Correlador de eventos avanzado

Abstract

La finalidad de este proyecto es obtener un entorno de correlación de eventos que permita distribuir la carga entre diferentes instancias, ofreciendo una gran flexibilidad y escalabilidad. En el contexto de la seguridad de un sistema informático nos encontramos con un gran ecosistema de dispositivos, cuyos logs y tráfico generado son importantes fuentes de información para detectar comportamientos maliciosos o anómalos. Uno de los problemas más comunes es relacionar toda esta información que se encuentra en diferentes sistemas. Tras investigar los diferentes SIEM y correladores más conocidos y usados se llegó a la conclusión de que no existía ningún producto open source que nos ofreciera todas las características que se deseaban. Se decidió diseñar un entorno de correlación formado por diferentes componentes que nos permiten objetivos deseados. Uno de estos componentes fue necesario desarrollarlo porque no existía ningún software que nos proporcionara las funcionalidades requeridas. La metodología elegida fue el Proceso Unificado (RUP), el cuál nos proporciona un marco de trabajo con unas metodologías para la correcta gestión del proyecto y la planificación del mismo. De este desarrollo se obtuvo el componente ELKorrelator, una pieza de software que junto a la pila ELK nos proporciona un entorno de correlación estable, rápido y escalable. La conclusión principal del trabajo es que para obtener una mayor información a partir de los eventos individuales, estos se deben poder normalizar, relacionar y enriquecer mutuamente, obteniendo así un evento más complejo que nos proporciona información más completa.

The goal of this project is to generate an environment of event correlation that allows to distribute the load between different instances, offering great flexibility and scalability. In the context of the security of a computer system we find a large ecosystem of devices, whose logs and generated traffic are important sources of information to detect malicious or anomalous behavior. One of the most common problems is to relate all this information found in different systems. After investigating the different SIEMs and correlators more known and used, it was concluded that there was no open source product that offered all the desired characteristics. It was decided to design a correlation environment formed by different components that allow us desired objectives. One of these components was necessary to develop it because there was no software that would provide us with the required functionalities. The chosen methodology was the Rational Unified Process (RUP), which provides us with a framework of work with some methodologies for the correct management of the project and its planning. From this development we obtained the ELKorrelator component, a piece of software that together with the ELK stack provides with a stable, fast and scalable correlation environment. The main conclusion of the work is that to obtain more information from individual events, these must be able to normalize, relate and enrich each other, thus obtaining a more complex event that provides us with more complete information.

La finalitat d'aquest projecte és obtenir un entorn de correlació d'esdeveniments que permeti distribuir la càrrega entre diferents instàncies, oferint una gran flexibilitat i escalabilitat. En el context de la seguretat d'un sistema informàtic ens trobem amb un gran ecosistema de dispositius, que els seus logs i tràfic generat són importants fonts d'informació per detectar comportaments maliciosos o anòmals. Un dels problemes més comuns és relacionar tota aquesta informació que es troba en diferents sistemes. Després d'investigar els diferents SIEM i correladores més coneguts i usats es va arribar a la conclusió que no existia cap producte open source que ens oferís totes les característiques que es desitjaven. Es va decidir dissenyar un entorn de correlació format per diferents components que ens permeten objectius desitjats. Un d'aquests components va ser necessari desenvolupar-ho perquè no existia cap programari que ens proporcionés les funcionalitats requerides. La metodologia triada va ser el Procés Unificat (RUP), el quin ens proporciona un marc de treball amb unes metodologies per a la correcta gestió del projecte i la planificació del mateix. D'aquest desenvolupament es va obtenir el component ELKorrelator, una peça de programari que al costat de la pila ELK ens proporciona un entorn de correlació estable, ràpid i escalable. La conclusió principal del treball és que per obtenir una major informació a partir dels esdeveniments individuals, aquests s'han de poder normalitzar, relacionar i enriquir mútuament, obtenint així un esdeveniment més complex que ens proporciona informació més completa.