Referenzarchitektur – Varonis-Integration mit ANQ

Wie oben gezeigt, beinhaltet der Integrationsprozess, dass der Qumulo-Cluster Prüfprotokolle an den Qumulo-Broker sendet, der die Protokolle in das erforderliche Format konvertiert und sie an den Varonis Collector weiterleitet. Der Qumulo Broker stellt außerdem einen API-Dienst für den RabbitMQ-Nachrichtenverkehr bereit, bei dem es sich um den Dienst handelt, der die Ereignisse an den Varonis Collector weiterleitet.

Der Varonis-Collector stellt eine Verbindung zu ANQ her, scannt Ordner, klassifiziert Dateiinhalte und extrahiert Zugriffsereignisse. Die extrahierten Metadaten – Ordner- und Dateiberechtigungen, Klassifizierungsbezeichnungen und Zugriffsereignisse – werden in die Cloud der Varonis Data Security Platform hochgeladen.

Diese Architektur konzentriert sich auf den Schutz vor Ransomware und Malware in drei Hauptdimensionen:

• Verhütung: Die Varonis Data Security Platform spielt eine entscheidende Rolle bei der Ransomware-Prävention, indem sie kontinuierlich Audit-Protokolle überwacht, die vom Qumulo-Cluster an die Varonis SaaS-Anwendung gesendet werden. Varonis analysiert diese Protokolle, um Benutzerberechtigungen zu verstehen und Zugriffsebenen zu bewerten. Es wird empfohlen, ungenutzte Berechtigungen zu entfernen und Administratoren zu warnen, wenn verdächtige oder ungewöhnliche Berechtigungsänderungen festgestellt werden. Benutzer können dann innerhalb der Varonis SaaS-Anwendung Korrekturmaßnahmen ergreifen.
• Erkennung: Varonis nutzt Bedrohungsinformationen, einschließlich Bedrohungs-Feeds und Blacklists, um bekannte Ransomware- und Angriffsmuster zu identifizieren. Maschinelles Lernen wird auf Qumulo-Prüfprotokolle für neue oder neuartige Angriffsmethoden angewendet, um ungewöhnliches Verhalten zu erkennen, das auf böswillige Aktivitäten hinweisen könnte. Dazu gehört die Überwachung von Änderungen der Dateiaktivität, Zugriffsberechtigungen und Zugriffsmuster sowie das Auslösen von Warnungen, wenn Anomalien erkannt werden.

Wiederherstellung: Im Falle eines Angriffs ist es wichtig, einen Wiederherstellungsplan zu haben. Mit Qumulo können Administratoren Snapshot-Richtlinien erstellen, die mehrere Kopien von Daten über einen längeren Zeitraum hinweg aufbewahren. Selbst wenn ein Angreifer erhöhte Berechtigungen erhält und versucht, Daten zu verschlüsseln, verhindert die Snapshot-Sperre von Qumulo, dass er vorhandene Snapshots löscht oder verschlüsselt. Durch diesen Ansatz wird der Angriff isoliert, sodass Administratoren bei Bedarf auf unverschlüsselte Daten zurückgreifen und den normalen Betrieb wieder aufnehmen können.