ในความปลอดภัยเครือข่าย SDEE ย่อมาจากอะไร

SDEE ในความปลอดภัยเครือข่าย = Security Device Event Exchange

SDEE คืออะไร?

SDEE (Security Device Event Exchange) เป็น โปรโตคอลมาตรฐาน สำหรับ แลกเปลี่ยนเหตุการณ์ความปลอดภัย (Security Events) ระหว่างอุปกรณ์ความปลอดภัย (IPS, IDS, Firewall) กับระบบจัดการ/วิเคราะห์ (Management Console, SIEM, Log Collector)

พัฒนาโดย Cisco Systems

เปิดเผยครั้งแรกประมาณปี 2000
ใช้ในผลิตภัณฑ์ Cisco IPS/IDS (Cisco Secure IPS, Firepower, ASA with FirePOWER)
เวอร์ชันปัจจุบัน: SDEE 2.0 (รองรับ XML over HTTPS)

ทำงานอย่างไร?

Event Generation: IPS/IDS ตรวจจับภัยคุกคาม (Signature Match, Anomaly, Policy Violation)
Event Formatting: จัดรูปแบบเป็น XML ตาม SDEE Schema (Event ID, Timestamp, Severity, Source/Dest IP, Signature Info, Action Taken)
Transport: ส่งผ่าน HTTPS (Port 443) แบบ Pull (Client ดึงจาก Server) หรือ Push
Consumption: Management Console (Cisco Security Manager, FMC), SIEM (Splunk, QRadar, ArcSight), Syslog Server รับและประมวลผล

โครงสร้างข้อมูล SDEE (XML Schema หลัก)

<?xml version="1.0" encoding="UTF-8"?>
<sdns:event xmlns:sdns="https://www.cisco.com/ids/sdee" version="2.0">
  <eventId>1234567890</eventId>
  <timestamp>2024-01-15T10:30:45Z</timestamp>
  <severity>high</severity>
  <originator>
    <deviceId>IPS-Sensor-01</deviceId>
  </originator>
  <signature>
    <sigId>2000</sigId>
    <sigName>SQL Injection Attempt</sigName>
    <sigDetails>...</sigDetails>
  </signature>
  <packetInfo>...</packetInfo>
  <action>deny-attacker-inline</action>
</sdns:event>

SDEE vs Syslog vs Other Protocols

Protocol	Format	Transport	Features	ใช้กับ
SDEE	XML (Structured)	HTTPS (Encrypted)	Rich metadata, Query/Filter, Subscription, Acknowledgment	Cisco IPS/IDS/Firepower
Syslog (RFC 5424)	Text/Structured	UDP/TCP/TLS	Universal, Simple, No built-in query	All Devices
CEF (Common Event Format)	Key=Value	Syslog Transport	ArcSight Standard, Vendor-neutral	Many Vendors
LEEF (Log Event Extended Format)	Key=Value	Syslog	IBM QRadar Standard	IBM/Partners
STIX/TAXII	JSON/XML	HTTPS	Threat Intelligence Sharing	TI Platforms

การใช้งานจริง (Use Cases)

Cisco FMC (Firepower Management Center) ดึง Events จาก Firepower Sensors via SDEE
SIEM Integration: Splunk Add-on for Cisco Firepower ใช้ SDEE/ESTREAMER
Custom Monitoring Tools: เขียน Script ดึง SDEE Events มาวิเคราะห์/แจ้งเตือนเอง
Compliance Reporting: เก็บ Events ตาม PCI-DSS, HIPAA Requirements

ESTREAMER (eStreamer) - รุ่นปรับปรุง

Cisco มี eStreamer (Event Streamer) ซึ่งเป็น Protocol ใหม่กว่า SDEE:

TCP Persistent Connection (ไม่ใช่ HTTP Polling)
Lower Latency, Higher Throughput
Support Event Streaming, Subscription Filtering
แนะนำให้ใช้แทน SDEE สำหรับ Deployment ใหม่

สรุป

SDEE = Security Device Event Exchange โปรโตคอล Cisco สำหรับส่ง IPS/IDS Events (XML over HTTPS) ไปยัง Management/SIEM ใช้กับ Cisco IPS, Firepower, ASA-FP ปัจจุบันแนะนำใช้ eStreamer แทน