IBM QRadar
QRadar est une solution SIEM propriétaire developpée par IBM. Elle permet de centraliser en temps réel la gestion des évènements de sécurité au sein d'une infrastructure.
Fonctionnement de QRadar
Architecture
QRadar est composé de divers composants avec des rôles précis permettant d'effectuer la collecte, le traitement, et le stockage des évènements ou des flux de façon optimale. Ils sont au nombre de 7 :
Console (C) :
Présente le portail web aux utilisateurs
Pilote les composants
Orchestre les déploiements de configuration
Interagit avec les ressources externes
Génère les alertes quand un incident est detecté
Génère les rapports et les graphiques
Event Collector (EC) :
Event Processor (EP) :
Corrèle les données reçues de l'Event Collector et du Flow Processor en temps réel selon les règles de détection implémentées par les opérateurs analystes
Génère les incidents de sécurité
Archive les données sur le Data Node
Délègue les opérations de recherche au Data Node.
Prend le rôle de Data Node lorsqu'il n'y en a aucun dans le deploiement
Flow Collector (FC) :
Flow Processor (FP) :
Data Node (DN) :
App Host (AH) :
Pour permettre une haute disponibilité du SIEM, chacun de ces composants peut être mis en cluster (mode actif/passif). De plus, plusieurs collecteurs et processeurs peuvent être parallèlisés afin d'absorber une grande quantité de logs en temps réel.
Types de déploiements courants de QRadar :
All in One : Tous les composants sont installés sur la même machine, si possible redondée dans un second datacenter. Cela permet d'avoir une solution SIEM à bas coût, simple à gérer, et adaptée aux petites infrastructures générant peu d'évènements.
Déploiement Edge (ou en étoile) : Les composants de gestion, de traitement, voire de stockage sont installés sur une ou plusieurs machine(s) centrale(s) (généralement dans le cloud), tandis que ceux servant à la collecte (EC & FC) sont installés sur des machines dédiées, disséminées au sein de l'infrastructure à protéger, parfois dans des datacenters différents. Ce type de déploiement est plus coûteux que le premier, mais permet d'optimiser la collecte des évènements ou des flux en plaçant les collecteurs au plus près des équipements sources.
Déploiement complet : Chaque composant est installé sur une machine dédiée, si possible redondés dans un second datacenter, ce qui permet d'optimiser les performances globales de la plateforme, ainsi que sa disponibilité.
Licences / Modèle tarifaire
QRadar existe en 2 versions :
Une version “community” gratuite, sans support IBM, et limitée à 50 évènements par seconde (EPS) et 5000 Flux par seconde (FPS).
Une version “standard” avec un support minimum de la part d'IBM et dont le tarif varie en fonction du nombre d'évènements et de flux par seconde (EPS & FPS) maximal fixé. Un abonnement gold permet également d'avoir un support privilégié de la part des équipes IBM.
Tutoriels
Documentation IBM