Folgen tl;dr
Prime Detect führt Erkennungsregeln auf Ihrem Ereignisstrom aus, bevor Daten das SIEM erreichen. Es wendet Sigma-Regeln auf durchlaufende Ereignisse an, kennzeichnet jedes Übereinstimmende mit einer Schwere und einer MITRE ATT&CK-Technik und verknüpft zusammenhängende Übereinstimmungen zu Angriffsketten. In Kundentests wurden etwa 7% der Telemetrie gekennzeichnet. Das ist der Anteil, der sich lohnt, an Ihr SIEM zu schicken.
Große Organisationen verwenden Prime Detect, um über 20.000 Erkennungen ohne SIEM-Regelgrenzen durchzuführen, zu reduzieren, was sie für die Erfassung bezahlen, und ein kartiertes Protokoll dessen zu führen, was sie für Vorschriften wie DORA und NYDFS erkennen. Es funktioniert neben Ihrem bestehenden SIEM. Es ersetzt es nicht.
Warum Banken die Erkennung vor das SIEM verlagern
Ein SIEM führt Erkennungsregeln gegen Daten aus, die es bereits aufgenommen und indiziert hat. Für eine große Bank stößt dieses Modell an zwei Grenzen.
Regelkapazität. Die meisten SIEM-Einsätze führen einige hundert aktive Regeln aus, bevor Suchleistung und Kosten ein Problem werden. Ein Team, das 500 davon betreibt, wählt aus, was es nicht sehen möchte.
Erfassungskosten. Jedes Ereignis, das das SIEM aufnimmt, ist ein Ereignis, für das Sie zahlen, um es zu speichern und zu durchsuchen, unabhängig davon, ob es ein Bedrohungssignal trägt oder nicht.
Prime Detect verlagert die Erkennung in den upstream. Regeln werden gegen Ereignisse ausgeführt, während sie durch Ihre Kafka-Pipeline gestreamt werden, vor der Erfassung. Die Anzahl der Regeln ist an die von Ihnen bereitgestellte Rechenpower gebunden, nicht an die Kapazität des SIEM. Dann entscheiden Sie, was das SIEM erreicht, basierend auf dem, was die Regeln gefunden haben.
Die Regulierer legen das Mindestmaß fest. Artikel 10 der DORA verlangt Mechanismen zur sofortigen Erkennung von anormalen Aktivitäten. Teil 500 der NYDFS verlangt von größeren erfassten Einheiten, die Protokollierung und Sicherheitsalarme zu zentralisieren. Keiner setzt eine Regelanzahl fest, aber beide erwarten, dass Sie zeigen, dass Ihr Erkennungsprogramm funktioniert. Mehr Erkennungen, jede auf ATT&CK abgebildet, bieten Ihnen eine breitere Abdeckung und ein klareres Protokoll davon.
Was Prime Detect macht
Erkennung im Stream
- Wendet Sigma-Regeln auf durchlaufende Ereignisse an, vor der SIEM-Erfassung
- Führt über 20.000 Erkennungsregeln plus Ihre eigenen benutzerdefinierten Erkennungen aus, ohne feste Regelgrenze
- Kennzeichnet jede Übereinstimmung mit einer Schwere und einer MITRE ATT&CK-Technik
- Verknüpft verwandte Übereinstimmungen zu Angriffsketten, sodass Analysten eine Abfolge von Aktivitäten statt isolierte Warnungen sehen
Gekennzeichnete Telemetrie, die Sie leiten können
- Kennzeichnet basierend auf Kundentests etwa 7% der Telemetrie
- Sendet gekennzeichnete Ereignisse an das SIEM und den Rest an warme oder kalte Speicher, nach Ihren Regeln
- Erzeugt strukturierte, mit ATT&CK gekennzeichnete Ereignisse, die KI-Triage- und SOAR-Tools direkt verwenden können
Bereitstellung und Kontrolle
- Läuft auf dem Kafka und Kubernetes, das Ihr Team bereits betreibt
- Hält Daten in Ihrer Pipeline, ohne ausgehende Verbindung erforderlich
- Kann luftabgeschlossen oder in der Cloud bereitgestellt werden
- Verfügbar als Open Source unter DetectFlow oder unter einer Enterprise-Lizenz
Wie es mit Ihrem bestehenden SIEM zusammenpasst
Prime Detect sitzt zwischen Ihrer Ereignispipeline und Ihrem SIEM. Nichts im SIEM muss sich ändern. Die meisten Teams führen es in drei Schritten ein:
- Alles wie bisher an das SIEM weiterleiten, mit Detect-Tags, die zu übereinstimmenden Ereignissen hinzugefügt werden.
- Fügen Sie einen SIEM-Index oder ein Dashboard hinzu, das Detect-markierte Ereignisse als hochpriorisierte Warnungen auslösen.
- Wenn richtig eingestellt, leiten Sie unmarkierte Ereignisse zu warmen oder kalten Speichern, um die Erfassung zu verringern.
Sie können die Leitung jederzeit ändern, wenn Sie herausfinden, was in Ihrer Umgebung funktioniert.
Was Prime Detect nicht macht
- Es ersetzt nicht Ihr SIEM für zentralisierte Protokollierung, Suche, Untersuchung oder Aufbewahrung.
- Es erfüllt nicht allein die NYDFS-Anforderung zur zentralisierten Protokollierung.
- Es entscheidet nicht, ob ein Vorfall materiell oder berichtspflichtig ist. Diese Entscheidung trifft Ihr Team.
DORA, NYDFS und SEC: Wo Prime Detect passt
Diese Regeln legen Erkennungs-, Vorfall-, Test- und Offenlegungspflichten für die von ihnen abgedeckten Banken fest. Prime Detect unterstützt den Erkennungsteil jedes einzelnen. Es entlastet keines davon allein.
| Regel | Was es erfordert | Wo Prime Detect passt |
|---|---|---|
| DORA Art. 9 | Kontinuierliche Überwachung der Sicherheit und des Funktionierens von IKT-Systemen | Führt Erkennungen bei jedem Ereignis im Stream durch, nicht nur bei einer Stichprobe |
| DORA Art. 10 | Mechanismen zur sofortigen Erkennung von anomalen Aktivitäten | Erkennt in Echtzeit, vor der SIEM-Erfassung und -Indizierung |
| DORA Art. 17 | Ein Vorfallprozess zur Erkennung, Verwaltung, Klassifizierung und Benachrichtigung | Jede Übereinstimmung trägt Schwere und ATT&CK-Technik, was die Basis für die Klassifizierung strukturiert |
| DORA Art. 26 | Threat-led penetration testing (TLPT) mindestens alle 3 Jahre, falls vorgeschrieben | ATT&CK-Mapping zeigt, für welche getesteten Techniken Sie Erkennungen hatten |
| NYDFS 500.14(b) | Klasse-A-Unternehmen: EDR plus zentralisierte Protokollierung und Sicherheitswarnungen | Erweitert die Erkennung vor Ihrer zentralen Protokollierung. Ersetzt diese nicht |
| NYDFS 500.17(a) | Benachrichtigen Sie den Superintendenten innerhalb von 72 Stunden, nachdem festgestellt wurde, dass ein Vorfall eingetreten ist | Ermöglicht schnellere Untersuchung durch frühzeitiges Erkennen verketteter Aktivitäten |
| SEC Form 8-K Item 1.05 | Registranten: Bestimmen Sie die Materialität ohne unangemessene Verzögerung, und reichen Sie innerhalb von 4 Geschäftstagen nach dieser Bestimmung ein | Angriffsketten liefern Ihrem Team schneller Beweise zur Abgrenzung. Die Entscheidung über die Materialität bleibt bei Ihnen |
The Erkennung Aufzeichnung, nach der Prüfer fragen
Wenn ein Prüfer fragt, wie eine Bank Bedrohungen erkennt, ist die Antwort normalerweise eine Liste von SIEM-Regeln. Mit Prime Detect ist jede Erkennung auf ATT&CK abgebildet und auf Ereignisebene gekennzeichnet. Sie können zeigen, wonach Sie gesucht haben, was ausgelöst wurde und wie verwandte Aktivitäten zusammengeführt wurden.
Das ist das Protokoll, auf das sich der Vorfallprozess von DORA und die 72-Stunden-Benachrichtigung der NYDFS stützen. Wenn ein Vorfall passiert, sollte die Vorarbeit dieses Protokolls bereits erledigt sein.
Sehen Sie, wie es läuft. Sehen Sie Prime Detect an einem Live-Ereignisstrom arbeiten, bevor Sie sich für ein Pilotprojekt entscheiden. Verwenden Sie die standardmäßigen Benutzernamen und Passwörter. Fordern Sie eine Demo an, erkunden Sie die Live-Demo oder laden Sie DetectFlow herunter, um es selbst auszuführen.
FAQ
Was ist Pre-SIEM-Erkennung?
Pre-SIEM-Erkennung führt Erkennungsregeln auf Ereignissen aus, während sie durch die Datenpipeline fließen, bevor das SIEM sie verarbeitet. Ein SIEM-basiertes Modell führt Regeln nur auf Daten aus, die das SIEM bereits aufgenommen hat. Der Unterschied liegt in der Ausführungsstelle der Erkennungslogik. Prime Detect ist die Pre-SIEM-Erkennungsschicht von SOC Prime
Wie kann eine Bank mehr Erkennungsregeln ausführen, ohne die SIEM-Kapazität zu erhöhen?
Führen Sie die Regeln außerhalb des SIEM aus. Prime Detect führt Regeln auf der eigenen Kafka- und Kubernetes-Infrastruktur der Bank aus, sodass die Anzahl der Regeln von dieser Rechenkapazität abhängt und nicht von den SIEM-Grenzen. Banken können über 20.000 Regeln ausführen statt der wenigen hundert, die ein typisches SIEM enthält.
Wie viele Daten sendet Prime Detect an das SIEM?
Das liegt in Ihrer Hand. In Kundentests hat Prime Detect etwa 7% der Telemetrie markiert. Teams können nur markierte Ereignisse an das SIEM senden und den Rest zu kostengünstigeren Speicherorten leiten.
Erfüllt Pre-SIEM-Erkennung NYDFS 500.14(b)?
Nein, nicht allein. Abschnitt 500.14(b) verlangt von Klasse-A-Unternehmen, die Protokollierung und Sicherheitsereignisalarme zu zentralisieren. Prime Detect erweitert die Erkennung vor diesem System, ersetzt es aber nicht.
Wie unterscheidet sich Prime Detect von einem Pipeline-Tool wie Cribl?
Pipeline-Tools leiten, reduzieren und transformieren Daten. Prime Detect führt Erkennungslogik auf den Daten aus und kennzeichnet, was es findet. Beide können zusammen arbeiten: der Pipeline-Teil formt den Stream und Prime Detect identifiziert die Bedrohungen darin.
Kann Prime Detect in einer luftabgeschlossenen Umgebung laufen?
Ja. Prime Detect läuft innerhalb Ihrer eigenen Pipeline und benötigt keine ausgehende Verbindung. Es unterstützt auch Cloud-Bereitstellung.
Ist Prime Detect Open Source?
Ja. Die Open-Source-Version ist DetectFlow. SOC Prime bietet auch eine Enterprise-Lizenz an.
