金融服务的SIEM前检测

简要说明

Prime Detect在数据到达SIEM之前在您的事件流上运行检测规则。它将Sigma规则应用于传输中的事件，为每个匹配项标记严重性和MITRE ATT&CK技术，并将相关匹配项链接到攻击链中。在客户测试中，大约7%的遥测数据被标记。这是值得发送到SIEM的部分。

大型企业使用Prime Detect运行20,000多个检测，不受SIEM规则限制，减少摄取费用，并为法规如DORA和NYDFS保留所检测内容的映射记录。它与您现有的SIEM协同工作，而不是替代它。

联系销售

银行为什么将检测前移至SIEM之前

SIEM在已摄取和索引的数据上运行检测规则。对于大型银行来说，该模型遇到两个限制。

规则容量。 大多数SIEM部署运行几百个活动规则，然后搜索性能和成本成为问题。一个运行500个规则的团队是在选择看不到的内容。

摄取成本。 每个SIEM摄入的事件都是您支付存储和搜索的事件，无论它是否携带威胁信号。

Prime Detect将检测向上游移动。规则在事件通过您的Kafka管道流转时，而非在摄取之前运行。规则数量与您分配的计算资源相关，而不是SIEM容量。随后，您可以根据规则发现的内容决定何者到达SIEM。

监管机构设定了底线。DORA第10条要求机制能够及时检测异常活动。NYDFS第500部分要求符合条件的大型实体集中记录和安全警报。两者都没有规定规则数量，但都期望您展示检测程序的有效性。更多的检测，每个都映射到ATT&CK，可以提供更广泛的覆盖和更清晰的记录。

Prime Detect的功能

流中的检测

• 在SIEM摄取之前，将Sigma规则应用于过境中的事件
• 运行20,000多个检测规则以及您自己的自定义检测，没有固定的规则上限
• 为每个匹配项标记严重性和MITRE ATT&CK技术
• 将相关匹配项链接到攻击链中，分析师可以看到一系列活动，而不是孤立警报

可路由的标记遥测数据

• 根据客户测试，标记约7%的遥测数据
• 根据您的规则，将标记的事件发送到SIEM，其余的发送到热或冷存储
• 产生结构化的、带ATT&CK标签的事件，可以直接供AI分级和SOAR工具使用

部署和控制

• 运行在您的团队已经操作的Kafka和Kubernetes上
• 将数据保留在您的管道内，无需外部连接
• 可隔离部署或在云中部署
• 可作为开源的DetectFlow使用，或根据企业许可使用

如何与现有SIEM配合

Prime Detect位于您的事件管道和SIEM之间。SIEM中的其他内容无需更改。大多数团队通过三个步骤推出：

1. 像今天一样将所有内容转发到SIEM，并在匹配的事件中添加Detect标签。
2. 添加一个SIEM索引或仪表板，将Detect标记的事件提升为高优先级告警。
3. 调优后，将未标记的事件路由到热或冷存储以减少摄取。

您可以在任何时候根据对环境的了解改变路由。

Prime Detect不提供的功能

• 它不替代SIEM的集中记录、搜索、调查或保留功能。
• 它本身不满足NYDFS的集中记录要求。
• 它不决定事件是否具有实质性或是否需要报告。您的团队做出这一决定。

DORA、NYDFS和SEC：Prime Detect的定位

这些规则为他们所覆盖的银行设定了检测、事件、测试和披露责任。Prime Detect支持每个的检测方面。它不能单独履行其中任何一个。

The 检测 记录审查员询问

当审查员询问银行如何检测威胁时，答案通常是一个SIEM规则列表。使用Prime Detect，每个检测都映射到ATT&CK并在事件层级标记。您可以展示您在关注什么、触发了什么以及相关活动如何链在一起。

这就是DORA的事件流程和NYDFS的72小时通知所依赖的记录。当事件发生时，构建它的工作应该已经完成。

观看它运行。 观看Prime 检测 在承诺试点之前对现场事件流的效果。使用列出的默认用户名和密码。请求演示、探索实时演示，或下载DetectFlow自行运行。