在當今複雜的 IT 環境中，無數的系統、網絡和應用程式正以爆炸性的速度產生數據。這種被稱為「遙測」的原始數據，是現代數位安全的基石。透過了解遙測的本質以及如何有效利用它，IT 與安全團隊能將這股資訊洪流，轉化為主動、智慧的安全計畫。

什麼是遙測？

就其核心而言，遙測是從遠端點收集測量值和數據，並將其傳輸到中央位置進行監控和分析的過程。在網絡安全的範疇中，遙測是指由組織的整個數位基礎設施所產生的、與安全相關的持續數據流。這些數據通常源自於日誌，也就是記錄系統內部事件和活動的檔案。

安全遙測的主要來源包括：

  • 網絡： 防火牆、路由器、交換器和 DNS 伺服器。
  • 端點： 工作站、伺服器、手提電腦、智能手機和平板電腦。
  • 應用程式： Web 應用程式、API 及其底層伺服器。
  • 身份系統： 身份與存取管理工具。
  • 資料庫： 本地端和雲端的數據儲存庫。
  • 雲端基礎設施：如 AWS CloudWatch 和 Azure Monitor 等服務。

遙測為何如此重要？

單獨來看，來自遙測的單一數據點價值不大。然而，當遙測數據經過收集、正規化、匯總和分析後，它便能提供對組織安全狀況的整體視圖。這種全面的洞察力讓團隊能夠：

  • 提升效能：主動識別安全漏洞，並在系統維護需求變得至關重要之前進行預測。
  • 加強風險管理：監控可能導致服務中斷或業務中斷的營運和安全異常。
  • 實現更佳的決策：利用數據驅動的洞察力評估當前安全狀況，找出改進領域並指導未來投資。
  • 加速威脅獵捕：匯總各種零散的數據點，以揭露入侵指標並偵測如進階持續性威脅等複雜威脅。
  • 簡化合規性流程：收集和分析數據，以有效地記錄、報告和驗證安全控制措施是否如預期般運作。

安全遙測的類型

安全遙測讓組織能夠建立正常行為的基準線，從而能夠偵測可能預示著安全事件的異常活動。它通常按其來源進行分類。

網絡遙測

從防火牆、路由器和 DNS 伺服器匯總而來的網絡遙測，提供了對數據流和網絡健康狀況的可視性。這些數據為以下方面提供了關鍵洞察：

  • 流量模式： 內向和外向的通訊。
  • 延遲： 請求和回應所需的時間。
  • 使用情況： 正在被存取的資源和連接埠。
  • 設備健康狀況：CPU / 記憶體使用率和正常運行時間。

端點遙測

源自工作站、伺服器和端點偵測與應變等安全工具的端點遙測，對於管理設備安全至關重要。這些數據為以下方面提供了洞察：

  • 設備設定：可能暴露不必要功能的設定。
  • 系統漏洞：已知的、需要安裝修補程式或更新的安全漏洞。
  • 異常行為：可能表示惡意軟件感染的異常程序或活動。

應用程式遙測

從應用程式、API、Web 應用程式防火牆和 IAM 工具收集的遙測數據，提供了對應用程式使用和安全的深入理解。這些數據為以下方面提供了洞察：

  • 使用者存取： 誰在存取應用程式，以及他們的權限是否適當。
  • 基於憑證的攻擊： 登入失敗次數的激增，可能表示存在撞庫攻擊。
  • API 漏洞：安全弱點，例如 OWASP API 安全十大風險清單中列出的那些。
  • 針對性的 API 攻擊：旨在利用 API 漏洞的惡意活動。

雲端遙測

從雲端供應商服務（例如 AWS CloudWatch、Azure Monitor）和虛擬設備收集的雲端遙測，對於保護動態的雲端環境至關重要。這些數據為以下方面提供了洞察：

  • 雲端設定錯誤：攻擊者可以利用的設定。
  • 資源成本：記憶體、CPU 和執行時間，以優化資源分配。
  • 系統可靠性：維持可用性所需的架構完整性。
  • 效能瓶頸：影響服務的延遲問題或資源限制。

安全遙測的挑戰

儘管至關重要，但管理安全遙測對許多組織來說，仍帶來了幾個重大挑戰。

  • 高昂的儲存成本：現代環境產生的龐大數據量，可能使儲存成本變得令人望而卻步，特別是對於安全資訊與事件管理平台。而要求長期數據保留的合規性規定，更加劇了此問題。
  • 困難的擷取決策：並非所有數據對於即時監控都具有同等價值。高昂的儲存成本迫使團隊在將哪些數據擷取到安全平台方面做出艱難的選擇，這可能產生關鍵的可視性差距。
  • 不同的日誌格式：遙測數據有多種不同的格式（例如 Windows 事件日誌、JSON、通用事件格式）。在這些數據可以被關聯和分析之前，必須對其進行解析和正規化 —— 這是一項複雜且資源密集的任務。

Graylog：為安全與營運提供有效的遙測管理

克服這些挑戰需要一個專為可擴展性和效率而設計的平台。Graylog 解決了遙測管理的核心困難，以降低總擁有成本並提升安全成果。

我們平台創新的數據分層和管線管理能力，讓您能夠有效率地管理數據儲存，自動組織數據以優化存取並在不犧牲效能的情況下將成本降至最低。頻繁存取的數據會保留在高效能儲存中，而較舊的數據則會移至更具成本效益的解決方案。

解決了這些數據管理的挑戰後，您就可以充分利用 Graylog Security 強大的威脅偵測與應對能力。透過將 MITRE ATT&CK 框架與供應商無關的 Sigma 規則相結合，我們的解決方案使您能夠更快、更有效地應對事件。這讓您的團隊可以花更少的時間開發自訂的偵測規則，而將更多時間投入到更關鍵的安全任務上。

關於 Graylog 

Graylog 通過完整的 SIEM、企業日誌管理和 API 安全解決方案，提升公司企業網絡安全能力。Graylog 集中監控攻擊面並進行深入調查，提供卓越的威脅檢測和事件回應。公司獨特結合 AI / ML 技術、先進的分析和直觀的設計，簡化了網絡安全操作。與競爭對手複雜且昂貴的設置不同，Graylog 提供強大且經濟實惠的解決方案，幫助公司企業輕鬆應對安全挑戰。Graylog 成立於德國漢堡，目前總部位於美國休斯頓，服務覆蓋超過 180 個國家。

關於 Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。
透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。