Seguir resumen
Prime Detect ejecuta reglas de detección en tu flujo de eventos antes de que los datos lleguen al SIEM. Aplica reglas Sigma a los eventos en tránsito, etiqueta cada coincidencia con una severidad y una técnica de MITRE ATT&CK, y vincula coincidencias relacionadas en cadenas de ataque. En pruebas con clientes, alrededor del 7% de la telemetría fue etiquetada. Ese es el tipo de datos que vale la pena enviar a tu SIEM.
Las grandes organizaciones utilizan Prime Detect para ejecutar más de 20,000 detecciones sin los límites de reglas del SIEM, reducir lo que pagan por ingerir datos, y mantener un registro mapeado de lo que detectan para regulaciones como DORA y NYDFS. Funciona junto con tu SIEM existente. No lo reemplaza.
Por qué los bancos están trasladando la detección antes del SIEM
Un SIEM ejecuta reglas de detección contra datos que ya ha ingerido e indexado. Para un gran banco, ese modelo alcanza dos límites.
Capacidad de reglas. La mayoría de los despliegues de SIEM ejecutan unos pocos cientos de reglas activas antes de que el rendimiento de búsqueda y el costo se vuelvan un problema. Un equipo que ejecuta 500 de ellas está eligiendo qué no ver.
Costo de ingestión. Cada evento que el SIEM ingiere es un evento por el que pagas para almacenar y buscar, ya sea que contenga una señal de amenaza o no.
Prime Detect mueve la detección aguas arriba. Las reglas se ejecutan contra eventos a medida que fluyen a través de tu canal de Kafka, antes de la ingestión. El número de reglas está vinculado al cómputo que le das, no a la capacidad del SIEM. Luego decides qué llega al SIEM basado en lo que encontraron las reglas.
Los reguladores establecen el piso. El Artículo 10 de DORA requiere mecanismos para detectar rápidamente actividad anómala. La Parte 500 del NYDFS requiere que las entidades cubiertas más grandes centralicen el registro y la alerta de seguridad. Ninguno establece un número de reglas, pero ambos esperan que muestres que tu programa de detección funciona. Más detecciones, cada una mapeada a ATT&CK, te ofrecen una cobertura más amplia y un registro más claro de ello.
Qué hace Prime Detect
Detección en el flujo
- Aplica reglas Sigma a eventos en tránsito, antes de la ingestión de SIEM
- Ejecuta más de 20,000 reglas de detección además de tus propias detecciones personalizadas, sin un límite fijo de reglas
- Etiqueta cada coincidencia con una severidad y una técnica de MITRE ATT&CK
- Vincula coincidencias relacionadas en cadenas de ataque, para que los analistas vean una secuencia de actividad en lugar de alertas aisladas
Telemetría etiquetada que puedes enrutar
- Etiqueta alrededor del 7% de la telemetría, basado en pruebas con clientes
- Envía eventos etiquetados al SIEM y el resto a almacenamiento cálido o frío, según tus reglas
- Produce eventos estructurados y etiquetados con ATT&CK que las herramientas de triaje de IA y SOAR pueden usar directamente
Despliegue y control
- Funciona en el Kafka y Kubernetes que tu equipo ya opera
- Mantiene los datos dentro de tu pipeline, sin necesitar conexión saliente
- Se despliega en un entorno aislado o en la nube
- Disponible como código abierto como DetectFlow, o bajo una licencia empresarial
Cómo encaja con tu SIEM existente
Prime Detect se sitúa entre tu pipeline de eventos y tu SIEM. Nada en el SIEM tiene que cambiar. La mayoría de los equipos lo implementan en tres pasos:
- Reenviar todo al SIEM como hasta ahora, con etiquetas de Detect añadidas a los eventos coincidentes.
- Añadir un índice o panel SIEM que eleve los eventos etiquetados por Detect como alertas de alta prioridad.
- Una vez ajustado, enrutar eventos no etiquetados a almacenamiento cálido o frío para reducir la ingestión.
Puedes cambiar el enrutamiento en cualquier momento a medida que aprendes qué funciona en tu entorno.
Qué no hace Prime Detect
- No reemplaza tu SIEM para registro centralizado, búsqueda, investigación o retención.
- No satisface por sí solo el requisito de registro centralizado del NYDFS.
- No decide si un incidente es material o reportable. Ese juicio lo hace tu equipo.
DORA, NYDFS y SEC: dónde encaja Prime Detect
Estas reglas establecen deberes de detección, incidentes, pruebas y divulgación para los bancos que cubren. Prime Detect apoya el lado de detección de cada uno. No los descarga a ninguno solo.
| Regla | Lo que requiere | Dónde encaja Prime Detect |
|---|---|---|
| DORA Art. 9 | Monitorizar continuamente la seguridad y el funcionamiento de los sistemas TIC | Ejecuta detecciones en cada evento en el flujo, no en un subconjunto muestreado |
| DORA Art. 10 | Mecanismos para detectar rápidamente actividad anómala | Detecta en tránsito, antes de la ingestión e indexación del SIEM |
| DORA Art. 17 | Un proceso de incidente para detectar, gestionar, clasificar y notificar | Cada coincidencia lleva severidad y técnica de ATT&CK, proporcionando una base estructurada para la clasificación |
| DORA Art. 26 | Pruebas de penetración lideradas por amenazas (TLPT) al menos cada 3 años, si está designado | El mapeo ATT&CK muestra para qué técnicas probadas tenías detecciones |
| NYDFS 500.14(b) | Empresas de Clase A: EDR más registro centralizado y alerta de seguridad | Añade cobertura de detección frente a tu registro centralizado. No lo reemplaza |
| NYDFS 500.17(a) | Notificar al superintendente dentro de las 72 horas de determinar que ocurrió un incidente | Superficia la actividad encadenada antes, para que la investigación pueda comenzar antes |
| Formulario SEC 8-K Artículo 1.05 | Registrantes: determinar la materialidad sin demoras irrazonables, presentar dentro de los 4 días hábiles siguientes a esa determinación | Las cadenas de ataque brindan evidencia de alcance al equipo más rápido. La decisión de materialidad queda contigo |
The detección los examinadores de registros preguntan sobre
Cuando un examinador pregunta cómo un banco detecta amenazas, la respuesta suele ser una lista de reglas de SIEM. Con Prime Detect, cada detección está mapeada a ATT&CK y etiquetada a nivel de evento. Puedes mostrar lo que estabas observando, qué se activó y cómo se encadenó la actividad relacionada.
Ese es el registro del proceso de incidentes de DORA y del aviso de 72 horas de NYDFS. Cuando ocurre un incidente, el trabajo de construirlo ya debería haber sido hecho.
Véalo en funcionamiento. Mira Prime Detect en funcionamiento contra un flujo de eventos en vivo antes de comprometerte a un piloto. Utiliza el nombre de usuario y las contraseñas predeterminadas listadas. Solicita una demostración, explora la demostración en vivo o descarga DetectFlow para ejecutarlo tú mismo.
FAQ
¿Qué es la detección pre-SIEM?
La detección pre-SIEM ejecuta reglas de detección en eventos mientras se mueven a través del canal de datos, antes de que el SIEM los ingiera. Un modelo basado en SIEM ejecuta reglas solo en datos que el SIEM ya ha ingerido. La diferencia es dónde se ejecuta la lógica de detección. Prime Detect es la capa de detección pre-SIEM de SOC Prime
¿Cómo puede un banco ejecutar más reglas de detección sin aumentar la capacidad del SIEM?
Ejecuta las reglas fuera del SIEM. Prime Detect ejecuta reglas en la propia infraestructura de Kafka y Kubernetes del banco, por lo que el número de reglas depende de ese cómputo en lugar de los límites del SIEM. Los bancos pueden ejecutar más de 20,000 reglas en lugar de las pocas centenas que típicamente sostiene un SIEM.
¿Cuánta información envía Prime Detect al SIEM?
Esa es tu elección. En las pruebas con clientes, Prime Detect etiquetó alrededor del 7% de la telemetría. Los equipos pueden enviar solo eventos etiquetados al SIEM y enrutar el resto a almacenamiento de menor coste.
¿La detección pre-SIEM satisface el NYDFS 500.14(b)?
No, no por sí sola. La sección 500.14(b) exige que las empresas de Clase A centralicen el registro y la alerta de eventos de seguridad. Prime Detect añade detección delante de ese sistema. No lo reemplaza.
¿En qué se diferencia Prime Detect de una herramienta de canalización como Cribl?
Las herramientas de canalización enrutan, reducen y transforman datos. Prime Detect ejecuta lógica de detección sobre los datos y etiqueta lo que encuentra. Ambos pueden funcionar juntos: la canalización moldea el flujo y Prime Detect identifica las amenazas en él.
¿Puede Prime Detect funcionar en un entorno aislado?
Sí. Prime Detect se ejecuta dentro de tu propia canalización y no necesita conexión saliente. También admite despliegue en la nube.
¿Es Prime Detect de código abierto?
Sí. La versión de código abierto es DetectFlow. SOC Prime también ofrece una licencia empresarial.
