フォローする 要約
Prime Detectは、データがSIEMに到達する前にイベントストリームで検出ルールを実行します。イベントに対してSigmaルールを適用し、一致するものを重大度とMITRE ATT&CK技術でタグ付けし、関連する一致を攻撃チェーンとしてリンクします。クライアントのテストでは、約7％のテレメトリがタグ付けされました。これがSIEMに送信する価値のあるスライスです。
大企業は、Prime Detectを使用して20,000以上の検出をSIEMルールの制限なしで実行し、インジェストにかかる費用を削減し、DORAやNYDFSなどの規制のために検出した内容をマッピングする記録を保持します。既存のSIEMと並行して機能し、それを置き換えるものではありません。
なぜ銀行はSIEMの前に検出を移しているのか
SIEMは、すでにインジェストされインデックスされたデータに対して検出ルールを実行します。大手銀行にとって、このモデルは2つの制限に当たります。
ルール容量。 ほとんどのSIEMの導入では、数百のアクティブルールを実行する前に検索性能とコストに問題が生じます。500ものルールを走らせているチームは、何を見ないかを選んでいます。
インジェストコスト。 SIEMがインジェストするすべてのイベントは、脅威信号を持っているかどうかに関わらず、保存と検索のための料金が発生します。
Prime Detectは、検出を上流に移動します。ルールは、インジェスト前に、Kafkaパイプラインを流れるイベントに対して実行されます。ルール数は、SIEMの容量ではなく、提供するコンピューティング能力に依存します。その後、ルールが発見したものに基づいて、SIEMに到達させるものを決定します。
規制当局が最低基準を設定します。DORA第10条は異常活動を即座に検出するメカニズムを要求し、NYDFS第500条はより大きな適用対象企業がログとセキュリティの警告を中央集約することを要求します。どちらもルール数を設定していませんが、検出プログラムが機能していることを示す必要があります。より多くの検出は、各々がATT&CKにマッピングされ、より広範なカバレッジと明確な記録を提供します。
Prime Detectの機能
ストリームでの検出
- SIEMインジェスト前に、転送中のイベントにSigmaルールを適用
- 20,000以上の検出ルールと独自のカスタム検出を実行し、固定されたルールの上限なし
- 各一致に重大度とMITRE ATT&CK技術でタグ付け
- 関連する一致を攻撃チェーンにリンクし、アナリストが個別の警告ではなく活動のシーケンスを確認できるようにする
ルーティング可能なタグ付きテレメトリ
- クライアントテストに基づいて、約7％のテレメトリをタグ付け
- タグ付きイベントをSIEMに送信し、残りをウォームまたはコールドストレージに送信、ルールに従って
- 構造化され、ATT&CKラベルが付いたイベントを生成し、AIトリアージおよびSOARツールが直接使用可能
展開と管理
- チームがすでに運用しているKafkaとKubernetesで実行
- データをパイプライン内に保持し、外部接続は不要
- エアギャップまたはクラウドで展開可能
- オープンソースとしてDetectFlow、またはエンタープライズライセンスで利用可能
既存のSIEMとの適合
Prime Detectは、イベントパイプラインとSIEMの間に配置されます。SIEM内で何も変更する必要はありません。多くのチームは以下の3段階で導入します。
- 一致したイベントにDetectタグを追加して、すべてを現在のようにSIEMに転送します。
- Detectタグ付きイベントを高優先警告として引き上げるSIEMインデックスまたはダッシュボードを追加します。
- 調整が完了したら、タグの付いていないイベントをウォームまたはコールドストレージにルーティングしてインジェストを削減します。
自分の環境でうまくいくのがわかるようになったら、いつでもルーティングを変更できます。
Prime Detectがしないこと
- 中央集約されたログ、検索、調査、または保持のためのSIEMを置き換えるものではありません。
- NYDFSの中央集約されたログ要件を単独で満たすものではありません。
- インシデントが重大または報告すべきかどうかを決定しません。その判断はチームが行います。
DORA、NYDFS、およびSEC：Prime Detectの位置
これらのルールは、銀行がカバーする部分の検出、インシデント、テスト、および開示義務を設定しています。Prime Detectは、各部分の検出側をサポートしますが、単独ではいずれの義務も果たしません。
| ルール | 必要なもの | Prime Detectの適合場所 |
|---|---|---|
| DORA 第9条 | ICTシステムのセキュリティと機能を継続的に監視 | ストリーム内の各イベントで検出を実行し、サンプリングされたサブセットではありません。 |
| DORA 第10条 | 異常な活動を迅速に検出するメカニズム | SIEMのインジェストとインデックスの前に転送中に検出 |
| DORA 第17条 | インシデントを検出、管理、分類、および通知するためのプロセス | 各一致に重大度とATT&CK技術が付与され、分類のための構造化された基盤を提供 |
| DORA 第26条 | 指定された場合、少なくとも3年ごとの脅威主導の侵入テスト（TLPT） | ATT&CKのマッピングにより、テストされた技術に対してどの検出があったかを示す |
| NYDFS 500.14(b) | クラスA企業：EDRプラス中央集約されたログとセキュリティ警告 | 中央集約されたログの前に検出のカバレッジを追加。置き換えません。 |
| NYDFS 500.17(a) | インシデントが発生したことを判断してから72時間以内に監督官に通知 | 活動の連鎖を早く浮かび上がらせ、調査を早く開始できるようにする |
| SEC フォーム8-K アイテム1.05 | レジストラント：不合理に遅れることなく重要性を判断し、その判断から4営業日以内にファイル提出 | 攻撃チェーンによりチームはスコープに関する証拠を迅速に取得できます。重要性の判断は委任されません。 |
The 検出 記録の監査官は尋ねます
監査官が銀行がどのように脅威を検出しているかを尋ねるときの答えは通常、SIEMルールのリストです。Prime Detectを使用すると、各検出がATT&CKにマッピングされ、イベントレベルでタグ付けされます。何を監視し、何が起動し、関連する活動がどのようにチェーンされたかを示すことができます。
これは、DORAのインシデントプロセスとNYDFSの72時間通知が依存している記録です。インシデントが発生したときには、その構築作業はすでに完了しているはずです。
実行を確認。 Primeを見てください ライブイベントストリームでの検出をパイロットする前に デフォルトのユーザー名とパスワードを使用してください。デモをリクエストして、ライブデモを探索するか、DetectFlowをダウンロードして自分で実行してください。
FAQ
SIEM以前の検出とは何ですか？
SIEM以前の検出は、イベントがデータパイプラインを通過し、SIEMがそれらをインジェストする前に検出ルールを実行します。SIEMベースのモデルは、SIEMがすでにインジェストしたデータのみにルールを実行します。検出ロジックを実行する場所が違いです。Prime Detectは、SOC PrimeのSIEM以前の検出レイヤーです
銀行がSIEM容量を増やさずにより多くの検出ルールを実行する方法は？
SIEMの外でルールを実行します。Prime Detectは、銀行の独自のKafkaとKubernetesインフラストラクチャでルールを実行し、ルール数はSIEMの制限ではなくそのコンピューティングに依存します。銀行は通常のSIEMが持つ数百の代わりに20,000以上のルールを実行することができます。
Prime DetectはSIEMにどの程度データを送信しますか？
それはあなたの選択です。クライアントテストでは、Prime Detectは約7％のテレメトリをタグ付けしました。チームは、タグ付けされたイベントのみをSIEMに送り、残りを低コストのストレージにルーティングできます。
SIEM以前の検出でNYDFS 500.14(b)を満たすか？
いいえ、単独ではありません。第500.14(b)は、クラスA企業がロギングとセキュリティイベントの警告を中央集約することを求めています。Prime Detectはそのシステムの前に検出を追加しますが、置き換えるものではありません。
Prime Detectは、Criblのようなパイプラインツールとどう違うのか？
パイプラインツールはデータをルーティング、縮小、変換します。Prime Detectはデータ上で検出ロジックを実行し、見つけたものにタグを付けます。2つは一緒に実行できます。パイプラインがストリームを形成し、Prime Detectがその中の脅威を特定します。
Prime Detectはエアギャップ環境で動作しますか？
はい。Prime Detectは独自のパイプライン内で実行され、外部接続を必要としません。クラウド展開もサポートしています。
Prime Detectはオープンソースですか？
はい。オープンソースバージョンはDetectFlowです。SOC Primeはエンタープライズライセンスも提供しています。
