Śledź tl;dr
Prime Detect uruchamia reguły detekcji na strumieniu zdarzeń przed dotarciem danych do SIEM. Stosuje reguły Sigma do zdarzeń w tranzycie, taguje każdy dopasowany przypadek z poziomem ważności i techniką MITRE ATT&CK oraz łączy powiązane przypadki w łańcuchy ataków. W testach klientów, około 7% telemetrii zostało otagowanych. To ta część, którą warto wysłać do SIEM.
Duże organizacje korzystają z Prime Detect, aby uruchomić ponad 20 000 detekcji bez ograniczeń reguł SIEM, obniżyć koszty wchłaniania danych i zachować mapowany zapis tego, co wykrywają, dla przepisów takich jak DORA i NYDFS. Działa on wraz z istniejącym SIEM, ale go nie zastępuje.
Dlaczego banki przesuwają detekcję przed SIEM
SIEM uruchamia reguły detekcji wobec danych, które już zostały zaabsorbowane i zanotowane. Dla dużego banku, ten model osiąga dwa ograniczenia.
Pojemność reguł. Większość wdrożeń SIEM obsługuje kilkaset aktywnych reguł, zanim wydajność wyszukiwania i koszt staną się problemem. Zespół obsługujący 500 z nich musi decydować, czego nie widzieć.
Koszt wchłaniania. Każde zdarzenie, które SIEM pochłania, to zdarzenie, za które trzeba zapłacić, aby je przechowywać i przeszukiwać, bez względu na to, czy zawiera sygnał zagrożenia.
Prime Detect przesuwa detekcję w górę strumienia. Reguły działają na zdarzeniach podczas ich przepływu przez potok Kafka, przed wchłonięciem. Liczba reguł zależy od mocy obliczeniowej, którą im przydzielisz, a nie od pojemności SIEM. Wtedy decydujesz, co dociera do SIEM na podstawie tego, co znalazły reguły.
Regulatorzy ustalają minimum. Artykuł 10 DORA wymaga mechanizmów do szybkiego wykrywania nieprawidłowej aktywności. Część 500 NYDFS wymaga od większych podmiotów objętych przepisami centralizacji logowania i powiadamiania o bezpieczeństwie. Żaden z regulatorów nie ustala liczby reguł, ale obaj oczekują, że pokażesz, iż twój program wykrywania działa. Więcej detekcji, każda zmapowana do ATT&CK, zapewnia szerszy zasięg i jaśniejszy zapis.
Co robi Prime Detect
Detekcja w strumieniu
- Stosuje reguły Sigma do zdarzeń w tranzycie, przed wchłonięciem do SIEM
- Uruchamia ponad 20 000 reguł detekcji oraz własne niestandardowe detekcje, bez stałego limitu reguł
- Taguje każdy dopasowany przypadek z poziomem ważności i techniką MITRE ATT&CK
- Łączy powiązane dopasowania w łańcuchy ataków, więc analitycy widzą sekwencję aktywności zamiast izolowanych alertów
Otagowana telemetria, którą możesz kierować
- Taguje około 7% telemetrii na podstawie testów klientów
- Wysyła otagowane zdarzenia do SIEM, a resztę do ciepłej lub zimnej pamięci, według twoich reguł
- Produkuje zdarzenia z etykietami ATT&CK, które AI do triagowania i narzędzia SOAR mogą użyć bezpośrednio
Wdrożenie i kontrola
- Działa na infrastrukturze Kafka i Kubernetes, którą twoja drużyna już zarządza
- Zatrzymuje dane w twoim potoku, bez potrzeby połączenia wychodzącego
- Możliwość wdrożenia odizolowanego lub w chmurze
- Dostępny jako open source w postaci DetectFlow lub pod licencją Enterprise
Jak pasuje do twojego istniejącego SIEM
Prime Detect znajduje się pomiędzy piłowym strumieniem zdarzeń a SIEM. Nic w SIEM nie musi się zmieniać. Większość zespołów wdraża go w trzech krokach.
- Przekieruj wszystko do SIEM jak dzisiaj, z dodanymi tagami Detect do dopasowanych zdarzeń.
- Dodaj indeks lub dashboard SIEM, który podnosi zdarzenia z tagami Detect jako alerty wysokiego priorytetu.
- Gdy jest dostrojony, kieruj nieotagowane zdarzenia do ciepłej lub zimnej pamięci, aby zmniejszyć koszt wchłaniania.
Możesz zmienić trasowanie w dowolnym momencie, gdy dowiesz się, co działa w twoim środowisku.
Czego Prime Detect nie robi
- Nie zastępuje SIEM do centralnego logowania, wyszukiwania, dochodzenia czy przechowywania informacji.
- Nie zaspokaja wymagań NYDFS dotyczących centralnego logowania samodzielnie.
- Nie decyduje, czy incydent jest materialny czy wymaga zgłoszenia. Twoja drużyna podejmuje tę decyzję.
DORA, NYDFS i SEC: gdzie pasuje Prime Detect
Te zasady ustalają obowiązki detekcyjne, związane z incydentami, testowaniem i zgłaszaniem dla obejmowanych banków. Prime Detect wspiera stronę detekcji każdego z nich. Samodzielnie nie spełnia żadnego z nich.
| Reguła | Co wymaga | Gdzie pasuje Prime Detect |
|---|---|---|
| DORA Art. 9 | Ciągle monitorować bezpieczeństwo i funkcjonowanie systemów informatyczno-komunikacyjnych | Uruchamia detekcje na każdym zdarzeniu w strumieniu, a nie na próbkach |
| DORA Art. 10 | Mechanizmy do szybkiego wykrywania nieprawidłowej aktywności | Wykrywa w tranzycie, przed wchłonięciem i indeksowaniem w SIEM |
| DORA Art. 17 | Proces incydentowy wykrywania, zarządzania, klasyfikowania i powiadamiania | Każde dopasowanie nosi poziom ważności i technikę ATT&CK, dając podstawę dla klasyfikacji |
| DORA Art. 26 | Testowanie penetracyjne prowadzone przez zagrożenia (TLPT) co najmniej co 3 lata, jeśli wyznaczone | Mapowanie ATT&CK pokazuje, które techniki były wykrywane podczas testów |
| NYDFS 500.14(b) | Firmy klasy A: EDR plus centralne logowanie i alertowanie bezpieczeństwa | Dodaje pokrycie detekcyjne przed centralnym logowaniem. Nie zastępuje go |
| NYDFS 500.17(a) | Powiadom superintendenta w ciągu 72 godzin od ustalenia, że incydent miał miejsce | Ujawnia sekwencję aktywności wcześniej, więc dochodzenie może rozpocząć się szybciej |
| SEC Formularz 8-K Punkt 1.05 | Rejestrujący: ustalanie materialności bez nieuzasadnionej zwłoki, składanie w ciągu 4 dni roboczych od tej decyzji | Łańcuchy ataków dostarczają zespołowi dowody zakresu szybciej. Decyzja o materialności pozostaje z tobą |
The detekcja egzaminujący pytają o rejestry
Gdy egzaminator pyta, jak bank wykrywa zagrożenia, odpowiedzią zwykle jest lista reguł SIEM. Z Prime Detect każda detekcja jest zmapowana do ATT&CK i otagowana na poziomie zdarzeń. Możesz pokazać, co obserwowałeś, co zadziałało i jak powiązana aktywność łączyła się.
To jest zapis procesu incydentowego DORA i powiadamiania 72-godzinnego NYDFS zależnego na tym. Kiedy incydent się wydarzy, praca nad jego przygotowaniem powinna być już wykonana.
Zobacz, jak działa. Zobacz Prime Detect pracuj na żywym strumieniu zdarzeń, zanim zobowiążesz się do pilotażu. Użyj domyślnych nazw użytkowników i haseł wymienionych. Zgłoś się na demo, odkryj działające demo na żywo lub pobierz DetectFlow, aby uruchomić samodzielnie.
FAQ
Czym jest detekcja przed-SIEM?
Detekcja przed-SIEM uruchamia reguły detekcji na zdarzeniach, gdy przemieszczają się przez potok danych, zanim SIEM je wchłonie. Model oparty na SIEM uruchamia reguły tylko na danych, które SIEM już wchłonął. Różnica polega na miejscu wykonywania logiki detekcji. Prime Detect to warstwa detekcji przed-SIEM SOC Prime.
Jak bank może uruchomić więcej reguł detekcji bez zwiększania pojemności SIEM?
Uruchamianie reguł poza SIEM. Prime Detect wykonuje reguły na własnej infrastrukturze Kafka i Kubernetes, więc liczba reguł zależy od tej mocy obliczeniowej, a nie od ograniczeń SIEM. Banki mogą uruchamiać ponad 20 000 reguł, zamiast kilku setek, które mieści typowy SIEM.
Ile danych wysyła Prime Detect do SIEM?
To jest twój wybór. W testach klientów Prime Detect otagował około 7% telemetrii. Zespoły mogą wysyłać tylko tagowane zdarzenia do SIEM i kierować resztę do niżej kosztowych magazynów.
Czy detekcja przed-SIEM spełnia wymagania NYDFS 500.14(b)?
Nie, nie samodzielnie. Sekcja 500.14(b) wymaga od firm klasy A centralizacji logowania i powiadamiania o zdarzeniach bezpieczeństwa. Prime Detect dodaje detekcję przed tym systemem. Nie zastępuje go.
Czym Prime Detect różni się od narzędzi przesyłowych jak Cribl?
Narzędzia przesyłowe kierują, redukują i przekształcają dane. Prime Detect uruchamia logikę detekcji na danych i taguje to, co znajdzie. Oba mogą działać razem: potok kształtuje strumień, a Prime Detect identyfikuje w nim zagrożenia.
Czy Prime Detect może działać w środowisku odizolowanym?
Tak. Prime Detect działa w twoim własnym potoku i nie potrzebuje połączenia wychodzącego. Obsługuje również wdrożenia w chmurze.
Czy Prime Detect jest otwartoźródłowy?
Tak. Wersja open source to DetectFlow. SOC Prime oferuje także licencję Enterprise.
