IT-Security
Security Information Mgmt.
ArcSightWas konkret leisten die Lösungen von ArcSight?!
ArcSight Manager / Multi-Manager
Der ArcSight Manager bildet das Herzstück des ArcSight ESM.
Dies ist ein serverbasiertes System, das sowohl die Datenverwaltung, die Korrelationslogik als auch die Informationsanzeige überwacht und steuert.
Darüber hinaus bildet der Manager die Grundlage für eindeutig zu differenzierende Arbeitsabläufe zur Reaktion auf Störungen, was wiederum in einer drastischen Reduktion der zur Problemerkennung und -lösung benötigten Zeitspanne resultiert.
Key Features
- zentrale Komponente für Echtzeit-Korrelation, Analysen und Workflows
- gekapselte Java-Applikation, lauffähig auf verschiedenen OS
- schreibt den Event-Datenstrom von den Agenten in die Datenbank
- enthält hunderte vorgefertigter Filter, Regeln, Datenmonitore, Dashboards und Netzmodelle
ArcSight SmartConnectors
ArcSight SmartConnectoren sammeln Loginformationen und leitet diese durch die Nutzung bestehender Netzwerkinfrastrukturen an den ArcSight Manager weiter.
Eine typische, große Organisation hat mehrere Hundert unterschiedlicher Quellen für Loginformationen, die überwacht, verdichtet und zusammengeführt werden müssen.
ArcSight SmartConnectoren sind in der Lage, Tausende Events pro Sekunde zu sammeln und an den ArcSight Manager zu senden, wo diese in einer relationalen Datenbank zur Analyse, Anzeige, Untersuchung und Berichterstattung gespeichert sind.
Key Features
- Parsing und Normalisierung von Eventlogs
- Datensammler für alle Informationsquellen
- Filterung und Aggregation von Events
- Kategorisierung der Ereignisse in ein generisches (herstellerunabhängiges) Format
ArcSight Console
Die ArcSight Console stellt die globale Schnittstelle für Benutzer des ArcSight ESM dar.
Der Einsatzbereich der ArcSight Console umfasst sowohl den operativen Betrieb eines SOC(Security Operations Center), dessen Fokus auf der Überwachung von Warnsignalen und der Meldung von Störfällen liegt, als auch die Erstellung von ArcSight Content für die nachgelagerte Security Analyse oder das Erstellen von Reports. Ebenso ist die ArcSight Console das geeignete Werkzeug, um das ArcSight ESM zu verwalten und zu administrieren.
Darunter fallen Tätigkeiten wie das Anlegen neuer Benutzer oder das Erstellen von Korrelationsregeln und Filtern.
Key Features
- Workstation-basiertes Java-Interface bestimmt für Security Operation Center
- Stellt Werkzeuge für die Definition von Filtern, Regeln, Reports, Anzeigen, Alarmierung, usw. bereit
- Erlaubt rollenabhängige Zugriffe, vom einfachen Anzeigen von Dashboards bis zum Erstellen komplexer Korrelationsregeln
ArcSight Web
ArcSight Web bietet eine ähnliche Funktionalität wie die ArcSight Console - jedoch ohne das Erfordernis, eine Client-Anwendung, welche die ArcSight Console darstellt, zu installieren. Aus Sicherheitsgründen ist die Administration des ArcSight ESM jedoch nicht über ArcSight Web möglich.
Das webbasierte Interface ermöglicht maßgeschneiderte und konfigurierbare Ansichten für Informationen und eine hohe Leistungsfähigkeit zur Untersuchung, um einen breiten Zugang für die Benutzer, über das gesamte verteilte Unternehmen hinweg, zu gewährleisten.
Key Features
- unabhängig vom Manager installierbarer Webserver
- dient als vereinfachtes Interface für den Zugriff von Managern oder MSSP-Kunden
- bietet bewusst keine Auditierungs- und Administrationsfunktionen
- Remote-Access-Variante für Sicherheitsanalytiker
ArcSight Database
Die ArcSight Database ist eine relationale Datenbank (Oracle), die zur optimierten Speicherung sämtlicher Log-Events dient. Eine effektive und effiziente Indizierung der Daten sorgt für einen schnellen Zugriff für den Abruf historischer Events zur Security Analyse oder das Reporting.
Ebenso enthält die Datenbank die Konfiguration des ArcSight ESM darunter z. B. Benutzer, Gruppen, Berechtigungseinstellungen, Regeln, Filter, Dashboards, Netzwerkmodellierung, Reports, etc.
Key Features
- zentraler Datenhub für alle normalisierten Logevents
- effektive Speicherung durch Kompression, Partitionierung und Archivierung
- typischerweise auf Basis von Oracle 10g
- hält Daten je nach DB-Kapazität und Datenvolumen im Bereich bis zu einigen Monaten
