Suivre récapitulatif
Prime Detect exécute des règles de détection sur votre flux d’événements avant que les données n’atteignent le SIEM. Il applique les règles Sigma aux événements en transit, étiquette chaque correspondance avec une gravité et une technique MITRE ATT&CK, et relie les correspondances liées en chaînes d’attaque. Dans les tests clients, environ 7% de la télémétrie a été étiquetée. C’est la fraction qui mérite d’être envoyée à votre SIEM.
Les grandes organisations utilisent Prime Detect pour exécuter plus de 20 000 détections sans les limites de règles du SIEM, réduire ce qu’elles paient pour l’ingestion et garder un enregistrement cartographié de ce qu’elles détectent pour des réglementations telles que DORA et NYDFS. Il fonctionne en parallèle avec votre SIEM existant. Il ne le remplace pas.
Contactez le service commercial
Pourquoi les banques déplacent la détection avant le SIEM
Un SIEM exécute des règles de détection sur des données qu’il a déjà ingérées et indexées. Pour une grande banque, ce modèle atteint deux limites.
Capacité des règles. La plupart des déploiements de SIEM exécutent quelques centaines de règles actives avant que les performances de recherche et les coûts ne deviennent un problème. Une équipe exécutant 500 d’entre elles choisit ce qu’elle ne voit pas.
Coût d’ingestion. Chaque événement que le SIEM ingère est un événement que vous payez pour stocker et rechercher, qu’il porte ou non un signal de menace.
Prime Detect déplace la détection en amont. Les règles s’exécutent sur les événements tels qu’ils transitent par votre pipeline Kafka, avant l’ingestion. Le nombre de règles est lié à la puissance de calcul que vous lui donnez, et non à la capacité du SIEM. Vous décidez ensuite de ce qui atteint le SIEM en fonction de ce que les règles ont trouvé.
Les régulateurs fixent le plancher. L’article 10 de la DORA exige des mécanismes pour détecter rapidement les activités anormales. NYDFS Partie 500 exige que les plus grandes entités couvertes centralisent la journalisation et l’alerte de sécurité. Aucun ne fixe un nombre de règles, mais tous deux s’attendent à ce que vous montriez que votre programme de détection fonctionne. Plus de détections, chacune cartographiée dans ATT&CK, vous offrent une couverture plus large et un enregistrement plus clair de celle-ci.
Ce que fait Prime Detect
Détection dans le flux
- Applique les règles Sigma aux événements en transit, avant l’ingestion du SIEM
- Exécute plus de 20 000 règles de détection plus vos propres détections personnalisées, sans plafond de règles fixes
- Étiquette chaque correspondance avec une gravité et une technique MITRE ATT&CK
- Relie les correspondances liées en chaînes d’attaque, de sorte que les analystes voient une séquence d’activité au lieu d’alertes isolées
Télémétrie étiquetée que vous pouvez acheminer
- Étiquette environ 7% de la télémétrie, basé sur les tests clients
- Envoie des événements étiquetés au SIEM et le reste à un stockage tiède ou froid, selon vos règles
- Produit des événements structurés, étiquetés ATT&CK que les outils de tri AI et SOAR peuvent utiliser directement
Déploiement et contrôle
- Fonctionne sur le Kafka et Kubernetes que votre équipe exploite déjà
- Conserve les données à l’intérieur de votre pipeline, sans connexion sortante requise
- Déploie en environnement sécurisé ou dans le cloud
- Disponible en open source sous DetectFlow, ou avec une licence Enterprise
Comment il s’intègre à votre SIEM existant
Prime Detect se situe entre votre pipeline d’événements et votre SIEM. Rien dans le SIEM n’a besoin de changer. La plupart des équipes le déploient en trois étapes :
- Transférez tout au SIEM comme aujourd’hui, avec des balises de détection ajoutées aux événements correspondants.
- Ajoutez un index ou un tableau de bord SIEM qui élève les événements tagués Detect comme alertes de haute priorité.
- Une fois réglé, dirigez les événements non étiquetés vers un stockage tiède ou froid pour réduire l’ingestion.
Vous pouvez modifier l’acheminement à tout moment à mesure que vous apprenez ce qui fonctionne dans votre environnement.
Ce que Prime Detect ne fait pas
- Il ne remplace pas votre SIEM pour la journalisation centralisée, la recherche, l’enquête ou la rétention.
- Il ne satisfait pas à lui seul l’exigence de journalisation centralisée du NYDFS.
- Il ne décide pas si un incident est matériel ou doit être signalé. Votre équipe prend cette décision.
DORA, NYDFS et SEC : où Prime Detect s’inscrit
Ces règles définissent des obligations de détection, d’incident, de test et de divulgation pour les banques qu’elles couvrent. Prime Detect soutient la partie détection de chacune. Il ne satisfait aucune seul.
| Règle | Ce qu’elle exige | Où Prime Detect s’inscrit |
|---|---|---|
| DORA Art. 9 | Surveillance continue de la sécurité et du fonctionnement des systèmes ICT | Exécute des détections sur chaque événement dans le flux, pas sur un sous-ensemble échantillonné |
| DORA Art. 10 | Des mécanismes pour détecter rapidement les activités anormales | Détecte en transit, avant l’ingestion et l’indexation du SIEM |
| DORA Art. 17 | Un processus d’incident pour détecter, gérer, classifier et notifier | Chaque correspondance porte une gravité et une technique ATT&CK, fournissant une base structurée pour la classification |
| DORA Art. 26 | Tests de pénétration axés sur les menaces (TLPT) au moins tous les 3 ans, si désigné | La cartographie ATT&CK montre quelles techniques testées avaient des détections |
| NYDFS 500.14(b) | Entreprises de classe A : EDR plus journalisation centralisée et alertes de sécurité | Ajoute une couverture de détection devant votre journalisation centralisée. Ne la remplace pas |
| NYDFS 500.17(a) | Notifier le surintendant dans les 72 heures après avoir déterminé qu’un incident s’est produit | Fait apparaître l’activité en chaîne plus tôt, de sorte que l’investigation peut commencer plus tôt |
| SEC Form 8-K Article 1.05 | Inscrits : déterminer la matérialité sans retard déraisonnable, déposer dans les 4 jours ouvrables suivant cette détermination | Les chaînes d’attaque donnent des preuves de cadrage à l’équipe plus rapidement. L’évaluation de la matérialité reste avec vous |
The détection ce que les examinateurs demandent
Quand un examinateur demande comment une banque détecte les menaces, la réponse est généralement une liste de règles SIEM. Avec Prime Detect, chaque détection est mappée à ATT&CK et étiquetée au niveau de l’événement. Vous pouvez montrer ce que vous surveilliez, ce qui a déclenché et comment l’activité liée s’est enchaînée.
C’est l’enregistrement sur lequel reposent le processus d’incident de la DORA et l’avis de 72 heures du NYDFS. Quand un incident se produit, le travail pour le construire devrait déjà être fait.
Voyez le fonctionnement. Regardez Prime Detect travailler sur un flux d’événements en direct avant de vous engager dans un pilote. Utilisez le nom d’utilisateur et les mots de passe par défaut listés. Demandez une démo, explorez la démo en direct ou téléchargez DetectFlow pour l’exécuter vous-même.
FAQ
Qu’est-ce que la détection pré-SIEM?
La détection pré-SIEM exécute des règles de détection sur des événements pendant qu’ils traversent le pipeline de données, avant que le SIEM ne les ingère. Un modèle basé sur SIEM exécute des règles uniquement sur les données que le SIEM a déjà ingérées. La différence réside dans l’endroit où la logique de détection s’exécute. Prime Detect est la couche de détection pré-SIEM de SOC Prime
Comment une banque peut-elle exécuter plus de règles de détection sans augmenter la capacité du SIEM?
Exécutez les règles en dehors du SIEM. Prime Detect exécute des règles sur l’infrastructure Kafka et Kubernetes de la banque elle-même, de sorte que le nombre de règles dépend de cette capacité de calcul plutôt que des limites du SIEM. Les banques peuvent exécuter plus de 20 000 règles au lieu des quelques centaines qu’un SIEM typique héberge.
Combien de données Prime Detect envoie-t-il au SIEM?
C’est votre choix. Dans les tests clients, Prime Detect a étiqueté environ 7% de la télémétrie. Les équipes peuvent envoyer uniquement les événements étiquetés au SIEM et acheminer le reste vers un stockage à moindre coût.
La détection pré-SIEM satisfait-elle la section NYDFS 500.14(b)?
Non, pas seule. La section 500.14(b) exige que les entreprises de classe A centralisent la journalisation et l’alerte d’événements de sécurité. Prime Detect ajoute une détection devant ce système. Il ne le remplace pas.
En quoi Prime Detect est-il différent d’un outil de pipeline comme Cribl?
Les outils de pipeline orientent, réduisent et transforment les données. Prime Detect exécute la logique de détection sur les données et étiquette ce qu’elle trouve. Les deux peuvent fonctionner ensemble : le pipeline façonne le flux, et Prime Detect identifie les menaces qu’il contient.
Prime Detect peut-il fonctionner dans un environnement isolé?
Oui. Prime Detect fonctionne à l’intérieur de votre propre pipeline et n’a besoin d’aucune connexion sortante. Il prend également en charge le déploiement dans le cloud.
Prime Detect est-il open source?
Oui. La version open source est DetectFlow. SOC Prime propose également une licence Enterprise.
