Seguir resumo
Prime Detect executa regras de detecção no seu fluxo de eventos antes que os dados cheguem ao SIEM. Ele aplica regras Sigma a eventos em trânsito, marca cada correspondência com uma severidade e uma técnica MITRE ATT&CK, e liga correspondências relacionadas em cadeias de ataque. Em testes com clientes, cerca de 7% da telemetria foi marcada. Este é o segmento que vale a pena enviar ao seu SIEM.
Grandes organizações usam o Prime Detect para executar mais de 20.000 detecções sem limites de regras do SIEM, reduzir o que pagam para ingerir, e manter um registro mapeado do que detectam para regulamentos como DORA e NYDFS. Ele funciona junto com o seu SIEM existente. Não o substitui.
Por que os bancos estão movendo a detecção antes do SIEM
Um SIEM executa regras de detecção contra dados que já ingeriu e indexou. Para um grande banco, esse modelo atinge dois limites.
Capacidade de regras. A maioria das implantações de SIEM roda algumas centenas de regras ativas antes que o desempenho de busca e o custo se tornem um problema. Uma equipe operando 500 delas está escolhendo o que não ver.
Custo de ingestão. Cada evento que o SIEM ingere é um evento que você paga para armazenar e pesquisar, independentemente de carregar ou não um sinal de ameaça.
Prime Detect move a detecção para montante. Regras rodam contra eventos enquanto eles fluem pelo seu pipeline Kafka, antes da ingestão. O número de regras está vinculado ao processamento que você dá a ele, e não à capacidade do SIEM. Você então decide o que chega ao SIEM com base no que as regras encontraram.
Os reguladores definem o patamar. O Artigo 10 da DORA exige mecanismos para detectar prontamente atividades anômalas. O Part 500 do NYDFS exige que entidades cobertas maiores centralizem o registro e alerta de segurança. Nenhum define um número de regras, mas ambos esperam que você mostre que seu programa de detecção funciona. Mais detecções, cada uma mapeada para ATT&CK, oferecem maior cobertura e um registro mais claro.
O que o Prime Detect faz
Detecção no fluxo
- Aplica regras Sigma a eventos em trânsito, antes da ingestão pelo SIEM
- Executa mais de 20.000 regras de detecção além de suas próprias detecções personalizadas, sem limite fixo de regras
- Marca cada correspondência com uma severidade e uma técnica MITRE ATT&CK
- Liga correspondências relacionadas em cadeias de ataque, para que analistas vejam uma sequência de atividades em vez de alertas isolados
Telemetria marcada que você pode direcionar
- Marca cerca de 7% da telemetria, com base em testes com clientes
- Envia eventos marcados para o SIEM e o resto para armazenamento aquecido ou frio, de acordo com suas regras
- Produz eventos estruturados e rotulados com ATT&CK que ferramentas de triagem AI e SOAR podem usar diretamente
Implantação e controle
- Roda no Kafka e Kubernetes que sua equipe já opera
- Mantém dados dentro do seu pipeline, sem conexão de saída necessária
- Implanta em ambientes isolados ou na nuvem
- Disponível como código aberto como DetectFlow, ou sob uma licença Enterprise
Como ele se encaixa com seu SIEM existente
Prime Detect se posiciona entre o seu pipeline de eventos e o seu SIEM. Nada no SIEM tem que mudar. A maioria das equipes o implementa em três etapas:
- Encaminhe tudo para o SIEM como hoje, com as etiquetas de Detect adicionadas aos eventos correspondentes.
- Adicione um índice ou painel do SIEM que levante eventos etiquetados como Detect como alertas de alta prioridade.
- Uma vez ajustado, redirecione eventos não marcados para armazenamento aquecido ou frio para reduzir a ingestão.
Você pode alterar o roteamento a qualquer momento à medida que aprende o que funciona no seu ambiente.
O que o Prime Detect não faz
- Ele não substitui o seu SIEM para registro centralizado, busca, investigação ou retenção.
- Ele não satisfaz o requisito de registro centralizado do NYDFS por conta própria.
- Ele não decide se um incidente é material ou reportável. Sua equipe faz essa decisão.
DORA, NYDFS e SEC: onde o Prime Detect se encaixa
Essas regras estabelecem deveres de detecção, incidente, teste e divulgação para os bancos que abrangem. Prime Detect apoia o lado da detecção de cada um. Não dispensa nenhum deles sozinho.
| Regra | O que exige | Onde o Prime Detect encaixa |
|---|---|---|
| DORA Art. 9 | Monitorar continuamente a segurança e o funcionamento dos sistemas de TIC | Executa detecções em todos os eventos no fluxo, não um subconjunto amostrado |
| DORA Art. 10 | Mecanismos para detectar prontamente atividade anômala | Detecta em trânsito, antes da ingestão e indexação pelo SIEM |
| DORA Art. 17 | Um processo de incidente para detectar, gerenciar, classificar e notificar | Cada correspondência carrega severidade e técnica ATT&CK, fornecendo uma base estruturada para classificação |
| DORA Art. 26 | Teste de penetração orientado por ameaça (TLPT) pelo menos a cada 3 anos, se designado | Mapeamento ATT&CK mostra quais técnicas testadas você teve detecções para |
| NYDFS 500.14(b) | Empresas Classe A: EDR mais registro centralizado e alerta de segurança | Adiciona cobertura de detecção na frente do seu registro centralizado. Não o substitui |
| NYDFS 500.17(a) | Notifique o superintendente dentro de 72 horas após determinar que um incidente ocorreu | Revela atividades encadeadas mais cedo, para que a investigação possa começar mais cedo |
| SEC Form 8-K Item 1.05 | Inscritos: determinam materialidade sem atraso indevido, arquivam dentro de 4 dias úteis após essa determinação | Cadeias de ataque fornecem à equipe evidências de escopo mais rapidamente. A decisão de materialidade permanece com você |
The detecção record examiners ask about
Quando um examinador pergunta como um banco detecta ameaças, a resposta geralmente é uma lista de regras do SIEM. Com o Prime Detect, cada detecção é mapeada para ATT&CK e marcada no nível do evento. Você pode mostrar o que estava monitorando, o que foi acionado e como a atividade relacionada se encadeou.
Esse é o registro do processo de incidente da DORA e da notificação de 72 horas do NYDFS dependem. Quando um incidente acontece, o trabalho de construí-lo já deve ter sido feito.
Veja como funciona. Assista o Prime Detect trabalhar contra um fluxo de eventos ao vivo antes de você se comprometer com um piloto. Use o nome de usuário e senhas padrão listados. Solicite uma demonstração, explore a demonstração ao vivo, ou baixe o DetectFlow para executar você mesmo.
FAQ
O que é detecção pré-SIEM?
A detecção pré-SIEM executa regras de detecção em eventos enquanto eles se movem pelo pipeline de dados, antes de o SIEM os ingerir. Um modelo baseado em SIEM executa regras apenas em dados que o SIEM já ingeriu. A diferença é onde a lógica de detecção é executada. O Prime Detect é a camada de detecção pré-SIEM da SOC Prime
Como um banco pode executar mais regras de detecção sem adicionar capacidade ao SIEM?
Execute as regras fora do SIEM. O Prime Detect executa regras na infraestrutura própria de Kafka e Kubernetes do banco, fazendo com que o número de regras dependa dessa capacidade de processamento em vez dos limites do SIEM. Os bancos podem operar mais de 20.000 regras em vez das poucas centenas que um SIEM típico suporta.
Quanto de dados o Prime Detect envia para o SIEM?
Essa é sua escolha. Em testes com clientes, o Prime Detect marcou cerca de 7% da telemetria. As equipes podem enviar apenas eventos marcados para o SIEM e encaminhar o restante para armazenamento de menor custo.
A detecção pré-SIEM atende ao NYDFS 500.14(b)?
Não, não por si só. A seção 500.14(b) exige que empresas Classe A centralizem o registro e alertas de eventos de segurança. Prime Detect adiciona detecção na frente desse sistema. Não o substitui.
Como o Prime Detect é diferente de uma ferramenta de pipeline como o Cribl?
Ferramentas de pipeline roteiam, reduzem e transformam dados. Prime Detect executa lógica de detecção sobre os dados e marca o que encontra. Os dois podem funcionar juntos: o pipeline molda o fluxo e o Prime Detect identifica as ameaças nele.
O Prime Detect pode ser executado em um ambiente isolado?
Sim. O Prime Detect funciona dentro do seu próprio pipeline e não necessita de conexão de saída. Ele também suporta implementação em nuvem.
O Prime Detect é de código aberto?
Sim. A versão de código aberto é o DetectFlow. A SOC Prime também oferece uma licença Enterprise.
