Edina - Hanterad NDR & SIEM + Proaktiv övervakningstjänst

# Vad är Edina & Hur hjälper det er

Edina är en infrastruktursövervakningstjänst som bygger på Packet Capture, NDR (Network Detection and Response), IDS (Intrusion Detection System) och SIEM (Security Information and Event Management) i en kombinerad lösning, med säkerhetsanalytiker hos Reykja som upptäcker och identifierar incidenter, attacker och andra hot som kan skada er verksamhet och it-miljö 24/7.

Våra säkerhetsanalytiker arbetar även proaktivt, vilket ger en stabilare it-drift då vi ofta ser saker som våra kunder inte alltid ser, eller saker som inte fastnar i deras traditionella loggbaserade system. Då vi följer och analyserar alla paket i miljön i nära realtid (mellan en till fyra minuters fördröjning beroende på capture-time) under dygnets alla timmar, minut för minut så får vi en helt annan bild över vad som är normalt och vad som är avvikande.

Ser vi något som inte är rätt, en attack eller annat hot så kontaktar vi kunderna så fort som möjligt. Hanterar vi kunders brandväggar så kan åtgärder tas direkt vid t.ex. en attack.

Edina är en tjänst där Reykja gör jobbet med att hitta och analysera händelserna, där vi informerar våra kunder om eventuella åtgärder.

# Vad identifierar vi

Då Edina inhämtar och analyserar metadata i mycket nära realtid från hela eller delar av infrastrukturen av det som faktiskt skickas i "kablarna" (ner på paketnivå), så ger det en helt annan bild över vad som faktiskt händer i miljön, långt bättre än vad traditionella loggbaserade system kan fånga upp och visa. Det betyder att vi ofta upptäcka många fler händelser och felkonfigurationer, avvikelser och attacker, dataläckor till ovanliga och helt okända symtom inom infrastrukturen som kanske aldrig hamnar i loggar. Det räcker med ett litet packet som går fel, har fel header eller annat så kan ett larm gå för vidare analys.

Edina tar också emot vanliga loggar från servrar, brandväggar och andra nätverksenheter som traditionella loggbaserade system gör, vilket utökar Edinas förmåga att identifiera avvikelser ännu bättre.

Detta tillsammans med säkerhetsanalytiker hos Reykja som dagligen håller koll och analyserar er infrastruktur efter hot och händelser.

Nedan följer några få exempel på vad Reykja identifierar, baserat på kundens metadata och loggar:

Tester av DDoS- och andra överbelastningstester
Proxy- och webbscanningar, samt andra okända tester och inputs
Rekognosering av miljön och portscanningar
Extern informationsinhämtning och kartläggning av miljön
Brandväggsaktivitet, blockeringar och dess nivåer

# Ovan ger oss indikationer och bevis om att aktörer insamlar och/eller gör förberedelser på olika attacker. Vi kan här ge tidig information till våra kunder i nära realtid, samt eventuella upptrappningar där våra kunder kan fatta tidiga beslut om åtgärder. Det krävs ytterst lite, ett enda felaktigt paket så triggas larmen.

DDoS, slowloris, SYN Flooding, Ping of Death och andra överbelastningsattacker
Spoofing-attacker, Amplification Attacks, Man-in-the-Middle, proxy-attacker
Dataläckage, intrångsförsök, exfiltreringsförsök
Okänd eller/och otillåten kommunikation in/ut från internet, mellan segment, mellan servrar
Överträdelser av nätverkspolicy

# Proaktiv övervakning & förvarningar

Vi väntar inte på larm eller att incidenter ska ske, vi arbetar proaktivt.
Genom vår insyn i den faktiska kommunikationen får vi en tydlig förståelse för hur er miljö ska uppföra sig, vilket gör att vi snabbt kan upptäcka avvikelser och informera er.

Långt ifrån alla problem hamnar i traditionella loggar, där de i stället syns i datapaketen i era ”kablar”. Här fångar vi upp både kända som okända potentiella problem som undersöks vidare där vi kontaktar er om problemen för åtgärder.

Kommunikationsproblem mellan verksamheten och dess slutkunder, och vice versa
Problem i BGP, TCP/IP, DNS, NTP, routing och annat ...
Felkonfigurationer i servrar och applikationer som påverkar miljön, infrastrukturen, kunddata
Oväntade förändringar i trafikmönster och belastningsmönster
Problem hos er leverantörer som påverkar er miljöer och kunddata

Ovan är endast några få exempel.
Då Edina analyserar den faktiska trafiken, det som verkligen skickas i infrastrukturen kommer Edina fånga upp alla tänkbara mönster, kända som okända.

# Forensik på paketnivå

Vid avvikelser eller incidenter kan analys genomföras på full paketnivå i dåtid!

Det innebär att vi kan stega tillbaka i tiden, innan incidenten började, där vi kan följa trafiken i detalj och försöka återskapa händelsen från dess start.

Här kan vi verifiera påstådda intrång, dataläckor, attacker eller andra avvikelser, ta ut underlag och bevis för processer till våra kunder.

I den dagliga driften kan vi identifiera problem i miljön på en djupare nivå som endast syns i datapaketen. Vi kan skapa/ta ut data på fel, statistik och grafer. Hjälpa till att undersöka felkonfigurationer och annat som stör miljön till våra våra kunders utvecklare och andra team.

# Rapportering och beslutsunderlag

Var vecka får våra kunder en rapport över identifierade attacker och incidenter, aktuell hotbild mot verksamheten utifrån våra dagliga analyser, vilka avvikelser som har hänt samt andra händelser av betydelse. I rapporterna finns statistik, data och analysgrafer samt vilka indikationer på framtida risker och attacker som vi ser.

Våra rapporter är högst uppskattade hos våra kunder och används vid operativa veckomöten, underlag vid revision, kravställningar, felsökningar och andra tillfällen.

# En egenutvecklad svensk tjänst

Edina är en svensk tjänst som är utvecklad av säkerhetsexperter inom Reykja sedan 2008 och har varit i kontinuerlig drift inom samhällsviktiga funktioner sedan 2017.

Hela kedjan, från mjukvara till hårdvara kontrollerar Reykja där Edina bygger på egenutvecklad kod samt att tjänsten drivs från Sverige på svenska servrar i egen hosting.

Allt detta gör oss mindre oberoende av plötsliga ändringar i tredjeparttjänster, lösningar och kod från annan part. Ändringar i licenser, policy-intressen, end-of-life och många andra faktorer som annars inte går att styra över.

# Fast pris

Edina levereras till fast månadskostnad baserad på analysomfattning och datamängd. Varje kund tilldelas avtalad analystid per månad med en säkerhetsexpert inom Reykja som arbetar aktivt med kundens metadata och deltar vid behov i möten, incidenthantering och tekniska diskussioner i ett nära samarbete.

Kunden får ett dedikerat komplett analyseringssystem inom Reykja (designas utefter datamängden) där varje installation byggs och konfigureras utifrån kundens arkitektur, trafikmönster och verksamhetskrav. Regler och analysmodeller justeras och förfinas i takt med att kundends miljön förändras och hotbilden utvecklas under pågående avtal. Reykja ansvarar för analyseringssystem inom Reykja.

Automatiserad analys sker kontinuerligt dygnet runt, medan kvalificerad manuell analys genomförs under avtalade tider. Vid incident eller förhöjd hotnivå kan utökad analys genomföras inom fördefinierade ramar.

Reykja kan även ansvara för kunds brandväggar. Det möjliggör direkta åtgärder vid attacker, belastningspåverkan eller andra säkerhetshändelser som måste hanteras omgående, inom överenskomna ramar.

# Anslutning inom 48 timmar!

Vi ansluter er inom 48 timmar, förutsagt att vi har ledig plats!

Ni tillhandahåller metadata, Reykja ansvarar för resten.
Vi kan hämta er metadatan från en centraliserad plats hos er via krypterad kanal. TAP, mirror, tcpdump och andra lösningar finns för packet capture. Loggar kan skickas via befintlig loggsystem, eller från servrar direkt till den centraliserade platsen. Edina kräver inga agents eller liknande installationer hos er, allt går att köra via enkla bash-scripts med standardkommandon utefter era kravställningar. Den stora analyseringstyngden ligger i Edinas analyseringsservrar hos oss.

Edina kan analysera nästan hur stora miljöer som helst då systemet lätt kan expanderas med att ansluta flera analyseringsservrar i kundens kluster hos oss. Alla våra kunder har dedikerade egna kluster med dedikerade servrar där inga system är kombinerade mellan kunder, dess data eller volymer. Läs mer om vår hosting.

# Hur allt detta startade

Edina är ett system som vi började utveckla 2008 då vi behövde ett verktyg för att analysera nätverk och tidigt upptäcka avvikelser. Alternativen var få varför vi började bygga vårt eget system som kunde göra det vi ville. Då var det inte tänkt att bli ett komplett system, utan för att lösa våra problem. Blickar vi tillbaka alla år så var systemet ganska primitivt, även om det gjorde sin uppgift. Men under åren förbättrade vi systemet i generationer som idag är Edina, vilket är ett unikt och mycket kraftfullt svenskt infrastruktursövervakningssystem som kan direkt sättas i jämförelse med andra SIEM / NDR tjänster.