Elasticㄧ加拿大貝爾公司 (Bell Canada) 用 Elastic Stack 鞏固資料安全

公司介紹

Bell Canada 是加拿大最大的電信公司之一，為全國的大公司、中小企業和個人提供電話、電視、互聯網和固網服務。Bell Canada 的安全營運中心 (SOC) 覆蓋了每個貝爾辦公室和業務部門，他們用日誌來檢測網路威脅。  

挑戰

Bell Canada 的資安經理 Sylvain Proulx 表示，向客戶提供服務的業務部門（如 Bell TV、Bell Internet、Bell Media 或 Bell Mobility）都使用不同的技術和應用程式，因此他們收集的日誌很多樣且不常見。日誌來自路由器、防火牆、Web 日誌、OS 日誌、應用程式日誌和許多其他裝置，其中一些會變得 ”chatty” 並產生大量資料。

SOC 僅使用 ArcSight Security Information and Event Management (SIEM) 解決方案來分析日誌和事件關聯性，還有事件響應和報告。但隨著日誌量的增加，對來自各種設備的新型日誌進行標準化處理，會使系統停滯。他們的 SIEM 解決方案也只提供以規範為基礎的檢測，沒有機器學習，因此它產生很多誤報事件，會讓他們的分析師感到警覺疲勞 (alert-fatigue)。
Proulx 說他們的 SIEM 已達極限。他們發現沒有單一的供應商解決方案可以讓他們更快地提取更多資料、建立威脅偵測模型，以及將新型的日誌標準化，同時保留資料的所有權。因此，SOC 開始使用 Elastic Stack 來加強其 ArcSight SIEM，可以自動處理高日誌量和高峰值，並產生有意義的安全資料。

Elastic Stack 的新旅程

Bell Canada 從裸機伺服器、虛擬機以及越來越多的 Docker 和 Kubernetes 容器基礎架構獲取資料。他們需要一個簡單、輕量且易自動化的日誌傳輸工具，因此他們轉向了 Beats。Bell Canada 使用 Filebeat 和 Winlogbeat 來傳送日誌，因為它們容易設定、測試和部署。 此外，他們可以對其設定進行版本控制，且確保在網路中斷的情況下不會丟失資料。

資料在 Kafka 中排列好後，SOC 必須對各種格式的日誌進行拆解和標準化，以便進行安全分析。在 OpenShift 上執行 Logstash 可以幫助它們在流量激增時快速擴展而不會丟失日誌，而且它消耗的資源比許多虛擬機少。Bell Canada 發現在容器中使用 Logstash 的另一個優勢是，他們可以先輕鬆用 RSpec 運行它來進行測試，然後再正式使用。

日誌標準化後，SOC 會將它們儲存在 Elasticsearch 中。Bell Canada 之前的解決方案無法在不丟失日誌的情況下處理這麼多的日誌量。SOC 現在使用 Elasticsearch 來實現這一點，這使他們能快速擴展，讓工作變得更容易。

在事件被記錄下來的那天，SOC 使用多個查詢和進程來搜尋資料，這給集群帶來了很大的負擔，因此他們利用一個 “hot-warm” 架構，自動部署新節點。更強大的節點會不斷提取和搜索，但是當日誌失去價值時，它們會被運送到 warm node 以進行聚合和分析。「如果你在 Elasticsearch 中丟失了一個節點，你仍可以繼續工作。這都不是問題。您可以晚點再修復它，」Bell Canada 的資安專家暨工程師 Mathew Vandystadt 說。

保護資料安全是 SOC 的首要任務。角色型存取控制 (RBAC) 是必須的，但管理 RBAC 可能會很痛苦。有了 Elastic Stack 的安全功能，SOC 可以控制誰有資料存取權，他們可以在資料傳輸上進行加密，也可以輕鬆進行 RBAC 管理 —— 還可以與他們現有的 LDAP 綁定，這意味著他們不需要花額外的時間重新定義角色，將時間專注在更重要的安全任務。
一旦他們將資料放在他們想要的地方，SOC 分析師就可以使用它來查找安全事件 —— 有優良的資料視覺化是關鍵。Kibana 直觀的界面讓 Bell Canada 繁忙的專家們不用花額外時間來學習新查詢語言。

「Kibana 在我們的客戶案例中表現出色。原因很簡單，因為我們不需進行大量培訓，就可以獲得很好的視覺化效果。」—— Mathew Vandystadt，資安軟體工程師

Bell Canada 替針對規範的檢測找到了一種靈活的告警解決方案，但他們的分析師還需要可以與不同演算法配合的智能檢測，因此他們用了開源、以機器學習為重心的內部機器學習。Bell Canada 在 OpenShift 中的容器讓他們可以輕鬆將 Python 容器綁定到 Kafka 或 Elasticsearch，以便有所有資料的權限。然後，他們使用 ArcSight SIEM 進行事件聚合和關聯，減少誤報的比率，從而讓分析師免受警報轟炸。

Bell Canada 使用不同供應商的不同軟體建立了這整個管道，這是因為 Elastic 允許與開放的安全協定進行簡單的整合。在未來，SOC 計劃將網路威脅情報平台與其新的安全架構合併。 「有了這樣的基礎架構，我們可以比一年半前僅使用 ArcSight 解決方案時做更多的事，」Proulx 說。