Centralização da visualização de ameaças, dos alertas e dos relatórios do BIG-IP Advanced WAF com o Azure Sentinel

Tom AtkinsGerente Principal de Marketing de Produto | F5

A demanda por aplicações empresariais e de consumo não dá sinais de desaceleração e tem resultado na rápida proliferação de cargas de trabalho em arquiteturas distribuídas e multinuvem. Ao mesmo tempo, as ameaças cibernéticas têm se tornado cada vez mais frequentes e sofisticadas, deixando às equipes de segurança pouca alternativa além de investir pesadamente nas tecnologias mais recentes e avançadas para proteger seus portfólios de aplicações e dados. Para muitas organizações, isso leva à implantação de uma combinação de soluções distintas — geralmente de diversos fornecedores — para estabelecer uma postura de segurança robusta contra uma ampla variedade de ameaças. Consequentemente, é provável que cada solução ofereça recursos exclusivos de alerta de eventos e painéis isolados uns dos outros, tornando a tarefa de compilar uma visão abrangente das ameaças entre as diferentes soluções trabalhosa, demorada e altamente ineficaz. Esse cenário pode ser representado, em linhas gerais, pela Figura 1 abaixo.

Figura 1: Exemplo de arquiteturas multinuvem que aumentam a complexidade da visibilidade de segurança e dos alertas

Como as equipes de segurança da maioria das organizações são responsáveis por proteger arquiteturas complexas, compostas por muito mais dispositivos e ambientes de segurança do que os mostrados na Figura 1, esse modelo operacional claramente não é escalável e pode expor aplicativos e dados a riscos maiores. Por esse motivo, muitas recorreram a soluções de Gerenciamento de Informações e Eventos de Segurança (SIEM) para ajudar a agregar, analisar e visualizar dados de vários sistemas de segurança. Como era de se esperar, uma pesquisa sobre SIEM realizada pela Cybersecurity Insiders em 2022 constatou que 80% das organizações já implementaram uma solução SIEM ou planejam fazê-lo em breve, tendo como principais objetivos detectar eventos com mais rapidez e tornar as operações de segurança mais eficientes. O mesmo relatório observou que, de 2021 a 2022, o mercado de SIEM acompanhou a migração do mercado em geral para ofertas baseadas em nuvem e SaaS: menos organizações optaram por implantar localmente soluções SIEM baseadas em hardware ou software, enquanto mais organizações migraram para soluções SaaS baseadas em nuvem, como Azure Sentinel e Sumo Logic. Desde que os fornecedores de segurança ofereçam integrações com soluções SIEM, a arquitetura de exemplo da Figura 1 pode ser bastante simplificada, com todos os eventos de ameaça reunidos em uma ferramenta SIEM centralizada, conforme mostrado na Figura 2.

Figura 2: Simplificação dos alertas e da visibilidade de segurança em ambientes multinuvem por meio da introdução de ferramentas de SIEM

Após observar esse aumento na adoção de SIEM pelos clientes nos últimos anos, a F5 passou a priorizar a validação da integração de seu portfólio de produtos com soluções SIEM. Seja BIG-IP, NGINX ou F5 Distributed Cloud Services, cada solução é compatível com uma ampla variedade de plataformas SIEM líderes de mercado, como Splunk, Exabeam e Microsoft Azure Sentinel.

Concentrando-nos neste último, o BIG-IP Advanced WAF da F5 oferece integração com o Azure Sentinel há vários anos e é utilizado por um número significativo de clientes do Azure. Independentemente de onde as instâncias do BIG-IP Advanced WAF estejam implantadas — localmente, em uma instalação de colocation, no Azure ou em qualquer outro ambiente de nuvem —, essa integração permite que o Sentinel colete dados em tempo real de cada uma delas e forneça uma visão consolidada das ameaças em todo o portfólio de aplicações de uma organização. Esse cenário está representado abaixo em nosso terceiro e último diagrama.

Figura 3: Agregação de dados e alertas distribuídos do BIG-IP Advanced WAF no Azure Sentinel

Atualmente, há dois métodos para conectar instâncias do BIG-IP Advanced WAF ao Azure Sentinel — ambos recomendados e totalmente gratuitos. O primeiro utiliza o F5 Telemetry Streaming que, como o nome sugere, é uma extensão para o BIG-IP que permite transmitir dados para soluções de análise de terceiros. O único requisito para essa abordagem é que cada instância esteja executando, no mínimo, a versão v13.1 do software. Como alternativa, se você estiver familiarizado com as técnicas mais comuns do setor, que utilizam Syslog ou CEF (Formato Comum de Eventos), ambas também são compatíveis.

Se você quiser saber mais sobre como conectar suas instâncias do BIG-IP Advanced WAF ao Azure Sentinel, poderá encontrar informações adicionais sobre cada método de integração nos anúncios do Azure Marketplace abaixo:

• Integração do BIG-IP Advanced WAF com o Azure Sentinel via F5 Telemetry Streaming
• Integração do BIG-IP Advanced WAF com o Azure Sentinel via CEF/Syslog
  
  

Sobre o autor

Tom AtkinsGerente Principal de Marketing de Produto | F5

Mais publicações de Tom Atkins