تجربه عملیاتی با تغییرات عمدی
در زیر یک نوشته در خصوص لزوم استفاده از زیک بجای اسپلانک در شبکه های کنترل صنعتی نظیر گاز و پتروشیمی و برق رو با تغییراتی که اونو قابل ارائه کنه مینگارم
خلاصه مقایسه Zeek و Splunk Stream در شبکه‌های صنعتی (ICS)
تفاوت بنیادین بین Zeek و Splunk Stream در یک سناریوی تخصصی مانند شبکه‌های کنترل صنعتی (ICS) به وضوح آشکار می‌شود. فرض کنید هدف، شناسایی یک فرمان خطرناک و غیرمجاز (مانند توقف PLC) است که از طریق پروتکل صنعتی S7comm به یک کنترل‌گر زیمنس ارسال می‌شود.
ابزار Zeek، به لطف معماری متن‌باز و انعطاف‌پذیر خود، در این سناریو عملکردی خوب دارد. حتی اگر پروتکل S7comm به صورت پیش‌فرض پشتیبانی نشود، تیم امنیتی می‌تواند با نصب یک پکیج تحلیل‌گر از جامعه کاربری یا نوشتن یک اسکریپت سفارشی، به Zeek «یاد بدهد» که ساختار این پروتکل را بفهمد. با این توانایی، Zeek می‌تواند ترافیک را به رویدادهای معنادار مانند plc_stop_request یا program_download_request ترجمه کند. سپس، با یک اسکریپت ساده، می‌توان یک منطق امنیتی تعریف کرد: «اگر فرمان plc_stop_request از هر منبعی غیر از ایستگاه مهندسی مجاز ارسال شد، یک هشدار با اولویت بالا تولید کن». نتیجه، یک هشدار دقیق، غنی از زمینه و کاملاً قابل اقدام است که مستقیماً به ماهیت تهدید اشاره دارد.
در مقابل، Splunk Stream که یک محصول تجاری با رویکرد «پیکربندی-محور» است، در این سناریو با چالش جدی مواجه می‌شود. از آنجایی که پروتکل‌های خاص صنعتی مانند S7comm معمولاً در لیست پروتکل‌های پیش‌فرض آن قرار ندارند، Stream قادر به درک محتوای بسته‌ها نیست. این ابزار ترافیک را صرفاً به عنوان یک جریان TCP عمومی شناسایی کرده و فراداده‌های پایه‌ای مانند IP مبدأ و مقصد و حجم داده را ثبت می‌کند. لاگ حاصل فاقد زمینه لازم برای تصمیم‌گیری است و نمی‌تواند بین یک فرمان خطرناک و یک ارتباط عادی تمایز قائل شود. کاربران نهایی نمی‌توانند قابلیت تحلیل پروتکل جدید را به Stream اضافه کنند و کاملاً به نقشه راه توسعه محصول توسط شرکت Splunk وابسته هستند.
به طور خلاصه، Zeek به عنوان یک پلتفرم قدرتمند و قابل سفارشی‌سازی، ابزار ایده‌آل برای محیط‌های پیچیده و تخصصی است، در حالی که Splunk Stream به عنوان یک محصول کاربرپسند، در تحلیل پروتکل‌های استاندارد IT بهترین عملکرد را دارد و در مواجهه با نیازهای سفارشی، انعطاف‌پذیری محدودی از خود نشان می‌دهد.
#انتقال_تجربه
در زیر یک نوشته در خصوص لزوم استفاده از زیک بجای اسپلانک در شبکه های کنترل صنعتی نظیر گاز و پتروشیمی و برق رو با تغییراتی که اونو قابل ارائه کنه مینگارم
خلاصه مقایسه Zeek و Splunk Stream در شبکه‌های صنعتی (ICS)
تفاوت بنیادین بین Zeek و Splunk Stream در یک سناریوی تخصصی مانند شبکه‌های کنترل صنعتی (ICS) به وضوح آشکار می‌شود. فرض کنید هدف، شناسایی یک فرمان خطرناک و غیرمجاز (مانند توقف PLC) است که از طریق پروتکل صنعتی S7comm به یک کنترل‌گر زیمنس ارسال می‌شود.
ابزار Zeek، به لطف معماری متن‌باز و انعطاف‌پذیر خود، در این سناریو عملکردی خوب دارد. حتی اگر پروتکل S7comm به صورت پیش‌فرض پشتیبانی نشود، تیم امنیتی می‌تواند با نصب یک پکیج تحلیل‌گر از جامعه کاربری یا نوشتن یک اسکریپت سفارشی، به Zeek «یاد بدهد» که ساختار این پروتکل را بفهمد. با این توانایی، Zeek می‌تواند ترافیک را به رویدادهای معنادار مانند plc_stop_request یا program_download_request ترجمه کند. سپس، با یک اسکریپت ساده، می‌توان یک منطق امنیتی تعریف کرد: «اگر فرمان plc_stop_request از هر منبعی غیر از ایستگاه مهندسی مجاز ارسال شد، یک هشدار با اولویت بالا تولید کن». نتیجه، یک هشدار دقیق، غنی از زمینه و کاملاً قابل اقدام است که مستقیماً به ماهیت تهدید اشاره دارد.
در مقابل، Splunk Stream که یک محصول تجاری با رویکرد «پیکربندی-محور» است، در این سناریو با چالش جدی مواجه می‌شود. از آنجایی که پروتکل‌های خاص صنعتی مانند S7comm معمولاً در لیست پروتکل‌های پیش‌فرض آن قرار ندارند، Stream قادر به درک محتوای بسته‌ها نیست. این ابزار ترافیک را صرفاً به عنوان یک جریان TCP عمومی شناسایی کرده و فراداده‌های پایه‌ای مانند IP مبدأ و مقصد و حجم داده را ثبت می‌کند. لاگ حاصل فاقد زمینه لازم برای تصمیم‌گیری است و نمی‌تواند بین یک فرمان خطرناک و یک ارتباط عادی تمایز قائل شود. کاربران نهایی نمی‌توانند قابلیت تحلیل پروتکل جدید را به Stream اضافه کنند و کاملاً به نقشه راه توسعه محصول توسط شرکت Splunk وابسته هستند.
به طور خلاصه، Zeek به عنوان یک پلتفرم قدرتمند و قابل سفارشی‌سازی، ابزار ایده‌آل برای محیط‌های پیچیده و تخصصی است، در حالی که Splunk Stream به عنوان یک محصول کاربرپسند، در تحلیل پروتکل‌های استاندارد IT بهترین عملکرد را دارد و در مواجهه با نیازهای سفارشی، انعطاف‌پذیری محدودی از خود نشان می‌دهد.
#انتقال_تجربه
Comments
Be the first to add a comment
Log in to comment