Pre-SIEM Detection for Financial Services

요약

프라임 디텍트(Prime Detect)는 데이터를 SIEM에 전달하기 전에 이벤트 스트림에서 탐지 규칙을 실행합니다. 이 도구는 Sigma 규칙을 트랜짓 이벤트에 적용하며 각 일치를 심각도와 MITRE ATT&CK 기술과 태그하고 관련 일치를 공격 체인으로 연결합니다. 클라이언트 테스트에서 약 7%의 텔레메트리 데이터가 태그되었습니다. 이는 SIEM에 보낼 가치가 있는 부분입니다.

대규모 조직은 프라임 디텍트를 통해 SIEM 규칙 제한 없이 20,000개 이상의 탐지를 실행하고, 인제스트 비용을 절감하며, DORA 및 NYDFS와 같은 규정을 위한 탐지 기록을 유지합니다. 이는 기존 SIEM과 함께 작동하며, 이를 대체하지 않습니다.

영업팀에 연락하기

은행들이 왜 SIEM 앞에 탐지를 이동시키고 있는가

SIEM은 이미 인제스트되고 인덱스된 데이터에 대해 탐지 규칙을 실행합니다. 대규모 은행의 경우 이 모델은 두 가지 한계에 직면합니다.

규칙 용량. 대부분의 SIEM 설치는 수백 개의 활성 규칙을 실행하며, 검색 성능과 비용 문제가 발생하기 전까지입니다. 500개의 규칙을 실행하는 팀은 무엇을 보지 않을지 선택하고 있습니다.

인제스트 비용. SIEM이 인제스트하는 모든 이벤트는 위협 신호가 있든 없든 저장 및 검색에 대한 비용을 지불해야 합니다.

프라임 디텍트는 탐지를 상류로 이동시킵니다. 규칙은 인제스트 전에 Kafka 파이프라인을 통해 스트리밍되는 이벤트에 대해 실행됩니다. 규칙 수는 SIEM 용량이 아닌, 제공하는 컴퓨트에 의해 결정됩니다. 규칙에서 발견된 것을 토대로 SIEM에 무엇이 도달할지를 결정합니다.

규제 기관은 기본을 설정합니다. DORA 제10조는 비정상 활동을 신속하게 탐지할 메커니즘을 요구하며, NYDFS 법 500은 대규모 피대상 범위 기관에게 로깅 및 보안 경고를 중앙 집중화할 것을 요구합니다. 규칙 수를 정하지 않지만, 둘 다 탐지 프로그램이 작동하고 있음을 보여줄 것을 기대합니다. ATT&CK에 매핑된 더 많은 탐지는 더 넓은 커버리지와 이를 명확하게 기록할 수 있게 합니다.

프라임 디텍트의 기능

스트림에서의 탐지

• SIEM 인제스트 전에 트랜짓 이벤트에 Sigma 규칙을 적용
• 고정 규칙 제한 없이 20,000개 이상의 탐지 규칙과 사용자 지정 탐지를 실행
• 모든 일치를 심각도 및 MITRE ATT&CK 기술로 태그
• 관련된 일치를 공격 체인으로 연결하여 분석가들이 고립된 경고 대신 활동의 순서를 볼 수 있게 함

라우팅 가능한 태그된 텔레메트리

• 클라이언트 테스트 기준으로 약 7%의 텔레메트리를 태그함
• 규칙에 따라 태그된 이벤트는 SIEM으로, 나머지는 온종일 저장소로 보냄
• 구조화된, ATT&CK-레이블링된 이벤트를 생성하여 AI 리아트리 및 SOAR 도구가 직접 사용할 수 있음

배포 및 제어

• 팀이 기존에 운영 중인 Kafka와 Kubernetes에서 실행
• 파이프라인 내 데이터를 유지하며, 외부 연결이 필요 없음
• 에어갭 환경에서 또는 클라우드에서 배포 가능
• DetectFlow라는 오픈 소스로 가능하거나, 엔터프라이즈 라이선스로 제공

기존 SIEM과의 적합성

프라임 디텍트는 이벤트 파이프라인과 SIEM 사이에 위치합니다. SIEM에서는 변할 필요가 없습니다. 대부분의 팀은 세 단계로 배포합니다:

1. 모든 것을 감지 태그가 추가된 일치 이벤트와 함께 SIEM으로 전달함.
2. SIEM 인덱스 또는 대시보드를 추가하여 감지 태그가 붙은 이벤트를 높은 우선 경고로 처리.
3. 조정 후, 태깅되지 않은 이벤트는 온종일 저장소로 라우팅하여 인제스트 감소.

환경에서 효과를 배우는 동안 언제든지 라우팅을 변경할 수 있습니다.

프라임 디텍트가 하지 않는 것

• 중앙 집중식 로깅, 검색, 조사 또는 보유를 위해 SIEM을 대체하지 않는다.
• NYDFS 중앙 집중식 로깅 요구사항을 단독으로 만족하지 않는다.
• 사건이 중대한지 보고 가능한지를 결정하지 않는다. 그 결정은 당신의 팀이 합니다.

DORA, NYDFS, 및 SEC: 프라임 디텍트의 역할

이 규칙들은 자신들의 적용 범주 내 은행에 대한 탐지, 사고, 테스트, 및 공시 의무를 설정합니다. 프라임 디텍트는 각자의 탐지 측면을 지원합니다. 그러나 단독으로 그 중 어느 것도 수행하지 않는다.

The 탐지 기록 심사원이 묻는 것

심사원이 은행이 어떻게 위협을 탐지하는지 묻는다면, 답변은 대개 SIEM 규칙 목록입니다. 프라임 디텍트와 함께라면, 모든 탐지가 ATT&CK에 매핑되어 이벤트 레벨에 태그됩니다. 어떤 것을 감시하고 있었고, 어떤 것이 발동되었으며, 관련 활동이 어떻게 연결되었는지를 보여줄 수 있습니다.

이는 DORA의 사고 프로세스와 NYDFS의 72시간 공지에 의존하는 기록입니다. 사고가 발생하면, 이것을 구축하는 작업은 이미 완료되어 있어야 합니다.

이것을 실행하는 것을 보십시오. 프라임(Prime)을 보십시오 실행하다 라이브 이벤트 스트림에 대해 프라임 디텍트가 작업하는 것을 파일럿 전에 보십시오. 기본 사용자 이름과 비밀번호를 사용하십시오. 데모 요청, 라이브 데모 탐색, 또는 스스로 실행할 수 있도록 DetectFlow 다운로드.