Microsoft ha recentemente annunciato una nuova soluzione cloud chiamata Azure Sentinel. Si tratta di un servizio che intende ampliare le capacità e le potenzialità dei prodotti SIEM (Security Information and Event Management) tradizionali, andando ad utilizzare le potenzialità del cloud e l’intelligenza artificiale per poter identificare rapidamente e gestire le minacce di security che interessano la propria infrastruttura. In questo articolo vengono riportate le caratteristiche principali della soluzione.
Azure Sentinel è una soluzione che permette in tempo reale di analizzare eventi e informazioni di security generati all’interno della propria infrastruttura ibrida, provenienti da server, applicazioni, dispositivi e utenti. Si tratta di un servizio totalmente cloud-based, ne consegue che si può facilmente scalare ed avere elevate velocità nell’elaborazione delle informazioni, senza la necessità di dover implementare e gestire un’infrastruttura dedicata, per intercettare potenziali minacce di sicurezza.
Il servizio Azure Sentinel può essere attivato direttamente dal portale Azure:
Figura 1 – Creazione del servizio Azure Sentinel
Principi di funzionamento di Azure Sentinel
Raccogliere i dati all’interno dell’infrastruttura
Azure Sentinel si appoggia ad Azure Monitor che, utilizzando l’ormai collaudato e scalabile repository di Log Analytics, è in grado di ospitare una elevata mole di dati, i quali è possibile elaborarli efficacemente grazie a un motore che garantisce elevate performance.
Figura 2 – Aggiunta di Azure Sentinel a un workspace Log Analytics esistente
Con Azure Sentinel è possibile aggregare differenti dati di sicurezza provenienti da numerose fonti, utilizzando degli appositi connettori incorporati nella soluzione. Azure Sentinel è in grado di connettersi, oltre a differenti soluzioni della platform, anche alle soluzioni di rete più diffuse e popolari di vendor di terze parti, tra cui Palo Alto Networks, F5, Symantec, Fortinet e Check Point. Azure Sentinel dispone anche di una integrazione nativa con i log che rispettano i formati standard, come common event e syslog.
Figura 3 – Data Connectors
Utilizzando questa soluzione si ha inoltre la possibilità di importare facilmente i dati provenienti da Microsoft Office 365 e combinarli con altri dati di sicurezza, al fine di ottenere un’analisi dettagliata del proprio ambiente e avere visibilità sull’intera sequenza di un attacco.
Figura 4 – Office 365 Connector
Azure Sentinel si integra inoltre con l’API di Microsoft Graph Security, che consente di importare i propri feed di threat intelligence e di personalizzare le regole di rilevamento di potenziali incidenti di sicurezza e di notifica.
Analizzare e individuare rapidamente le minacce utilizzando l’intelligenza artificiale
Azure Sentinel utilizza algoritmi scalabili di apprendimento automatico, in grado di correlare una elevata quantità di dati di sicurezza, per presentare all’analista solo potenziali incidenti di sicurezza, il tutto con un elevato livello di affidabilità. Grazie a questo meccanismo Azure Sentinel si differenzia dalle altre soluzioni SIEM, che adottano motori di correlazione tradizionali, riducendo drasticamente il rumore e di conseguenza l’effort per le valutazioni necessarie nella rilevazione delle minacce.
Figura 5 – Azure Sentinel Overview
In seguito all’abilitazione dei Data Collector necessari, si inizieranno a ricevere i dati nel workspace di Log Analytics e configurando delle Alert Rules, è possibile generare dei Cases per segnalare delle potenziali minacce di sicurezza. Per maggiori dettagli su come rilevare dei threats con Azure Sentinel si rimanda alla documentazione ufficiale Microsoft.
Indagare attività di security sospette
I dati elaborati dalla soluzione sono consultabili utilizzando delle dashboard, personalizzabili in base alle proprie esigenze. Le dashboard consentono di condurre le indagini riducendo i tempi necessari per comprendere la portata di un attacco e il suo impatto.
Figura 6 – Dashboard disponibili in Azure Sentinel
Figura 7 – Azure Network Watcher dashboard
Nel caso vengano rilevate delle minacce di sicurezza, a fronte delle Alert Rule impostate, viene generato un Case, per il quale è possibile impostare la severity, lo status e la relativa assegnazione.
Figura 8 – Cases
Tramite la console è possibile procedere con l’investigation del case:
Figura 9 – Case Investigation
Nelle stesse dashboard è anche possibile compiere azioni. Le attività di ricerca proattiva di operazioni sospette sono un aspetto fondamentale per gli analisti della sicurezza, che con Azure Sentinel possono essere effettuate tramite due funzionalità specifiche che consentono di automatizzare l’analisi: query di ricerca (hunting queries) e Azure Notebooks (basati sui notebook Jupyter), che vengono costantemente aggiornati.
Figura 10 – Hunting queries
Figura 11 – Esempio di un Azure Notebook
Automatizzare le attività comuni e la risposta alle minacce
Azure Sentinel fornisce la possibilità di automatizzare e orchestrare le risposta ai problemi più comuni, in modo da non dover compiere manualmente attività ripetitive. Tramite dei playbooks predefiniti e personalizzabili è possibile rispondere rapidamente alle minacce di sicurezza.
Figura 12 – Alert playbooks
Figura 13 – Logic Apps Designer
Microsoft ha inoltre annunciato che saranno aumentati gli strumenti di difesa e investigazione integrati nella soluzione.
Conclusioni
Azure Sentinel è una soluzione completa che fornisce un SIEM nativo nel cloud e introduce importanti benefici rispetto alle soluzioni SIEM tradizionali, le quali richiedono di sostenere costi elevati per la manutenzione dell’infrastruttura e per l’elaborazione dei dati. Azure Sentinel consente ai clienti di semplificare le attività necessarie per mantenere elevata la sicurezza dell’infrastruttura e di scalare gradualmente in base alle proprie esigenze, mettendo a disposizione un’ampia integrazione con soluzioni di terze parti.
