Onderwerp: Security Management

Ik vraag mij af hoe bedrijven met hun security management omgaan, of ze de gegevens centraliseren en hier structuur in aan (laten) brengen, of alle alerts van hun IDSen en dergelijke in een mailbak plempen en vanaf daar eens aan de gang gaan om alles door te spitten.

Ik ben zelf begonnen met het testen van OSSIM (Open Source Security Information Management, http://www.ossim.net ) voor centralisatie van alerts uit Nessus, Snort en dergelijke.

Zijn er mensen die ervaring hebben met soortgelijke centralisatie methodes, zo ja welke, zo nee, waarom niet?

Nee, wij doen het inderdaad op de eerste manier maar ik moet erbij zeggen dat dit dan weer wel op een bepaalde manier is ingericht zodat het overzicht bewaard blijft maar ik moet zeggen dat oplossing twee de betere zou zijn.

Waarom doen wij het dan niet op die manier? Ik zal je eerlijk zeggen dat wij helemaal geen tijd hebben om daar nu mee bezig gaan maar eigenlijk zouden we het wel willen gaan doen op die manier. Verder hebben we nu ook niet de resources om daar nu speciaal 1 man voor in te gaan huren dus dan wordt het gauw een kwestie van afwegen wat belangrijk of minder belangrijk is.

Wij doen dus wel zeker aan security maar helaas nog niet zo gecentraliseerd als het zou kunnen.

Je kan je IDS (varkentje / snort) natuurlijk zo intelligent maken als je zelf wil waardoor je niet voor elke stomme lamer attack een mailtje krijgd.

Je kan je IDS zelfs direct actie laten ondernemen richting de provider. Zo slim maken als je zelf wil.

Ik laat hem meestal 1 maal per dag een rapport maken met belangrijke data.

Dit rapport zou ik natuurlijk ook in html formaat kunnen maken en hem dan scpen naar een Centrale host.

Ben verloppig bezig met een gedistributeerde firewall... die centraal bestuurbaar moet worden.