Rilevamento Pre-SIEM per i Servizi Finanziari

tl;dr

Prime Detect esegue regole di rilevamento sul tuo flusso di eventi prima che i dati raggiungano il SIEM. Applica regole Sigma agli eventi in transito, etichetta ciascuna corrispondenza con una gravità e una tecnica MITRE ATT&CK e collega le corrispondenze correlate in catene di attacchi. Nei test dei clienti, circa il 7% della telemetria è stato etichettato. Questa è la parte che vale la pena inviare al tuo SIEM.

Le grandi organizzazioni utilizzano Prime Detect per eseguire oltre 20.000 rilevamenti senza limiti di regole del SIEM, ridurre ciò che pagano per ingerire e mantenere un registro mappato di ciò che rilevano per regolamentazioni come DORA e NYDFS. Funziona insieme al tuo SIEM esistente. Non lo sostituisce.

Contatta le vendite

Perché le banche stanno spostando il rilevamento prima del SIEM

Un SIEM esegue regole di rilevamento sui dati che ha già ingerito e indicizzato. Per una grande banca, quel modello raggiunge due limiti.

Capacità delle regole. La maggior parte delle implementazioni SIEM esegue pochi centinaia di regole attive prima che le prestazioni di ricerca e i costi diventino un problema. Un team che ne esegue 500 sta scegliendo cosa non vedere.

Costo di ingestione. Ogni evento che il SIEM ingerisce è un evento che paghi per memorizzare e cercare, indipendentemente dal fatto che contenga o meno un segnale di minaccia.

Prime Detect sposta il rilevamento a monte. Le regole vengono eseguite sugli eventi mentre scorrono attraverso il tuo pipeline Kafka, prima dell’ingestione. Il numero di regole è legato al calcolo che gli dai, non alla capacità del SIEM. Decidi quindi cosa raggiunge il SIEM in base a ciò che hanno trovato le regole.

I regolatori stabiliscono il minimo. L’articolo 10 di DORA richiede meccanismi per rilevare prontamente attività anomale. La parte 500 di NYDFS richiede alle entità coperte più grandi di centralizzare la registrazione e l’allerta di sicurezza. Nessuno dei due imposta un conteggio delle regole, ma entrambi si aspettano che tu dimostri che il tuo programma di rilevamento funziona. Più rilevamenti, ciascuno mappato su ATT&CK, ti offrono una copertura più ampia e un registro più chiaro di essa.

Cosa fa Prime Detect

Rilevamento nel flusso

• Applica le regole Sigma agli eventi in transito, prima dell’ingestione nel SIEM
• Esegue oltre 20.000 regole di rilevamento più le tue rilevazioni personalizzate, senza un limite fisso di regole
• Etichetta ogni corrispondenza con una gravità e una tecnica MITRE ATT&CK
• Collega le corrispondenze correlate in catene di attacchi, così gli analisti vedono una sequenza di attività invece di avvisi isolati

Telemetria etichettata che puoi instradare

• Etichetta circa il 7% della telemetria, basato sui test dei clienti
• Invia gli eventi etichettati al SIEM e il resto a uno storage caldo o freddo, secondo le tue regole
• Produce eventi strutturati e etichettati ATT&CK che gli strumenti di triage AI e SOAR possono utilizzare direttamente

Distribuzione e controllo

• Funziona sul Kafka e Kubernetes che il tuo team già utilizza
• Mantiene i dati all’interno del tuo pipeline, senza necessità di connessioni esterne
• Distribuzione in modalità isolata o nel cloud
• Disponibile open source come DetectFlow o sotto licenza Enterprise

Come si integra con il tuo SIEM esistente

Prime Detect si trova tra il tuo pipeline di eventi e il tuo SIEM. Nulla nel SIEM deve cambiare. La maggior parte dei team lo distribuisce in tre fasi:

1. Inoltra tutto al SIEM come oggi, con i tag Detect aggiunti agli eventi corrispondenti.
2. Aggiungi un indice o dashboard SIEM che sollevi eventi etichettati Detect come avvisi ad alta priorità.
3. Una volta ottimizzato, instrada gli eventi non etichettati a uno storage caldo o freddo per ridurre l’ingestione.

Puoi cambiare l’instradamento in qualsiasi momento mentre impari cosa funziona nel tuo ambiente.

Cosa non fa Prime Detect

• Non sostituisce il tuo SIEM per la registrazione centralizzata, ricerca, indagine o conservazione.
• Non soddisfa il requisito di registrazione centralizzata del NYDFS da solo.
• Non decide se un incidente è rilevante o segnalabile. È il tuo team a fare quella scelta.

DORA, NYDFS e SEC: dove si inserisce Prime Detect

Queste regole stabiliscono i compiti di rilevamento, incidente, test e divulgazione per le banche che coprono. Prime Detect supporta il lato del rilevamento di ciascuno. Non ne esegue nessuno da solo.

The rilevamento i revisori dei conti chiedono di

Quando un revisore chiede come una banca rileva le minacce, la risposta è solitamente una lista di regole SIEM. Con Prime Detect, ogni rilevamento è mappato su ATT&CK e etichettato a livello di evento. Puoi mostrare cosa stavi cercando, cosa ha attivato l’allerta e come l’attività correlata si è concatenata.

Questo è il registro da cui dipendono il processo di incidenti di DORA e l’avviso di 72 ore del NYDFS. Quando si verifica un incidente, il lavoro di costruzione dovrebbe già essere stato fatto.

Guarda come funziona. Guarda Prime Detect lavorare contro un flusso di eventi live prima di impegnarti in un progetto pilota. Usa il nome utente e password predefiniti elencati. Richiedi una demo, esplora la demo live o scarica DetectFlow per eseguirlo da solo.