uppsägningstid) enligt önskemål.

Vi ansluter er inom 48 timmar, förutsagt att vi har ledig plats!
Ni tillhandahåller metadata, Reykja gör resten.

Vårt startpaket har kapacitet för att analysera 4 TB metadata (vi har kunder som lyckas få igenom 5.6 TB metadata om vi optimerar väl) per månad, helt beroende på capture-size, antal segment, analysmodeller, peaks och andra faktorer. Beroende på typ av tjänst / data / system så motsvarar detta drygt 40 TB datatrafik per månad, men kan variera. Behövs mer kapacitet ansluts ytterligare analyseringsservrar enkelt och snabbt. Ert analyseringskluster kan byggas ut i stort sett hur stort som helst.

Ni tilldelas en säkerhetsanalytiker inom Reykja som arbetar aktivt med er miljö där vårt startpaket innehåller 32 timmar per månad. Önskas mer tid kan det utökas.

# Det tekniska

Tjänsten bygger på Packet Capture (pcap), NDR (Network Detection and Response), IDS (Intrusion Detection System) och SIEM (Security Information and Event Management) i en kombinerad lösning, med säkerhetsanalytiker hos Reykja som arbetar med er miljö.

Ni tillhandahåller metadatan, vi gör resten!

Metadatan är främst non-stop pcap-filer som inhämtas från brandväggar, tapning från switchar, servrar eller annan insamlingspunkt. Utöver detta hämtas loggfiler från servrar, brandväggar och andra enheter (syslog/audit) som ni gör tillgängliga för kontinuerlig hämtning av vårt analyseringssystem.

# En egenutvecklad svensk tjänst

Detta är en svensk tjänst som är utvecklad av säkerhetsexperter inom Reykja sedan 2008 och har varit i kontinuerlig drift inom samhällsviktiga funktioner sedan 2017.

Hela kedjan, från mjukvara till hårdvara kontrollerar Reykja där systemet bygger på egenutvecklad kod samt att tjänsten drivs från Sverige på svenska servrar i egen hosting.

Allt detta gör oss mindre oberoende av plötsliga ändringar i tredjeparttjänster, lösningar och kod från annan part. Ändringar i licenser, policy-intressen, end-of-life och många andra faktorer som annars inte går att styra över.

# Hur allt detta startade

Edina är ett system som vi började utveckla 2008 då vi behövde ett verktyg för att analysera nätverk och tidigt upptäcka avvikelser. Alternativen var få varför vi började bygga vårt eget system som kunde göra det vi ville. Då var det inte tänkt att bli ett komplett system, utan för att lösa våra problem. Under åren som gick förbättrade vi systemet i generationer som idag är Edina, vilket är ett unikt och mycket kraftfullt svenskt infrastruktursövervakningstjänst som kan direkt sättas i jämförelse med andra SIEM / NDR tjänster.