Wat is AWS Security Lake? Belang & best practices

In deze blog wordt uitgelegd wat AWS Security Lake is en hoe het helpt bij cyberbeveiliging. Dit artikel behandelt de functies en best practices voor effectief gebruik om bedreigingen beter te detecteren en beveiligingsactiviteiten te stroomlijnen.

AWS Security Lake is een eenvoudig te implementeren oplossing die is ontworpen om samen te werken met uw lokale en cloudbronnen om al uw beveiligingsgegevens automatisch te centraliseren. Dit eigen aanbod standaardiseert en normaliseert beveiligingsgegevens in een formaat dat aansluit bij het Open Cybersecurity Schema Framework (OCSF), waardoor analyseoperaties eenvoudig, snel en inzichtelijk worden.

Het belang van AWS Security Lake voor cyberbeveiliging kan niet genoeg worden benadrukt. Snelle detectie, onderzoek en reactie op beveiligingsincidenten zijn van cruciaal belang om snel evoluerende cyberdreigingen te kunnen onderscheiden. Beveiligingsgegevens die in een gestandaardiseerd formaat zijn geconsolideerd met krachtige analysemogelijkheden via AWS Security Lake, stellen beveiligingsteams in staat om een grotere dekking te realiseren van hun steeds groter wordende dreigingslandschap.

Inleiding tot AWS Security Lake

AWS Security Lake is een service die organisaties helpt bij het creëren van een AWS-beveiliging data lake waar ze al hun logboeken met betrekking tot waarschuwingen en andere beveiligingsspecifieke use cases kunnen centraliseren. Het platform is bedoeld om een gemeenschappelijke manier te bieden voor het verzamelen, opslaan en analyseren van activiteitsgegevens van AWS-services en applicaties van derden. Het verwijst niet alleen naar configuratie, maar omvat ook beveiligingslogboeken, zoals aangepaste logboekgegevens.

Met Security Lake kunnen organisaties profiteren van de schaalbaarheid en kosteneffectiviteit van AWS, waardoor ze hun beveiligingsactiviteiten kunnen vereenvoudigen en tegelijkertijd uitgebreide zichtbaarheid krijgen voor snellere detectie- en responsmogelijkheden.

AWS Security Lake werkt samen met het Open Cybersecurity Schema Framework (OCSF) om ervoor te zorgen dat beveiligingsgegevens worden gestandaardiseerd, zodat ze kunnen worden geanalyseerd en gecorreleerd vanuit verschillende informatiebronnen. Deze standaardisatie betekent minder overhead om met verschillende beveiligingslogboeken om te gaan en helpt organisaties efficiënt gebruik te maken van de inzichten in hun eigen beveiliging.

In vergelijking met de traditionele methoden voor het opslaan van beveiligingsgerelateerde gegevens is Amazon Security Lake heel anders. Het grootste probleem bij traditionele methoden is dat logboeken overal worden opgeslagen (gescheiden systemen). Het eerste probleem dat wordt beschreven, is de fragmentatie van tools, waardoor de detectie- en responstijd op incidenten die het beveiligingsrisico verhogen, wordt vertraagd.

AWS Security Lake biedt een gemeenschappelijke plek waar beveiligingsteams gegevens uit verschillende bronnen kunnen verzamelen, waardoor het gemakkelijker wordt om deze te analyseren en snel te handelen. Traditionele methoden vereisen daarentegen aanzienlijke handmatige inspanningen om gegevens te verzamelen, te normaliseren en te analyseren.

Bovendien ontbreekt het traditionele beveiligingsoplossingen mogelijk aan de schaalbaarheid en flexibiliteit die nodig zijn om de toenemende hoeveelheden beveiligingsgegevens te verwerken. Organisaties met verouderde systemen hebben vaak moeite om hun gegevensopslag te schalen of nieuwe datasets te integreren. Op basis van deze aanpak is AWS Security Lake ontwikkeld voor integratie met de krachtige AWS-infrastructuur, die uitgebreide schaalbaarheid biedt voor groeiende gegevensladingen en flexibiliteit voor gediversifieerde gegevensbronnen.

AWS Security Lake-architectuur

AWS Security Lake is gebaseerd op een veilige architectuur die speciaal is ontworpen om beveiligingsgegevens in de AWS-cloud effectief te centraliseren en te beheren. De belangrijkste componenten van deze architectuur zijn:

1. Data-opnamelaag: Deze laag verzamelt beveiligingsgegevens uit diverse bronnen, zoals AWS-services, applicaties van derden en aangepaste logbronnen.
2. Gegevensnormalisatielaag: Deze laag wordt gebruikt om ervoor te zorgen dat alle opgenomen gegevens worden gestandaardiseerd in een gemeenschappelijke vorm, ongeacht de bron, met behulp van het OCSF-mechanisme (Open Cybersecurity Schema Framework).
3. Opslaglaag: Deze laag maakt gebruik van Amazon S3 om genormaliseerde beveiligingslogboeken op te slaan en biedt veilige opslag zonder beperkingen.
4. Query- en analyselaag: Security Lake kan worden geïntegreerd met analysetools zoals Amazon Athena en AWS QuickSight. Het doel hiervan is om organisaties in staat te stellen de in S3 opgeslagen beveiligingsgegevens te doorzoeken.
5. Presentatie- en rapportagelaag: Deze laag biedt beveiligingsteams dashboards en visualisaties om hun beveiligingsstatus bij te houden en trends of afwijkingen te signaleren.

Data-ingestie De opties zijn soepel en hebben een lage latentie voor zowel realtime gegevens als batchgewijze ladingen. Tijdgevoelige toepassingen kunnen in realtime worden verwerkt, bijvoorbeeld door beveiligingslogboeken tijdig vast te leggen met behulp van diensten zoals Amazon Kinesis Data Streams of AWS Lambda. Batch-ingest-methoden kunnen worden gepland om logboeken voor minder urgente gegevens te verzamelen en te uploaden.

Na consumptie worden de gegevens genormaliseerd, zodat ze consistent en compatibel blijven met elkaar. Dit wordt bereikt met het Open Cybersecurity Schema Framework (OCSF), dat beveiligingsgegevens omzet in een gemeenschappelijk formaat, zodat ze kunnen worden gebruikt om uiteenlopende bronnen te analyseren en te correleren.

Deze gegevens worden genormaliseerd en opgeslagen in Amazon S3, een objectopslagservice die duurzaamheid, beschikbaarheid en schaalbaarheid biedt voor grote hoeveelheden beveiligingslogboeken die worden gegenereerd door moderne IT-omgevingen.

Gegevens integreren en analyseren in AWS Security Lake

AWS Security Lake werkt samen met veel andere AWS-services en gebruikt deze om functies voor gegevensbeheer en meer te bieden. Belangrijke services die AWS Security Lake ondersteunen, zijn onder meer:

1. AWS CloudTrail: hiermee kunnen organisaties elk verzoek dat binnen hun AWS-account wordt gedaan, loggen. Dit omvat wijzigingen in resources en zelfs wat een individuele gebruiker dagelijks doet.
2. Amazon VPC Flow Logs: Hiermee wordt informatie vastgelegd over het IP-verkeer van en naar netwerkinterfaces in een Virtual Private Cloud (VPC), wat helpt bij het bewaken van de beveiliging en ervoor zorgt dat aan de nalevingsvereisten wordt voldaan.
3. AWS Security Hub: De Security Hub biedt klanten een centrale plek om het beleid toe te passen dat ze in hun AWS-omgevingen implementeren.
4. AWS Lambda: De lambda-functies maken serverloos computergebruik mogelijk, waardoor realtime gegevensverwerking en automatisering van beveiligingsworkflows mogelijk zijn zonder dat er infrastructuur aan te pas komt.
5. Amazon Kinesis: Wordt gebruikt voor het verzamelen en verwerken van streaminggegevens, zoals het verzamelen van realtime beveiligingslogboeken, enz.

Aangepaste logbronnen en beleid voor gegevensbewaring

AWS Security Lake is niet alleen geïntegreerd met ondersteunde AWS-services, maar kan ook logbronnen uit aangepaste bronnen opnemen. Belangrijke toepassingen voor deze functie zijn het integreren van gegevens uit uw on-premise systemen, firewalls, endpointbeveiligingsoplossingenof zelfs applicaties van derden. AWS Security Lake ondersteunt een reeks logbronnen, waardoor organisaties een op aggregatie gebaseerd overzicht van hun beveiligingsecosysteem krijgen.

Organisaties kunnen ook beleid voor gegevensbewaring instellen dat bepaalt hoe lang beveiligingsgegevens worden bewaard. Dit beleid kan worden aangepast om naleving af te dwingen en te voldoen aan operationele behoeften, zodat de vereiste logboeken worden bewaard voor auditing en onderzoek, maar de opslagkosten binnen de perken blijven.

Amazon Athena gebruiken voor SQL-query's

Met Amazon Athena kunnen gebruikers SQL-query's uitvoeren op de gegevens die zich rechtstreeks in Amazon S3 bevinden, zonder dat deze hoeven te worden verplaatst, wat snelle en flexibele analysebewerkingen mogelijk maakt. Beveiligingsanalisten of -ingenieurs hebben de mogelijkheid om ad-hocquery's uit te voeren wanneer ze bepaalde incidenten of afwijkingen onderzoeken, waardoor ze sneller kunnen reageren bij het onderzoeken van potentiële bedreigingen.

Athena is ook kosteneffectief vanwege het serverloze karakter, waarbij u alleen betaalt op basis van de hoeveelheid gegevens die in uw query's wordt gescand. Dit maakt het aanzienlijk gemakkelijker voor gebruikers die om verschillende redenen informatie moeten analyseren.

Integratie met AWS QuickSight

AWS QuickSight is een cloud-native business intelligence-service die ons helpt om inzichten uit onze beveiligingsgegevens te visualiseren. QuickSight bevat een uitgebreide reeks functies en biedt de mogelijkheid om dashboards en visualisaties te maken voor interactieve query's over gegevens afkomstig van AWS Security Lake met behulp van Amazon Athena.

Dankzij deze integratie kunnen beveiligingsteams hun beveiligingsrisico's beter begrijpen en duidelijk zichtbaar maken voor belanghebbenden. Dankzij het pay-per-session-prijsmodel van QuickSight kunnen organisaties nuttige rapporten delen en tegelijkertijd de kosten beheersen.

Wat zijn Security Lake Schema en OCSF?

De kern van AWS Security Lake wordt gevormd door het Open Cybersecurity Schema Framework (OCSF), dat standaardiseert hoe beveiligingsgegevens moeten worden beheerd. Het herdefinieert de manier waarop beveiligingsgebeurtenissen uit meerdere bronnen worden geclassificeerd, opgeslagen en geanalyseerd. Door gebruik te maken van OCSF lost Security Lake het veelvoorkomende probleem in cyberbeveiliging op dat gegevens een schijnvertoning zijn en niet synchroon lopen met zichzelf.

In de kern heeft OCSF een hiërarchische structuur voor het categoriseren van beveiligingsgebeurtenissen. Het verwijst naar de categorieën, klassen en uitbreidingen die een hogere granulariteit bieden. Een netwerkstroomgebeurtenis zou bijvoorbeeld vallen onder de categorie 'Netwerk' en de klasse 'Netwerkstroom'. Gestandaardiseerde velden zijn onder meer het bron-IP-adres, het bestemmings-IP-adres en het protocol. Dankzij dit hiërarchische kader kunnen beveiligingsanalisten enorme hoeveelheden gegevens filteren en inzicht krijgen in relevante informatie zonder overweldigd te worden door de enorme omvang ervan.

Bij AWS Security Lake vindt een complex normalisatieproces plaats voor OCSF. Gegevens worden vanuit verschillende bronnen verzameld en moeten worden geparseerd, toegewezen aan OCSF-attributen, verrijkt met extra contextinformatie en gevalideerd aan de hand van het schema. Dit automatische transformatieproces verenigt verschillende logformaten van invoer en maakt cross-source analyse mogelijk, wat in het verleden moeilijk of bijna onmogelijk was.

OCSF heeft een volledige set vooraf gedefinieerde velden en biedt tegelijkertijd meer uitbreidingsmogelijkheden om aan de behoeften van verschillende organisaties te voldoen. Aangepaste velden worden geïmplementeerd via het OCSF-uitbreidingsmechanisme en kunnen eenvoudig worden toegevoegd als extra kolommen in Parquet-bestanden, respectievelijk in de overeenkomstige Athena-tabeldefinities. Op deze manier kunnen organisaties dit schema aanpassen aan hun specifieke beveiligingsbehoeften, zonder alle voordelen van standaardisatie te verliezen.

Een van de sterke punten van OCSF is dat het kan veranderen met behoud van achterwaartse compatibiliteit. Om deze groei te beheren zonder bestaande query's of gegevensstructuren te verstoren, implementeert Security Lake een versiesysteem dat schema-updates kan accommoderen. Op deze manier kunnen organisaties profiteren van schema-verbeteringen en nieuwe soorten beveiligingsgebeurtenissen, terwijl hun historische niet-beveiligingsgegevens in een bruikbare staat worden bewaard.

Wat zijn de belangrijkste voordelen van AWS Security Lake?

Hier zijn enkele van de belangrijkste voordelen van AWS Security Lake:

1. Gecentraliseerde beveiligingsgegevens: AWS Security Lake maakt een einde aan de uitdaging van gefragmenteerde beveiligingsgegevens die in verschillende tools zijn opgeslagen, door logboeken en gebeurtenissen uit een breed scala aan bronnen, waaronder AWS-services, lokale systemen en apps van derden, te centraliseren. Door deze centralisatie is een uniform beveiligingsdashboard en een overzicht van waarschuwingen mogelijk, terwijl u anders tijd zou moeten verspillen aan het afzonderlijk doorzoeken van vele gegevenssilo's.
2. Verbeterde detectie van bedreigingen: Het Open Cybersecurity Schema Framework (OCSF) maakt het mogelijk om beveiligingsgegevens in verschillende formaten te standaardiseren en te normaliseren, waardoor bedreigingen proactief kunnen worden aangepakt. Deze consistentie leidt tot verbeterde mogelijkheden voor het detecteren van bedreigingen en stelt u in staat om te profiteren van krachtige analyse- en machine learning-algoritmen.
3. Eenvoudigere naleving: Naleving is voor veel ondernemingen een belangrijk aandachtspunt. Ongeacht de branche waarin een organisatie actief is, willen ze te allen tijde aan alle voorschriften voldoen. AWS Security Lake maakt auditing en rapportage eenvoudig door al uw gestructureerde beveiligingsgegevens op één centrale plek beschikbaar te maken.
4. Lage opslagkosten: Met AWS Security Lake, gebouwd op de schaalbare infrastructuur van AWS, kunnen organisaties aanzienlijk besparen op hun jaarlijkse uitgaven. De prijzen van AWS Security Lake bieden flexibele beleidsregels voor gegevensbewaring, zodat u de belangrijke beveiligingslogboeken kunt bewaren zonder uw budget te overschrijden.
5. Diep geïntegreerd: AWS Security Lake is diep in de dataset geïntegreerd en sluit naadloos aan op andere belangrijke beveiligingsmaatregelen en tal van oplossingen van derden.

5 Best practices voor AWS Security Lake

De volgende best practices zullen de beveiliging en efficiëntie van AWS Security Lake aanzienlijk verbeteren. Laten we ze een voor een bekijken.

1. Integratie met AWS Security Hub: Integratie van AWS Security Lake met AWS Security Hub is een best practice voor organisaties om beveiligingsbevindingen te ontvangen van verschillende diensten binnen hun organisatie, evenals van derde partijen die ze in hun overhead hebben geïntegreerd. Samen geeft dit de organisatie een completer beeld van haar compliancepositie en van de gebieden die aandacht behoeven.
2. Schakel Security Lake in alle ondersteunde AWS-regio's in: Security Lake moet in alle ondersteunde AWS-regio's worden ingeschakeld om ervoor te zorgen dat het optimaal kan functioneren.
3. Gebruik AWS CloudTrail voor monitoring: U moet de API binnen Security Lake gebruiken om het gebruik te monitoren. Dit is een native service van AWS CloudTrail. CloudTrail bevat ook een volledige geschiedenis van elke API-bewerking die door een gebruiker/rol/groep is uitgevoerd. Deze geschiedenis is gezaghebbend voor zowel audittoegang als wijzigingen in beveiligingsgegevens.
4. Controleer en update regelmatig het beleid voor gegevensbewaring: Het beleid voor gegevensbewaring moet worden gedefinieerd in AWS Security Lake om ervoor te zorgen dat elk beleid aansluit bij uw organisatie. Door deze bewaarinstellingen aan te passen, kunnen organisaties de levenscyclus van hun beveiligingsgegevens effectief beheren.
5. Pas het principe van minimale rechten toe: Met betrekking tot Amazon Security Lake is het belangrijk om het principe van minimale rechten te volgen, dat gebruikers, groepen en rollen alleen hun werk laat doen met minimale rechten.

De beperkingen van AWS Security Lake begrijpen

Hoewel AWS Security Lake klanten veel flexibiliteit biedt om beveiligingsgegevens naar de cloud te verplaatsen en die informatie te centraliseren, zijn er ook enkele beperkingen en mogelijke implementatieproblemen. Laten we deze eens nader bekijken.

Huidige beperkingen van AWS Security Lake

AWS Security Lake is een geweldige tool, maar kent wel wat strikte regels/beperkingen. Zoals bij alle volwassen technologieën is het echter essentieel om je bewust te zijn van deze aspecten om de oplossing succesvol te kunnen implementeren en gebruiken. Hier zijn vijf belangrijke technische problemen die je kunt tegenkomen bij een op AWS Security Lake gebaseerde oplossing.

1. Knelpunten in queryprestaties: AWS Security Lake voert in wezen query's uit op de gegevens met behulp van Amazon Athena (gebaseerd op een gedistribueerde query-engine). Dit is efficiënt voor veel scenario's, maar kan prestatieproblemen opleveren wanneer de gegevensomvang of het aantal query's extreem groot wordt. Met name query's die meerdere joins over zeer grote tabellen omvatten of query's waarbij veel gegevens moeten worden gescand, kunnen een hoge latentie vertonen. Dat komt door de architectuur van Athena, die rechtstreeks uit S3 leest, wat kan leiden tot I/O-knelpunten. Een ander nadeel is dat Athena geen indexering ondersteunt, zodat elke filterbewerking waarbij een index in query's kan worden gebruikt, een volledige scan uitvoert, wat de prestaties voor selectieve query's op grote tabellen aanzienlijk verslechtert.
2. Beperkingen bij gegevenstransformatie: Hoewel AWS Security Lake zorgt voor het toewijzen van inkomende gegevens aan het OCSF-schema, kan er contextuele informatie verloren gaan of kunnen niet-standaard logboekformaten verkeerd worden geïnterpreteerd. AWS Security Lake maakt gebruik van een op regels gebaseerde transformatie en ondersteunt sommige niet-standaard of aangepaste velden die voorkomen in eigen logformaten niet.
3. Uitdagingen op het gebied van gedetailleerde toegangscontrole: Hoewel AWS Security Lake is gebouwd met behulp van IAM voor toegangscontrole, blijft het leveren van gedetailleerde toegang op gegevensveldniveau een van de grootste uitdagingen. De service werkt voornamelijk op basis van tabellen of partities, en het is moeilijk om de toegang tot individuele kolommen te controleren, laat staan tot specifieke elementen binnen een logboekvermelding. Deze beperking kan een uitdaging vormen bij het voldoen aan strenge regelgeving op het gebied van gegevensprivacy, die een zorgvuldige controle vereist over wie toegang heeft tot specifieke soorten informatie.
4. Export en overdraagbaarheid: Aangezien AWS Security Lake geen mogelijkheden biedt om gegevens te exporteren, kunt u niet al uw informatie eenvoudig downloaden als dat op een later moment nodig mocht zijn. Het extraheren van grote hoeveelheden gegevens voor externe analyse of migratie naar een ander platform is geen eenvoudige taak. Aangezien er geen kant-en-klare exporttools worden aangeboden, moeten gebruikers aangepaste scripts schrijven of oplossingen van derden gebruiken om gegevens uit Security Lake te extraheren. Dit probleem is in sommige scenario's moeilijk op te lossen, zoals bij multi-cloudstrategieën, compliancegedreven gegevensbewaring op externe systemen of gespecialiseerde analyses die buiten het AWS-ecosysteem nodig zijn.

Potentiële uitdagingen bij de implementatie

1. Integratie met bestaande beveiligingstools: De meeste organisaties beschikken over een combinatie van tools en oplossingen, wat kan leiden tot uitdagingen op het gebied van integratie. De bestaande infrastructuur is gebouwd rond deze legacy-systemen. Hoewel AWS Security Lake parallel aan deze reeks tools kan worden geïmplementeerd, is ondersteuning van OCSF als geïntegreerde functie of uitgebreide aanpassing vereist, wat veel uitdagingen met zich meebrengt.
2. Naleving van gegevensbeheer: Door de centralisatie van beveiligingsinformatie kan het een uitdaging zijn om te voldoen aan industriële en wettelijke normen. Zonder dit soort beleid rond toegang, bewaring en delen van gegevens kan de implementatie alleen al ongelooflijk moeilijk worden.
3. Prestatiegerelateerde problemen: Wanneer organisaties AWS Security Lake op grote schaal gaan gebruiken, kunnen ze te maken krijgen met prestatieproblemen, vooral bij het uitvoeren van query's op honderden terabytes of zelfs petabytes aan gegevens. Query's moeten snel worden uitgevoerd zonder het systeem te overbelasten, dus optimalisatie is vaak een vereiste.

Conclusie

AWS Security Lake is een krachtige, volledig beheerde service waarmee u uw beveiligingsgegevens centraal kunt verzamelen en analyseren met automatische schaalbaarheid, ingebouwde machine learning-modellen en naadloze integratie met AWS-gegevensbronnen (bijv. VPC Flow Logs), on-premises omgevingen en zelfs andere clouds. Met behulp van het Open Cybersecurity Schema Framework (OCSF) worden genormaliseerde en gestandaardiseerde beveiligingsgegevens bijgehouden om een uitgebreide dreigingsanalyse te leveren door middel van eenvoudige, op regels gebaseerde reacties.

Het punt is dat AWS Security Lake in de huidige cyberwereld een onmisbaar hulpmiddel is om risico's te beperken en bescherming te bieden tegen de nieuwste beveiligingsdreigingen. Dit geeft organisaties een volledig overzicht van hun beveiligingsstatus, biedt diepgaandere mogelijkheden voor dreigingsdetectie en vereenvoudigt de rapportage over naleving.

Met AWS Security Lake kunnen beveiligingsteams gegevens uit meerdere verschillende bronnen samenbrengen in één opslagplaats, zodat ze snel inzicht krijgen voor een betere respons op incidenten en continu proactief zicht hebben op een steeds geavanceerder dreigingslandschap.

FAQs

Wat is AWS Security Lake?

AWS Security Lake is een nieuwe, volledig beheerde service die zich richt op het centraliseren van grote hoeveelheden beveiligingsgegevens uit verschillende bronnen, zoals AWS-omgevingen, omgevingen bij SaaS-providers, on-premises systemen en applicaties van derden, in één enkel lake voor analyse, inclusief servers, mobiele apps of Kubernetes-clusters en meer in de toekomst. Dit maakt het de meest complete opslagplaats van de geaggregeerde bron van waarheid met betrekking tot uw operationele beveiliging in de hele cloud-operating model-organisatie.

Het automatiseert het verzamelen, normaliseren en beheren van beveiligingslogboeken en gebeurtenissen, zodat organisaties hun cyberbeveiligingsstatus beter kunnen bepalen. Security Lake maakt gebruik van het Open Cybersecurity Schema Framework (OCSF) om gegevens te normaliseren en te analyseren, zodat ze gemakkelijk kunnen worden opgevraagd en geanalyseerd.

Is AWS S3 een datameer?

We kunnen Amazon S3 gebruiken als een datameer. Dankzij de schaalbare opslag van enorme datasets in verschillende formaten, zowel gestructureerd als ongestructureerd, kan het enorme hoeveelheden gegevens opslaan. Data lakes kunnen bovenop S3 worden gebouwd door uw gegevens te structureren voor eenvoudige query's en analyses, vaak geïntegreerd met aanvullende AWS-services.

Wat is het AWS-equivalent van een datameer?

Het datameer in AWS wordt vertegenwoordigd door AWS Lake Formation. Dit is een volledig beheerde service die het eenvoudig maakt om data lakes op AWS te configureren, beveiligen en beheren. Het helpt organisaties bij het verzamelen, combineren en beveiligen van gegevens uit veel verschillende resolutiepunten, zodat het eenvoudig wordt om grotere datasets te verwerken en tegelijkertijd deze verzamelde details te analyseren.