Sběr a normalizace
Nativní i externí zdroje, napojení přes Singularity Marketplace a normalizace do OCSF.
Kde modul pomáhá během útoku
SIEM útok sám neblokuje, ale propojí stopy z mnoha zdrojů; hlavní roli má při vyšetřování a zpětném dohledání.
| Oblast | Úroveň |
|---|---|
| Průzkum | doplňková ochrana |
| Počáteční přístup | doplňková ochrana |
| Spuštění a persistence | kontext |
| Eskalace a šíření | doplňková ochrana |
| Dopad | kontext |
| Vyšetřování a obnova | hlavní role |
Bezpečnostní data z celé organizace na jednom místě
Singularity AI SIEM je cloudový SIEM postavený na Singularity Data Lake. Sbírá telemetrii z modulů SentinelOne i z nástrojů třetích stran, například z firewallů, e-mailu, SaaS aplikací nebo poskytovatelů identit, a zpřístupňuje ji pro detekci, vyšetřování a reakci.
Data se při příjmu normalizují do otevřeného schématu OCSF. Komponenta Singularity Data Pipelines, dříve Observo, je umí obohatit, filtrovat a směrovat ještě před uložením. Výsledkem je jednotný formát pro dotazy napříč zdroji.
Uložení
Data v trvale dostupném úložišti bez oddělené studené archivace. Délka uchování podle zvoleného plánu.
Detekce a vyšetřování
Detekční pravidla, vyhledávání hrozeb a Purple AI nad stejnými daty.
Reakce
Singularity Hyperautomation spouští zásahy z konzole podle schválených postupů.
Jak AI SIEM pomáhá při vyšetřování
Výstraha z koncového zařízení se v AI SIEM potká s logy z VPN, firewallu nebo poskytovatele identit. Analytik tak na jednom místě zjistí, odkud se uživatel přihlásil, kam zařízení komunikovalo a co se dělo před výstrahou.
Výrobce odděluje úložiště od výpočetního výkonu a licencuje podle průměrného měsíčního objemu přijatých dat. Odhad objemu proto patří mezi první kroky každé nabídky.
- Korelace událostí z koncových zařízení, cloudu, identit a síťových prvků.
- Zpětné vyhledávání v historických datech bez obnovy archivu.
- Reakce s kontextem vyšetřování a menší potřeba samostatného nástroje SOAR.
Pro koho centrální SIEM dává smysl
AI SIEM se hodí organizacím, které už SIEM provozují a narážejí na náklady, rychlost nebo složitost, i těm, které centrální evidenci bezpečnostních událostí budují poprvé. Pomáhá také tam, kde tým přepíná mezi několika konzolemi.
- Logy jsou roztroušené v několika nástrojích a jejich spojení trvá dlouho.
- Vyhledávání ve starších datech je pomalé nebo vyžaduje obnovu z archivu.
- Potřebujete podklady pro vyšetřování a pro interní či regulatorní požadavky na evidenci událostí.
Nasazení a provoz s APPSEC
Hodnota SIEM roste s kvalitou zdrojů, ne s jejich počtem. Začínáme zdroji, které nejvíc pomohou při vyšetřování: identitami, VPN a vzdáleným přístupem, firewally, e-mailem a klíčovými servery. Další zdroje přidáváme podle přínosu a objemu dat.
Inventura zdrojů
Které systémy logy produkují, v jakém formátu a objemu a které z nich jsou pro detekci podstatné.
Návrh
Priority zdrojů, odhad objemu dat, délka uchování a případný přechod ze stávajícího SIEM.
Pilot
Napojení vybraných zdrojů, ověření zpracování dat, prvních detekcí a vyhledávání.
Provoz
Postupné rozšíření, předání správcům a podpora podle nabídky. Vyhodnocování výstrah musí mít jasného vlastníka.
Co ověřit před nákupem
- Odhad měsíčního objemu dat a jeho očekávaný vývoj.
- Požadovanou délku uchování a umístění dat.
- Dostupnost konektorů pro vaše klíčové zdroje a případné vlastní zpracování formátů.
- Co se stane se stávajícími pravidly a reporty při přechodu z jiného SIEM.
- Kdo bude výstrahy vyhodnocovat v pracovní době i mimo ni.
- Role, přístupová práva k datům a auditní záznam o jejich použití.
