Automatisierung, damit Sicherheitsteams mit weniger Aufwand mehr erreichen können

Ein Blick in die „Auto-Triage“

Viele Unternehmen gehen davon aus, dass sie bis zum Jahresende weiterhin im Homeoffice arbeiten werden. Diese neue Arbeitsumgebung hat die Arbeitsbelastung der Teams für den Betrieb der Sicherheitsinfrastruktur erheblich erhöht. Glücklicherweise können die Automatisierungsfunktionen von Indeni dazu beitragen, diese Teams zu entlasten, indem sie Fehler beheben und relevante Informationen erfassen, die für die Meldung eines Vorfalls erforderlich sind.

Erfahren Sie, wie die Auto-Triage-Funktionen von Indeni entscheidend dazu beitragen, dass Ihr Remote-Betrieb rund um die Uhr sicher und voll funktionsfähig bleibt.

Wie hilft „Auto-Triage“?

Sobald Indeni ein Problem identifiziert hat, kann es eigene Untersuchungsschritte durchführen – genau die, die normalerweise manuell ausgeführt werden. Diese Schritte können so einfach sein wie das Sammeln zusätzlicher kontextbezogener Diagnoseinformationen oder so umfassend wie die Analyse und Durchführung gängiger Fehlerbehebungsmaßnahmen. Die Anwendung von Best-Practice-Verfahren verkürzt die Zeit bis zur Lösung – sei es durch die Bereitstellung aller Informationen für einen Techniker oder durch die automatische Eingrenzung des Problems mit noch präziseren Empfehlungen zur Behebung.

Ein Beispiel: Protokollverwaltung für maximale Transparenz

Das plötzlich eingeführte Modell der Remote-Arbeit hat die Betriebsbedingungen verändert. Protokolle sind die primäre Datenquelle für forensische Untersuchungen und die Reaktion auf Sicherheitsvorfälle. Die Protokollanalyse erhöht nicht nur das Sicherheitsbewusstsein, sondern erkennt auch schnell fehlgeschlagene Prozesse, Netzwerkausfälle oder Protokollfehler. Außerdem trägt sie zu einer effektiven Verwaltung von Anwendungen und Infrastruktur bei. Wenn keine Protokollerfassung stattfindet, gilt dies als P1-Ereignis (hohe Priorität). Damit Unternehmen Dienstunterbrechungen verhindern und Bedrohungen erkennen können, müssen sie sich auf Protokolle verlassen und die Protokollerfassung kontinuierlich und in großem Maßstab überwachen.

Was kann bei der Protokollsammlung möglicherweise schiefgehen?

1. Logging rate is higher than what the device can handle.
2. Devices are stressed due to a high number of connections.
3. Unable to reach the log management server(s).
4. Network connection issues.
5. Limited local storage on the device to temporarily store log data.

„Auto-Triage“ gewährleistet eine kontinuierliche Protokollerfassung

Indeni überwacht die Protokollerfassung kontinuierlich, indem es die verworfenen Protokolle eines Palo Alto Networks-Geräts nachverfolgt. Wenn Protokolle verworfen werden, benachrichtigt Indeni die Benutzer umgehend und leitet automatisch eine Untersuchung ein.

Der erste Schritt der Untersuchung besteht darin, die Protokollierungsrate vom Gerät abzurufen.

Indeni ermittelt, ob die Protokollierungsrate innerhalb des Gerätelimits liegt. Wenn die Protokollierungsrate das Gerätelimit überschreitet, werden Protokolle verworfen. Dies könnte auf eine Beschränkung der Hardware-Ressourcen zurückzuführen sein.

Indeni schlägt Workarounds vor, wie beispielsweise die Deaktivierung der Protokollierung für bestimmte Datenverkehrstypen (DNS und PING). Ein alternativer Vorschlag ist, nur die Container-Seite zu protokollieren und nachfolgende Seiten nicht. Da die URL-Filterung potenziell viele Protokolleinträge erzeugen kann, könnte dies ein praktikabler Workaround sein.

Liegt die Protokollierungsrate innerhalb des Gerätelimits, prüft Indeni die Sitzungsauslastung.

Das Verwerfen von Protokollen kann durch einen Anstieg der Datenverkehrsrate verursacht werden, der das Geräte-Limit überschreitet. Bestimmte Datenverkehrstypen erzeugen mehr Sitzungen (z. B. DNS, PING) und beanspruchen mehr Ressourcen für Sitzungsabfragen, Protokollierung zu Sitzungsbeginn und Protokollierung am Sitzungsende, um nur einige Beispiele zu nennen. Liegt die Sitzungsauslastung bei über 70 % der Sitzungs-Tabelle des Geräts, gilt sie als hoch. Wenn dieses Problem weiterhin besteht, könnte dies auf Hardware-Einschränkungen hindeuten.

Liegt die Sitzungsauslastung unter 70 %, prüft Indeni, ob die Protokollsammler erreichbar sind und eine Verbindung hergestellt werden kann.

Zusammenfassend lässt sich sagen: Wenn die Protokollierungsrate innerhalb des Gerätelimits liegt, die Sitzungsauslastung unter 70 % der Verbindungstabelle liegt und der Sammler erreichbar ist, ist es an der Zeit, ein Support-Ticket bei Palo Alto Networks zu eröffnen. Dank der automatisierten Untersuchungsschritte haben die Benutzer bereits alle relevanten Informationen zusammengetragen, die zur Eröffnung eines Falls erforderlich sind.

Nächste Schritte

Indeni unterstützt Sie dabei, Ihren Geschäftsbetrieb wie gewohnt aufrechtzuerhalten. Wenn Sie Kunde sind, empfehlen wir Ihnen, „Auto-Triage“ zu aktivieren, damit Ihre Sicherheitsinfrastrukturen in dieser schwierigen Zeit reibungslos weiterlaufen. Sollten Sie das gesuchte „Auto-Triage Element“ (ATE) nicht finden, können Sie jederzeit eineAnfrage an unsere Community richten. Wenn Sie Indeni noch nicht kennen, würden wir Ihnen gerne die Möglichkeit bieten, unsere Automatisierungsfunktionen in Ihrer eigenen Umgebung zu testen.