Systém pro sledování a reakci na bezpečnostní incidenty

Abstract

Tato práce řeší centralizovaný monitoring antivirových alertů pro firmu Tieto s podporou automatizace při reakci na jednotlivé incidenty. Systém je navržen modulárně s ohledem na rozšiřování o další problémové domény. Export a import dat je řešen Windows službami, podpora pro konkrétní typy dat a systémů je řešena formou pluginů. Přenosová vrstva je volitelná, primárně se využívá vlastní MessageBus a SMTP. Grafické rozhraní je řešeno WPF desktopovou aplikací nad frameworkem PRISM a DI Unity. První vrsta automatizace redukuje podobné alerty pomocí agregace a ztrátové komprese a následně pomocí strojového učení rozhoduje, které alerty vyžadují další eskalaci. Druhá vrstva automatizace je založena na systému pravidel s vlastní gramatikou, šablonovacího engine a rozhraní pro integraci s externími systémy. Navrhne instrukce k řešení daného problému, vyhledá kontakty a pomocí integrace vytvoří požadavek k řešení problému. Systém je možné přizpůsobit vždy aktuálním procesům, okolním systémům a síťové infrastruktuře. S minimálními náklady dovede ušetřit tisíce člověkohodin ročně, při celkovém zvýšení kvality nabízených služeb.

The target of this thesis is designing and implement centralized monitoring of antivirus alerts for Tieto Company with automation support for incident response. The system is designed as modular architecture with extensibility support. Export and import of data are implemented as Windows services which loads appropriate plugins for target systems. Transfer layer is interchangeable, implemented as plugins, primary as custom MessageBus or SMTP. The GUI is written as a WPF desktop application on top of PRISM framework and DI Unity. The first automation layer reduces duplicate or similar alerts with grouping or loss compression. A machine learning based classifier separates alerts for escalation. Second automation layer is built on top of rule-system with a custom grammar, templating engine and integration with external systems. It generates instructions how to solve the problem, search contacts and escalate to responsible persons. The system can be adjusted to align with actual business processes, external systems and network infrastructure. It provides very efficient cost-saving solution with increase of quality of provided services.