6 beste ITIL-hulpprogrammas voor beveiligingsbeheer in 2021

ITIL is een relatief wijdverbreid en zeer grondig raamwerk voor IT-servicemanagement. Oorspronkelijk afkomstig uit het VK en ontworpen om zowel de overheid als particuliere bedrijven te dienen, is het een reeks zeer gestructureerde processen, aanbevelingen en praktijken. Het is opgedeeld in verschillende specifieke gebieden, waarbij beveiligingsbeheer niets meer is dan een van de vele aspecten ervan. Maar omdat beveiliging zo'n belangrijk onderwerp is, vooral als we kijken naar de moderne dreigingsscène en hoe organisaties voortdurend het doelwit zijn van gewetenloze hackers, hebben we besloten om eens te kijken naar enkele van de allerbeste ITIL-tools voor beveiligingsbeheer.

We beginnen met meer in detail uit te leggen wat ITIL is voordat we verder gaan met het specifieke gebied van ITIL-beveiligingsbeheer. Vervolgens introduceren we het concept van beveiligingsinformatie en gebeurtenisbeheer, beschrijven we wat het inhoudt en leggen we uit hoe het zich kan verhouden tot ITIL-beveiligingsbeheer. We komen eindelijk bij het interessante deel en presenteren een kort overzicht van enkele van de beste ITIL-tools voor beveiligingsbeheer, waarin de beste eigenschappen en functionaliteit van elke tool worden beschreven.

ITIL in een notendop

ITIL, dat vroeger stond voor Information Technology Infrastructure Library, begon in de jaren 80 als een poging van de Central Computer and Telecommunications Agency (CCTA) van de Britse regering om een ​​reeks aanbevelingen en standaardpraktijken voor IT-servicebeheer bij de overheid en ook de particuliere sector. Het is ontstaan ​​als een verzameling boeken, die elk een specifieke praktijk binnen IT-servicebeheer behandelen en is opgebouwd rond een op procesmodellen gebaseerde kijk op het controleren en beheren van activiteiten.

Aanvankelijk samengesteld uit meer dan 30 volumes, werd het later enigszins vereenvoudigd en werden services gegroepeerd, waardoor het aantal volumes tot 5 werd teruggebracht. Het is nog steeds in constante evolutie en het Foundation-boek van de nieuwste versie werd afgelopen februari gepubliceerd, ITIL groepeert verschillende elementen van IT-servicebeheer in de praktijk, waarbij ITIL Security Management slechts een van de vele is.

Over ITIL-beveiligingsbeheer

Wat betreft het ITIL-proces Security Management, het "beschrijft de gestructureerde inpassing van informatiebeveiliging in de beheerorganisatie." Het is grotendeels gebaseerd op de praktijkcode voor het informatiebeveiligingsbeheersysteem (ISMS), nu bekend als ISO/IEC 27001.

Het belangrijkste doel van security management is uiteraard het waarborgen van adequate informatiebeveiliging. En op zijn beurt is het primaire doel van informatiebeveiliging het beschermen van informatiemiddelen tegen risico's, waardoor de waarde voor de organisatie behouden blijft. Meestal wordt dit uitgedrukt in termen van het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid, maar ook met gerelateerde eigenschappen of doelen zoals authenticiteit, verantwoordelijkheid, onweerlegbaarheid en betrouwbaarheid.

Er zijn twee primaire aspecten van beveiligingsbeheer. Eerst en vooral zijn de beveiligingsvereisten die kunnen worden gedefinieerd in service level agreements (SLA) of andere vereisten die zijn vastgelegd in contracten, wetgeving en intern of extern beleid. Het tweede aspect ervan is simpelweg basisbeveiliging die het beheer en de servicecontinuïteit garandeert. Het hangt enigszins samen met het eerste aspect omdat het nodig is om vereenvoudigd serviceniveaubeheer voor informatiebeveiliging te bereiken.

Hoewel ITIL-beveiligingsbeheer een breed concept is, is het iets meer omschreven in de context van softwaretools. Wanneer we het hebben over tools voor beveiligingsbeheer, kunnen verschillende soorten tools in je opkomen. Het ene type lijkt echter interessanter dan het andere: Security Information and Event Management (SIEM)-tools.

Introductie van beveiligingsinformatie en gebeurtenisbeheer (SIEM)

In zijn eenvoudigste vorm is beveiligingsinformatie en gebeurtenisbeheer het proces van het beheren van beveiligingsinformatie en gebeurtenissen. Concreet biedt een SIEM-systeem geen echte bescherming. Dit verschilt bijvoorbeeld van antivirussoftware die actief voorkomt dat virussen beveiligde systemen infecteren. Het primaire doel van SIEM is om het leven van netwerk- en beveiligingsbeheerders gemakkelijker te maken. Een typisch SIEM-systeem verzamelt eenvoudigweg informatie van verschillende systemen, waaronder netwerkapparaten en andere detectie- en beveiligingssystemen. Vervolgens correleert het al deze informatie, verzamelt gerelateerde gebeurtenissen en reageert op verschillende manieren op betekenisvolle gebeurtenissen. SIEM-systemen bevatten ook een vorm van rapportage en, belangrijker nog, dashboards en waarschuwingssubsystemen.

Wat zit er in een SIEM-systeem

SIEM-systemen verschillen sterk van leverancier tot leverancier. Er zijn echter een aantal componenten die in veel van hen aanwezig lijken te zijn. Ze zullen niet allemaal al die componenten bevatten en als ze dat wel doen, kunnen ze anders functioneren. Laten we enkele van de belangrijkste en meest voorkomende componenten van SIEM-systemen in meer detail bekijken.

Logboekverzameling en -beheer

Het verzamelen en beheren van logbestanden is zonder twijfel het belangrijkste onderdeel van een SIEM-systeem. Zonder dit is er geen SIEM. Het eerste dat een SIEM-systeem moet doen, is loggegevens uit verschillende bronnen halen. Het kan het ofwel trekken - met behulp van bijvoorbeeld een lokaal geïnstalleerde agent - of verschillende apparaten en systemen kunnen het naar de SIEM-tool pushen.

Aangezien elk systeem zijn eigen manier heeft om gegevens te categoriseren en vast te leggen, is de volgende taak van de SIEM-tool om gegevens te normaliseren en uniform te maken, ongeacht de bron waar ze vandaan komen. Hoe die stap wordt uitgevoerd, hangt voornamelijk af van het oorspronkelijke formaat van de ontvangen gegevens.

Zodra het is genormaliseerd, worden de geregistreerde gegevens vaak vergeleken met bekende aanvalspatronen in een poging kwaadaardig gedrag zo vroeg mogelijk te herkennen. Gegevens kunnen ook worden vergeleken met eerder verzamelde gegevens, waardoor een basislijn wordt opgebouwd die de detectie van abnormale activiteit verder zal verbeteren.

Reactie op gebeurtenis

Het is één ding om een ​​gebeurtenis te detecteren, maar als een gebeurtenis eenmaal is gedetecteerd, moet er een reactieproces worden gestart. Dit is waar de event response module van de SIEM tool over gaat. De gebeurtenisreactie kan vele vormen aannemen. In de meest elementaire implementatie wordt een waarschuwingsbericht gegenereerd op het dashboard van het systeem. E-mail- of sms-waarschuwingen kunnen ook worden gegenereerd als primaire reactie.

De beste SIEM-systemen gaan echter een stap verder en kunnen meestal een soort herstelproces initiëren. Nogmaals, dit is iets dat vele vormen kan aannemen. De beste systemen hebben een compleet workflowsysteem voor incidentrespons dat kan worden aangepast en precies het type respons biedt dat u nodig hebt. De incidentrespons hoeft niet uniform te zijn en verschillende gebeurtenissen, of verschillende soorten gebeurtenissen, kunnen verschillende processen in gang zetten. De beste SIEM-tools kunnen u volledige controle geven over de workflow voor incidentrespons.

Rapportage

Het is één ding om logverzameling en -beheer te hebben en een gebeurtenisresponssysteem te hebben, maar je hebt ook een ander belangrijk element nodig: rapportage. Ook al weet je het misschien nog niet, je hebt rapporten nodig; eenvoudigweg. De leidinggevenden van uw organisatie zullen ze nodig hebben om met eigen ogen te zien dat hun investering in een SIEM-systeem vruchten afwerpt. Maar dat is niet alles, u kunt ook rapporten nodig hebben voor conformiteitsdoeleinden. Voldoen aan standaarden zoals PCI DSS, HIPAA of SOX is veel gemakkelijker wanneer uw SIEM-systeem conformiteitsrapporten kan genereren.

Rapporten vormen misschien niet de kern van elk SIEM-systeem, maar ze zijn nog steeds een van hun essentiële componenten. Rapportage is eigenlijk een van de belangrijkste onderscheidende factoren tussen concurrerende systemen. Rapporten zijn als snoepjes, je kunt er nooit te veel hebben. Kijk bij het evalueren van systemen welke rapporten beschikbaar zijn en hoe ze eruit zien en onthoud dat u met de beste systemen aangepaste rapporten kunt maken.

Dashboard

Het laatste belangrijke onderdeel van de meeste SIEM-tools is het dashboard. Het is belangrijk omdat het uw venster is op de status van uw SIEM-systeem en, bij uitbreiding, op de beveiliging van uw IT-omgeving. We hadden dashboards kunnen zeggen - met een S - net zo goed als er in sommige systemen meerdere dashboards beschikbaar zouden kunnen zijn. Verschillende mensen hebben verschillende prioriteiten en interesses en het perfecte dashboard voor een netwerkbeheerder zal anders zijn dan dat van een beveiligingsbeheerder. Evenzo heeft een leidinggevende ook een heel ander dashboard nodig.

Hoewel we SIEM-systemen niet alleen kunnen beoordelen op het aantal dashboards dat ze bieden, moet u er een kiezen met het dashboard dat u nodig heeft. Dit is zeker iets waar u rekening mee moet houden als u leveranciers evalueert. En net zoals bij rapporten, kun je met de beste tools dashboards op maat bouwen naar jouw wensen.

SIEM gebruiken als een ITIL-hulpprogramma voor beveiligingsbeheer

Hoe complex het concept van security management ook kan zijn in de context van het ITIL framework. Het komt eigenlijk neer op één hoofddoel: ervoor zorgen dat gegevens veilig zijn. En hoewel het hele paradigma van IT-beveiligingsbeheer verschillende aspecten heeft, als het gaat om de softwaretools die u kunt gebruiken, lijkt er geen ITIL-softwarepakket voor beveiligingsbeheer te zijn. Aan de andere kant zijn er talloze aanbiedingen van verschillende software-uitgevers van tools die gericht zijn op het waarborgen van de veiligheid van uw gegevens.

We hebben ook gezien hoe SIEM-tools een soortgelijk doel hebben om gegevensbeveiliging te behouden. Het is naar onze mening dat gemeenschappelijke doel dat ze tot een van de beste soorten tools voor IT-beveiligingsbeheer maakt. Houd er echter rekening mee dat de praktijk van ITIL-beveiligingsbeheer veel verder gaat dan SIEM en, hoewel ze een goed startpunt zijn, slechts een deel van de oplossing, zij het een belangrijke.

De beste ITIL-hulpprogramma's voor beveiligingsbeheer

Sinds we hebben vastgesteld dat de beste ITIL-tools voor beveiligingsbeheer inderdaad SIEM-tools zijn, hebben we de markt afgezocht op zoek naar de beste ervan. We hebben een grote verscheidenheid aan tools gevonden van enkele van de bekendste organisaties. Alle hulpprogramma's op onze lijst hebben alle belangrijke functies die u van een hulpprogramma voor beveiligingsbeheer mag verwachten. Het kiezen van de beste voor uw specifieke behoefte is vaak een kwestie van persoonlijke smaak. Of misschien heeft een van de tools een unieke eigenschap die je aanspreekt.

1. SolarWinds Security Event Manager (GRATIS PROEF)

SolarWinds is een veel voorkomende naam in de wereld van netwerkmonitoring. Het vlaggenschipproduct, de Network Performance Monitor genaamd, is een van de beste beschikbare SNMP-monitoringtools. Het bedrijf is ook bekend om zijn vele gratis tools zoals de Geavanceerde Subnet Calculator of haar vrije SFTP S erver .

Als het op SIEM aankomt , is het aanbod van SolarWinds de SolarWinds Security Event Manager . De tool, voorheen de SolarWinds Log & Event Manager genoemd , kan het best worden omschreven als een SIEM-tool op instapniveau. Het is echter een van de beste instapsystemen op de markt. De tool heeft bijna alles wat je van een SIEM-systeem mag verwachten. Dit omvat uitstekend logbeheer en correlatiefuncties, evenals een indrukwekkende rapportage-engine.

• GRATIS PROEF: SolarWinds Security Event Manager
• Officiële downloadlink: https://www.solarwinds.com/security-event-manager/registration

De tool beschikt ook over uitstekende reactiefuncties voor gebeurtenissen die niets te wensen overlaten. Zo zal het gedetailleerde realtime responssysteem actief reageren op elke dreiging. En aangezien het is gebaseerd op gedrag in plaats van handtekening, bent u beschermd tegen onbekende of toekomstige bedreigingen en zero-day-aanvallen.

Naast zijn indrukwekkende functieset, is het dashboard van de SolarWinds Security Event Manager mogelijk zijn beste troef. Dankzij het eenvoudige ontwerp zult u geen moeite hebben om uw weg te vinden in de tool en snel afwijkingen te identificeren. Vanaf ongeveer $ 4 500 is de tool meer dan betaalbaar. En als u het wilt proberen en wilt zien hoe het in uw omgeving werkt, kunt u een gratis, volledig functionele proefversie van 30 dagen downloaden.

2. Splunk Enterprise-beveiliging

Splunk Enterprise Security — of Splunk ES , zoals het vaak wordt genoemd — is mogelijk een van de meest populaire SIEM-systemen. Het staat vooral bekend om zijn analysemogelijkheden. Splunk ES bewaakt de gegevens van uw systeem in realtime, op zoek naar kwetsbaarheden en tekenen van abnormale en/of kwaadaardige activiteit.

Naast geweldige monitoring is beveiligingsrespons een ander sterk punt van Splunk ES . Het systeem maakt gebruik van wat Splunk het Adaptive Response Framework ( ARF ) noemt , dat kan worden geïntegreerd met apparatuur van meer dan 55 beveiligingsleveranciers. De ARF voert een geautomatiseerde respons uit, waardoor handmatige taken worden versneld. Hierdoor krijg je snel de overhand. Voeg daar een eenvoudige en overzichtelijke gebruikersinterface aan toe en je hebt een winnende oplossing. Andere interessante functies zijn de Notables- functie die door de gebruiker aanpasbare waarschuwingen toont en de Asset Investigator voor het markeren van kwaadaardige activiteiten en het voorkomen van verdere problemen.

Splunk ES is echt een enterprise-grade product en dat betekent dat er een enterprise-sized prijskaartje aan hangt. Prijsinformatie is helaas niet direct beschikbaar op de website van Splunk . U moet contact opnemen met de verkoopafdeling om een ​​offerte te krijgen. Als u contact opneemt met Splunk, kunt u ook profiteren van een gratis proefperiode, mocht u het product willen proberen.

3. RSA NetWitness

Sinds 2016 richt NetWitness zich op producten die " diep, realtime netwerksituatiebewustzijn en flexibele netwerkreactie " ondersteunen. Na te zijn overgenomen door EMC, dat vervolgens fuseerde met Dell , maakt het merk Ne tW itness nu deel uit van de RSA- tak van het bedrijf. Dit is goed nieuws, want RSA is een zeer gerespecteerde naam in IT-beveiliging.

RSA NetWitness is ideaal voor organisaties die op zoek zijn naar een complete oplossing voor netwerkanalyse. De tool integreert informatie over uw organisatie die wordt gebruikt om prioriteit te geven aan waarschuwingen. Volgens RSA verzamelt het systeem " gegevens op meer capture-punten, computerplatforms en bronnen voor bedreigingsinformatie dan andere SIEM-oplossingen ". De tool biedt ook geavanceerde detectie van bedreigingen die gedragsanalyse, datawetenschapstechnieken en bedreigingsinformatie combineert. En tot slot beschikt het geavanceerde responssysteem over orkestratie- en automatiseringsmogelijkheden om bedreigingen uit de weg te ruimen voordat ze uw bedrijf beïnvloeden.

Een van de belangrijkste nadelen van RSA NetWitness, zoals gerapporteerd door de gebruikersgemeenschap, is dat het niet de gemakkelijkste is om in te stellen en te gebruiken. Er is echter uitgebreide documentatie beschikbaar die u kan helpen bij het instellen en gebruiken van het product. Dit is een ander product van ondernemingskwaliteit en, zoals vaak het geval is, moet u contact opnemen met de verkoop om prijsinformatie te krijgen.

4. ArcSight Enterprise-beveiligingsmanager

ArcSight Enterprise Security Manager helpt bij het identificeren en prioriteren van beveiligingsbedreigingen, het organiseren en volgen van incidentresponsactiviteiten en het vereenvoudigen van audit- en compliance-activiteiten. Het werd vroeger verkocht onder het HP- merk, maar ArcSight is nu opgegaan in Micro Focus , een andere dochteronderneming van HP .

De ArcSight Enterprise Security Manager bestaat al meer dan vijftien jaar en is een andere immens populaire SIEM-tool. Het verzamelt loggegevens uit verschillende bronnen en voert uitgebreide gegevensanalyses uit, op zoek naar tekenen van kwaadaardige activiteit. Om het gemakkelijk te maken om bedreigingen snel te identificeren, kunt u met de tool analyseresultaten in realtime bekijken.

Wat betreft de kenmerken van het product, het laat niets te wensen over. Het heeft krachtige gedistribueerde realtime gegevenscorrelatie, workflowautomatisering, beveiligingsorkestratie en community-gestuurde beveiligingsinhoud. De ArcSight Enterprise Security Manager kan ook worden geïntegreerd met andere ArcSight- producten, zoals het ArcSight Data Platform en Event Broker of ArcSight Investigate . Dit is een ander enterprise-grade product en als zodanig is prijsinformatie niet direct beschikbaar. U moet contact opnemen met het ArcSight- verkoopteam om een ​​offerte op maat te krijgen.

5. McAfee Enterprise Security Manager

McAfee is zeker een andere begrip in de beveiligingsindustrie. Het is echter beter bekend om zijn productlijn voor virusbescherming. In tegenstelling tot andere producten in deze lijst, de McAfee Enterprise S eveiliging M anager is niet alleen software, het is een apparaat dat je ofwel kunt krijgen als een stuk hardware of in een virtuele vorm.

Wat de analysemogelijkheden betreft, wordt de McAfee Enterprise Security Manager door velen beschouwd als een van de beste SIEM-tools. Het systeem verzamelt logboeken over een breed scala aan apparaten en de normalisatiemogelijkheden zijn ongeëvenaard. De correlatie-engine compileert gemakkelijk ongelijksoortige gegevensbronnen, waardoor het gemakkelijker wordt om beveiligingsgebeurtenissen te detecteren wanneer ze zich voordoen.

Maar om waar te zijn, deze McAfee- oplossing is meer dan alleen de Enterprise Security Manager . Om een ​​complete SIEM-oplossing te krijgen, heeft u ook de Enterprise Log Manager en Event Receiver nodig . Gelukkig kunnen alle producten in één apparaat worden verpakt. En voor degenen onder u die het product misschien willen proberen voordat u het koopt, is er een gratis proefversie beschikbaar.

6. IBM QRadar

IBM is zonder twijfel een van de bekendste namen in de IT-industrie. Het is dan ook geen verrassing dat het bedrijf erin geslaagd is om zijn SIEM-oplossing, IBM QRadar , te vestigen als een van de beste producten op de markt. De tool stelt beveiligingsanalisten in staat om anomalieën te detecteren, geavanceerde bedreigingen te ontdekken en valse positieven in realtime te verwijderen.

IBM QRadar beschikt over een reeks functies voor logbeheer , gegevensverzameling, analyse en inbraakdetectie. Samen helpen ze uw netwerkinfrastructuur draaiende te houden. Er zijn ook risicomodelleringsanalyses die potentiële aanvallen kunnen simuleren.

Enkele van de belangrijkste kenmerken van IBM QRadar zijn de mogelijkheid om de oplossing on-premises of in een cloudomgeving te implementeren. Het is een modulaire oplossing en men kan snel en goedkoop meer opslag- of verwerkingskracht toevoegen naarmate hun behoeften groeien. Het systeem maakt gebruik van intelligentie-expertise van IBM X-Force en kan naadloos worden geïntegreerd met honderden IBM- en niet- IBM- producten.

IBM zijn IBM , hoewel, kunt u verwachten om een hogere prijs te betalen voor zijn SIEM-oplossing. Maar als je een van de beste SIEM-tools op de markt nodig hebt en een tool die wordt ondersteund door een solide organisatie, dan is IBM QRadar de investering misschien wel waard.