Стежити коротко
Prime Detect запускає правила виявлення на вашому потоці подій до того, як дані досягнуть SIEM. Вона застосовує правила Sigma до подій в русі, позначає кожен збіг серйозністю і технікою MITRE ATT&CK, та пов’язує пов’язані збіги в ланцюги атак. Під час клієнтського тестування близько 7% телеметрії було позначено. Це та частка, що варта відправлення у ваш SIEM.
Великі організації використовують Prime Detect, щоб виконувати понад 20 000 виявлень без обмежень правил SIEM, скорочувати витрати на завантаження та зберігати картовану документацію виявленого для законодавчих актів, таких як DORA та NYDFS. Вона працює поряд з вашим існуючим SIEM. Це не замінює його.
Зв’яжіться з відділом продажів
Чому банки переміщують виявлення перед SIEM
SIEM запускає правила виявлення на даних, які він вже завантажив та індексував. Для великого банку така модель має два обмеження.
Місткість правил. Більшість розгортань SIEM виконують кілька сотень активних правил до того, як продуктивність пошуку та вартість стають проблемою. Команда, що запускає 500 з них, обирає, чого не бачити.
Вартість завантаження. Кожна подія, яку завантажує SIEM, – це подія, за яку ви платите за зберігання та пошук, незалежно від того, чи несе вона ознаки загрози.
Prime Detect переміщує виявлення вгору по потоку. Правила виконуються на подіях, коли вони протікають через ваш конвеєр Kafka, до завантаження. Кількість правил прив’язана до обчислень, які ви їм надаєте, а не до місткості SIEM. Потім ви вирішуєте, що потрапляє у SIEM, виходячи з того, що виявили правила.
Регулятори встановлюють мінімум. Стаття 10 DORA вимагає механізмів для швидкого виявлення аномальної активності. Частина 500 NYDFS вимагає від великих покритих суб’єктів централізувати ведення журналів та безпекових сповіщень. Жоден з них не встановлює кількість правил, але обидва очікують, що ви покажете, що ваша програма виявлення працює. Більше виявлень, кожне з яких картоване на ATT&CK, надає ширше охоплення та більш чіткий запис про це.
Що робить Prime Detect
Виявлення в потоці
- Застосовує правила Sigma до подій в русі, до завантаження SIEM
- Виконує понад 20 000 правил виявлення плюс ваші власні кастомні виявлення без фіксованої стелі правил
- Позначає кожен збіг серйозністю та технікою MITRE ATT&CK
- Пов’язує пов’язані збіги в ланцюги атак, щоб аналітики бачили послідовність діяльності, а не окремі сповіщення
Позначена телеметрія, яку ви можете направити
- Позначає близько 7% телеметрії, ґрунтуючись на клієнтському тестуванні
- Надсилає позначені події у SIEM, а решту у тепле або холодне зберігання, за вашими правилами
- Створює структуровані, марковані ATT&CK події, які можуть безпосередньо використовувати інструменти штучного інтелекту та SOAR
Розгортання та контроль
- Працює на Kafka та Kubernetes, які вже експлуатує ваша команда
- Утримує дані всередині вашого конвеєра, не потрібно вихідного з’єднання
- Розгортається в ізольованій мережі або в хмарі
- Доступно з відкритим вихідним кодом як DetectFlow або за корпоративною ліцензією
Як це поєднується з вашим існуючим SIEM
Prime Detect розташовується між вашим потоком подій і SIEM. Нічого у SIEM не потрібно змінювати. Більшість команд впроваджують його в три кроки:
- Направте все у SIEM, як сьогодні, з доданими тегами Detect до відповідних подій.
- Додайте індекс або панель SIEM, які піднімають події з тегом Detect як сповіщення високої пріоритетності.
- Після налаштування, направляйте нетеговані події до теплого або холодного зберігання, щоб зменшити завантаження.
Ви можете змінити маршрутизацію у будь-який момент, коли ви дізнаєтеся, що працює у вашому середовищі.
Що Prime Detect не робить
- Це не замінює ваш SIEM для централізованого ведення журналів, пошуку, розслідування або збереження.
- Це не відповідає вимогам централізованого ведення журналів NYDFS самостійно.
- Це не вирішує, чи є інцидент суттєвим або звітним. Це визначає ваша команда.
DORA, NYDFS та SEC: де Prime Detect підходить
Ці правила встановлюють обов’язки виявлення, інцидентів, тестування та розкриття інформації для банків, які вони охоплюють. Prime Detect підтримує сторону виявлення кожного з них. Це не звільняє жодного з них самостійно.
| Правило | Що воно вимагає | Де Prime Detect підходить |
|---|---|---|
| DORA Ст. 9 | Безперервно моніторити безпеку та функціонування ІКТ систем | Виконує виявлення на кожній події в потоку, а не на вибірковій підмножині |
| DORA Ст. 10 | Механізми для швидкого виявлення аномальної активності | Виявляє під час руху, перед завантаженням та індексацією в SIEM |
| DORA Ст. 17 | Процес інциденту для виявлення, управління, класифікації та сповіщення | Кожен збіг несе серйозність та техніку ATT&CK, надаючи структуровану основу для класифікації |
| DORA Ст. 26 | Тестування проникнення на основі загроз (TLPT) щонайменше кожні 3 роки, якщо призначено | Картування ATT&CK показує, які перевірені техніки ви мали виявлення |
| NYDFS 500.14(b) | Компанії класу А: EDR плюс централізоване ведення журналів та безпекових сповіщень | Додає покриття виявлення перед вашим централізованим веденням журналів. Не замінює його |
| NYDFS 500.17(a) | Повідомити суперінтенданта протягом 72 годин після визначення, що інцидент стався | Допомагає виявити пов’язану діяльність раніше, щоб розслідування могло розпочатися швидше |
| SEC Форма 8-K Пункт 1.05 | Реєстранти: визначити суттєвість без невиправданої затримки, подати протягом 4 робочих днів з моменту цього визначення | Ланцюги атак швидше надають команді докази масштабування. Виклик суттєвості залишається за вами |
The виявлення про що запитують перевіряючі
Коли перевіряючий запитує, як банк виявляє загрози, відповідь зазвичай є списком правил SIEM. З Prime Detect кожне виявлення картографується на ATT&CK і позначається на рівні події. Ви можете показати, що ви шукали, що було виявлено і як пов’язана діяльність була зв’язана разом.
Це запис, на який спирається процес інциденту DORA та повідомлення у 72 години NYDFS. Коли відбувається інцидент, робота з його створення вже повинна бути виконана.
Перегляньте, як це працює. Дивіться Prime Detect працюйте з потоками подій наживо, перш ніж ви вирішите запустити пілот. Використовуйте список за умовчанням для користувача і паролі. Запросіть демонстрацію, досліджуйте живу демонстрацію або завантажте DetectFlow, щоб запустити її самостійно.
FAQ
Що таке виявлення перед SIEM?
Виявлення перед SIEM запускає правила виявлення на подіях, поки вони рухаються через даний конвеєр, раніше, ніж SIEM їх завантажить. Модель, заснована на SIEM, запускає правила лише на даних, які SIEM вже завантажив. Різниця полягає в тому, де виконується логіка виявлення. Prime Detect – це шар виявлення перед SIEM від SOC Prime
Як банк може запускати більше правил виявлення без збільшення місткості SIEM?
Запускайте правила поза SIEM. Prime Detect виконує правила на власній інфраструктурі Kafka та Kubernetes банку, тому кількість правил залежить від цих обчислень, а не від обмежень SIEM. Банки можуть запускати понад 20 000 правил замість кількох сотень, які місткістю розпоряджається типовий SIEM.
Скільки даних Prime Detect надсилає у SIEM?
Це ваш вибір. Під час клієнтського тестування Prime Detect позначила близько 7% телеметрії. Команди можуть надсилати лише позначені події у SIEM та направляти решту на дешевше зберігання.
Чи відповідає виявлення перед SIEM вимогам NYDFS 500.14(b)?
Ні, не самостійно. Розділ 500.14(b) вимагає від компаній класу А централізувати ведення журналів та сповіщення про безпекові події. Prime Detect додає виявлення перед цією системою. Воно не замінює її.
Чим Prime Detect відрізняється від інструменту конвеєра, такого як Cribl?
Інструменти конвеєра направляють, зменшують та трансформують дані. Prime Detect виконує логіку виявлення на даних та позначає те, що знайдено. Обидва можуть працювати разом: конвеєр формує потік, а Prime Detect ідентифікує загрози в ньому.
Чи може Prime Detect працювати в ізольованому середовищі?
Так. Prime Detect працює всередині вашого власного конвеєра та не потребує вихідного з’єднання. Вона також підтримує хмарне розгортання.
Чи Prime Detect має відкритий код?
Так. Версія з відкритим кодом – це DetectFlow. SOC Prime також пропонує корпоративну ліцензію.
