Методи централізованого збору, кореляції та аналітики подій інформаційної безпеки в корпоративній мережі на базі FortiAnalyzer

Abstract

У роботі проведено аналіз ролі централізованого логування та порівняльна характеристика SIEM-систем, обґрунтовано вибір вендорно-оптимізованого рішення FortiAnalyzer, спроєктовано логічні топології мережі та розгортання аналітичного ядра системи у віртуалізованому середовищі VMware ESXi з оптимізацією дискової підсистеми. Розроблено детерміновані правила кореляції й обробників подій для детектування атак перебору паролів та взаємодії з командними центрами ботнетів.

The paper analyzes the role of centralized logging and provides a comparative characteristic of SIEM systems, justifies the choice of the vendor-optimized FortiAnalyzer solution, designs logical network topologies and deploys the analytical core of the system in a virtualized VMware ESXi environment with disk subsystem optimization. Deterministic correlation rules and event handlers are developed to detect password brute force attacks and interact with botnet command centers.