Zber a normalizácia
Natívne aj externé zdroje, napojenie cez Singularity Marketplace a normalizácia do OCSF.
Kde modul pomáha počas útoku
SIEM útok sám neblokuje, ale prepojí stopy z mnohých zdrojov; hlavnú rolu má pri vyšetrovaní a spätnom dohľadaní.
| Oblasť | Úroveň |
|---|---|
| Prieskum | doplnková ochrana |
| Počiatočný prístup | doplnková ochrana |
| Spustenie a perzistencia | kontext |
| Eskalácia a šírenie | doplnková ochrana |
| Dopad | kontext |
| Vyšetrovanie a obnova | hlavná úloha |
Bezpečnostné dáta z celej organizácie na jednom mieste
Singularity AI SIEM je cloudový SIEM postavený na Singularity Data Lake. Zbiera telemetriu z modulov SentinelOne aj z nástrojov tretích strán, napríklad z firewallov, e-mailu, SaaS aplikácií alebo poskytovateľov identít, a sprístupňuje ju na detekciu, vyšetrovanie a reakciu.
Dáta sa pri príjme normalizujú do otvorenej schémy OCSF. Komponent Singularity Data Pipelines, predtým Observo, ich vie obohatiť, filtrovať a smerovať ešte pred uložením. Výsledkom je jednotný formát pre dopyty naprieč zdrojmi.
Uloženie
Dáta v trvalo dostupnom úložisku bez oddelenej studenej archivácie. Dĺžka uchovávania podľa zvoleného plánu.
Detekcia a vyšetrovanie
Detekčné pravidlá, vyhľadávanie hrozieb a Purple AI nad rovnakými dátami.
Reakcia
Singularity Hyperautomation spúšťa zásahy z konzoly podľa schválených postupov.
Ako AI SIEM pomáha pri vyšetrovaní
Výstraha z koncového zariadenia sa v AI SIEM stretne s logmi z VPN, firewallu alebo poskytovateľa identít. Analytik tak na jednom mieste zistí, odkiaľ sa používateľ prihlásil, kam zariadenie komunikovalo a čo sa dialo pred výstrahou.
Výrobca oddeľuje úložisko od výpočtového výkonu a licencuje podľa priemerného mesačného objemu prijatých dát. Odhad objemu preto patrí medzi prvé kroky každej ponuky.
- Korelácia udalostí z koncových zariadení, cloudu, identít a sieťových prvkov.
- Spätné vyhľadávanie v historických dátach bez obnovy archívu.
- Reakcia s kontextom vyšetrovania a menšia potreba samostatného nástroja SOAR.
Pre koho centrálny SIEM dáva zmysel
AI SIEM sa hodí organizáciám, ktoré už SIEM prevádzkujú a narážajú na náklady, rýchlosť alebo zložitosť, aj tým, ktoré centrálnu evidenciu bezpečnostných udalostí budujú prvýkrát. Pomáha aj tam, kde tím prepína medzi niekoľkými konzolami.
- Logy sú roztrúsené v niekoľkých nástrojoch a ich spojenie trvá dlho.
- Vyhľadávanie v starších dátach je pomalé alebo si vyžaduje obnovu z archívu.
- Potrebujete podklady na vyšetrovanie a na interné či regulačné požiadavky na evidenciu udalostí.
Nasadenie a prevádzka s APPSEC
Hodnota SIEM rastie s kvalitou zdrojov, nie s ich počtom. Začíname zdrojmi, ktoré najviac pomôžu pri vyšetrovaní: identitami, VPN a vzdialeným prístupom, firewallmi, e-mailom a kľúčovými servermi. Ďalšie zdroje pridávame podľa prínosu a objemu dát.
Inventúra zdrojov
Ktoré systémy logy produkujú, v akom formáte a objeme a ktoré z nich sú pre detekciu podstatné.
Návrh
Priority zdrojov, odhad objemu dát, dĺžka uchovávania a prípadný prechod zo súčasného SIEM.
Pilot
Napojenie vybraných zdrojov, overenie spracovania dát, prvých detekcií a vyhľadávania.
Prevádzka
Postupné rozšírenie, odovzdanie správcom a podpora podľa ponuky. Vyhodnocovanie výstrah musí mať jasného vlastníka.
Čo overiť pred nákupom
- Odhad mesačného objemu dát a jeho očakávaný vývoj.
- Požadovanú dĺžku uchovávania a umiestnenie dát.
- Dostupnosť konektorov pre vaše kľúčové zdroje a prípadné vlastné spracovanie formátov.
- Čo sa stane so súčasnými pravidlami a reportmi pri prechode z iného SIEM.
- Kto bude výstrahy vyhodnocovať v pracovnom čase aj mimo neho.
- Roly, prístupové práva k dátam a auditný záznam o ich použití.
