팔로우 요약
Prime Detect는 데이터가 SIEM에 도달하기 전에 클라이언트의 이벤트 스트림에서 탐지 규칙을 실행합니다. Sigma 규칙을 통과 중인 이벤트에 적용하여 각 매치에 심각도 및 MITRE ATT&CK 기법을 태그하고 관련 매치들을 공격 체인으로 연결합니다. 클라이언트 테스트에서 약 7%의 텔레메트리가 태그되었습니다.
MSSP는 Prime Detect를 사용하여 클라이언트가 사용하는 SIEM에 관계없이 모든 클라이언트에게 동일한 20,000개 이상의 탐지를 제공합니다. 운영하는 SIEM으로 데이터 입력을 줄이고 각 클라이언트의 데이터를 자신의 파이프라인에 유지합니다. 현재 사용하는 SIEM과 함께 작동하며 이를 대체하지는 않습니다.
MSSP가 SIEM 이전에 탐지를 진행하는 이유
MSSP의 탐지 커버리지는 보통 각 클라이언트의 SIEM이 수용할 수 있는 것으로 정해집니다. 이는 추가하는 클라이언트마다 증가하는 세 가지 문제를 발생시킵니다.
- 불균형한 커버리지. 클라이언트는 서로 다른 규칙 제한을 가진 서로 다른 SIEM을 운영합니다. 같은 위협이 한 클라이언트는 잡히고 다른 클라이언트는 놓칠 수 있는데, 이는 하위 플랫폼에 따라 달라집니다.
- 수집 비용. SIEM을 운영할 때, 수집된 모든 이벤트는 위협 신호가 포함되었는지 여부와 관계없이 마진에 비용으로 반영됩니다.
- 엔지니어링 부하. 탐지 엔지니어는 플랫폼별 규칙을 이식하고 조정하는 데 시간을 소비하기보다 실제로 클라이언트가 원하는 탐지를 만드는 데 집중해야 합니다.
Prime Detect는 탐지를 상류로 이동합니다. 규칙은 SIEM이 수집하기 전에 이벤트 파이프라인을 통해 흐르는 동안 실행됩니다. 커버리지는 각 클라이언트의 SIEM이 아닌 할당한 컴퓨팅에 따라 결정됩니다. 각 클라이언트별로 SIEM에 전달할 내용을 결정할 수 있습니다.
Prime Detect의 역할
스트림에서의 탐지
- SIEM 수집 전에 통과 중인 이벤트에 Sigma 규칙을 적용
- 20,000개 이상의 탐지 규칙과 자체 사용자 정의 탐지를 실행하며, 고정된 규칙 한계 없음
- 모든 매치에 심각도 및 MITRE ATT&CK 기법을 태그
- 관련 매치를 공격 체인으로 연결하여 분석가가 개별 경고 대신 활동 시퀀스를 볼 수 있도록 함
라우팅 가능한 태그가 붙은 텔레메트리
- 클라이언트 테스트에 기반하여 텔레메트리의 약 7%에 태그를 추가
- 태그가 붙은 이벤트를 규칙에 따라 SIEM으로 보내고 나머지는 온/콜드 스토리지로 전송
- AI 트라이아지 및 SOAR 도구가 직접 사용할 수 있는 구조화된 ATT&CK 라벨의 이벤트를 생성
배포 및 제어
- 클라이언트 또는 본인이 운영하는 Kafka 및 Kubernetes에서 실행
- 아웃바운드 연결 없이 파이프라인 내 데이터 유지
- 클라우드 또는 내부망 격리 방식으로 배포
- 오픈 소스 또는 엔터프라이즈 라이선스 하에 사용 가능
이미 운영 중인 SIEM과의 호환성
Prime Detect는 이벤트 파이프라인과 SIEM 사이에 위치합니다. SIEM의 어떤 것도 변경할 필요가 없기 때문에 다양한 클라이언트 기반에서 작동합니다.
MSSPs는 보통 두 가지 방식 중 하나로 배포합니다:
- 공유, 다중 임차인: 임차인별로 탐지 및 라우팅이 설정된 환경의 하나의 Prime Detect 배포
- 클라이언트별: 엄격한 데이터 거주지 또는 내부망 격리를 요구하는 클라이언트를 위한 자체 인프라 내부에 배포
전개는 어떤 방식이든 동일한 세 가지 단계로 진행됩니다:
- 오늘처럼 모든 것을 SIEM으로 전달하며, 매치된 이벤트에 Detect 태그 추가.
- Detect 태그가 붙은 이벤트를 높은 우선도 경고로 높이는 SIEM 인덱스나 대시보드 추가.
- 조정이 완료되면 입력을 줄이기 위해 태그가 없는 이벤트를 온/콜드 스토리지로 라우팅.
Prime Detect가 하지 않는 것
- 중앙화된 로깅, 검색, 조사 또는 보존을 목적으로 SIEM을 대체하지 않습니다.
- 중요하거나 보고할 사건인지 여부를 결정하지 않습니다. 사건 처리 과정에서 결정해야 합니다.
- 데이터 전송 결정을 대신하지 않습니다. 데이터가 어디로 가고 어떤 계약하에 있는지는 귀사의 책임 및 클라이언트의 결정입니다.
NIS2, DORA, HIPAA 및 GDPR: Prime Detect의 역할
MSSPs는 자체의 의무를 가지며 클라이언트의 의무를 상속받습니다. NIS2는 Article 6(40)에서 보안 관리 서비스 제공자를 정의하고 부록 I에 포함시키므로 많은 MSSPs는 자체적으로 피보험자에 해당됩니다. Prime Detect는 아래의 각 규정에서 탐지 측면을 지원합니다. 그러나 단독으로 이를 충족하지는 못합니다.
| 규정 | 요구 사항 | Prime Detect의 적합성 |
|---|---|---|
| NIS2 아트. 23 | 중요한 사건을 인식한 후 24시간 내 초기 경고 발송 및 72시간 내 사건 통지 | 조기에 연쇄 활동을 식별하여 팀이 더 빨리 인식하고, 공지에 필요한 ATT&CK로 매핑된 증거를 제공합니다 |
| DORA 아트. 28 | 금융 기관은 ICT 서비스 제공자를 사용할 때도 DORA 준수에 대해 완전한 책임을 집니다 | 탐지된 항목의 임차인별 기록을 금융 클라이언트에게 제공하여, 관리감독에 필요합니다 |
| HIPAA 45 CFR 164.312(b) | ePHI가 포함된 시스템 활동을 기록하고 조사하는 메커니즘 | 스트림 내 모든 이벤트를 검사하고, 매치를 심각도 및 기술과 함께 기록합니다. 로깅과 보존은 SIEM에 남아 있습니다. |
| HIPAA 45 CFR 164.308(b), 164.314(a) | 비즈니스 파트너는 인식한 보안 사건을 피보험자에게 보고해야 합니다 | 태그가 붙은 매치와 공격 체인은 세부 사항을 구체적이고 빠르게 보고할 수 있게 합니다 |
| GDPR Ch. V (아트. 44–49) | 개인 데이터를 EU/EEA 외부로 전송할 때 Chapter V 조건을 포함한 전송 요건 | 클라이언트 또는 클라이언트 파이프라인 내에서 실행하기 때문에 탐지 자체로 인한 데이터 전송이 없습니다 |
입력 대신 커버리지를 판매
대부분의 MSSPs는 SIEM 볼륨에 기반해 가격을 책정하고 직원들을 배치합니다. 이는 클라이언트가 보내는 데이터 양과 특정 플랫폼을 운영하는 클라이언트의 커버리지에 수익 마진을 연결시킵니다.
Prime Detect는 이 두 가지를 분리합니다. 모든 클라이언트가 같은 탐지 기준선을 받습니다. 당신은 SIEM에 중요한 이벤트만 보냅니다. 각 임차인은 제공자의 관리감독을 증명하는 데 필요한 당신이 탐지한 ATT&CK으로 매핑된 기록을 받습니다. 엔지니어들은 서비스를 차별화하는 탐지 작업에 집중할 수 있습니다.
실행을 확인하세요. Prime Detect가 실시간 이벤트 스트림에서 어떻게 작동하는지 취업 전 확인하세요. 데모를 요청하거나 라이브 데모를 탐색하거나 오픈 소스를 다운로드하여 직접 실행하세요.
FAQ
MSSP가 클라이언트의 증가에 따라 탐지 용량을 어떻게 유지할 수 있나요?
각 클라이언트의 SIEM에서 규칙 용량을 제거하십시오. Prime Detect는 이벤트 스트림에서 탐지를 실행하여 SIEM 제한에 따라 커버리지를 확장하지 않고 할당한 컴퓨팅에 따라 확장합니다. 각 새로운 클라이언트는 하나의 SIEM을 운영하든 다른 SIEM을 운영하든 간에 동일한 20,000개 이상의 탐지를 받습니다.
SIEM 이전 탐지와 직접 SIEM 수집의 차이점은 무엇인가요?
직접 수집에서는 로그가 SIEM으로 가고 탐지 규칙이 거기서 실행됩니다. SIEM 이전 탐지는 SIEM이 수집하기 전에 통과 중인 이벤트에 규칙을 실행합니다. Prime Detect는 SIEM 이전 탐지 레이어입니다. 태그 매치를 하고 주요 이벤트만 SIEM으로 보낼 수 있게 합니다.
단일 Prime Detect 배포로 여러 클라이언트를 서비스할 수 있나요?
예. MSSPs는 감지 및 라우팅이 임차인별로 설정된 공유 다중 테넌트 배포를 실행할 수 있습니다. 또한 데이터 거주지 또는 내부망 격리가 필요할 때 클라이언트의 인프라 내부에 배포할 수 있습니다.
MSSPs를 위한 Prime Detect의 라이선스는 어떻게 이루어지나요?
Prime Detect는 오픈 소스 또는 엔터프라이즈 라이선스 하에 제공됩니다. MSSPs의 엔터프라이즈 라이선스는 보통 서비스되는 클라이언트 수에 기반합니다. 귀사의 아키텍처 요금을 위해 SOC Prime에 문의하세요.
NIS2와 DORA가 MSSPs에게 요구하는 것은 무엇인가요?
NIS2는 MSSPs를 정의하고 많은 것을 피보험자로 가져옵니다. 제23조에 따라, 그들은 중요 사건을 인지한 후 24시간 내 초기 경고를 제공하고 72시간 내 알림을 제공해야 합니다. DORA 제28조에 따르면 금융 클라이언트는 MSSP를 사용할 때도 완전히 자신의 규정 준수에 대해 책임지고 있으며, 그들은 당신이 탐지한 증거를 기대할 것입니다.
HIPAA는 감사 추적 및 사건 보고에 대해 무엇을 요구하나요?
HIPAA 보안 규칙, 45 CFR 164.312(b)는 전자 보호 건강 정보가 포함된 시스템의 활동을 기록하고 조사하는 메커니즘을 요구합니다. 164.308(b) 및 164.314(a)에 따라 사업 파트너는 인지한 보안 사건을 피보험자에게 보고해야 하며, 보호되지 않은 보호 건강 정보의 침해를 포함해야 합니다.
SIEM 이전 탐지가 GDPR 데이터 전송 문제를 일으키나요?
그 자체로는 아닙니다. Prime Detect는 고객 또는 고객의 파이프라인 내에서 실행되며 아웃바운드 연결을 필요로 하지 않습니다. 그러므로 탐지는 개인 데이터의 전송을 추가하지 않습니다. 나머지 데이터가 어디로 가고 Chapter V 메커니즘 하에서 어떻게 처리되는지는 귀사 결정에 달려 있습니다.
Prime Detect가 우리의 탐지 엔지니어링 서비스를 상품화하게 될까요?
엔지니어가 시간에 투자하는 위치를 바꿉니다. 기본 커버리지는 SOC Prime이 계속 추가하는 20,000개 이상의 규칙 라이브러리에서 나옵니다. 귀사의 팀은 클라이언트 특정 탐지, 위협 헌팅 및 조정에 집중할 수 있으며, 이는 클라이언트가 차별화 요인으로 보는 작업입니다.
