Mihin SIEM sopii?
SIEM on vahvin, kun organisaatio tarvitsee laajan näkyvyyden useissa järjestelmissä, keskeisen paikan epäilyttävän toiminnan tutkimiseen ja mahdollisuuden hakea sekä nykyistä että historiallista tietoturvatietoa.
Se on erityisen hyödyllinen suurissa tai sekaympäristöissä, joissa todisteita on hajallaan useiden työkalujen kesken. Sen sijaan, että luottaisivat erillisiin konsoleihin ja irrotettuihin hälytyksiin, SOC voi käyttää SIEM tietojen yhdistämiseen ja toiminnan arvioimiseen laajemmalla alueella.
Yksinkertaisesti sanottuna SIEM auttaa vastaamaan neljään kysymykseen: mitä tapahtui, missä se tapahtui, kuinka pitkälle se levisi ja mitä muuta siihen liittyy?
Mihin SOAR sopii?
SOAR on voimakkain, kun ongelma ei ole näkyvyys vaan toiminnallinen kitka. Monet SOC:t tietävät, mitä pitää tapahtua, kun epäilyttävä tapahtuma havaitaan, mutta vaiheet ovat toistuvia, hitaita ja epäjohdonmukaisia.
SOAR auttaa standardoimaan ja automatisoimaan nämä työnkulut. Analyytikot voivat käyttää sitä täydentämään hälytyksiä, avaamaan lippuja, ilmoittamaan toiselle ryhmälle, keräämään todisteita tai käynnistämään eristämistoimenpiteitä. Kyse on vähemmän tapahtuman havaitsemisesta, vaan pikemminkin vastausprosessin nopeuttamisesta ja toistettavuudesta.
Mihin XDR sopii?
XDR on vahvin, kun tavoitteena on parempi verkkotunnusten välinen tunnistus ja vastaus tiiviimmin integroidun tietoturvasignaalin avulla.
Sen sijaan, että katsottaisiin vain yhtä kerrosta, kuten päätepistettä, XDR kokoaa yhteen liittyvät telemetriatiedot useilta tietoturvatoimialueilta. Tämä voi tehdä havainnoista monipuolisempia konteksteja ja ryhmittelyä nopeammin, varsinkin kun hyökkääjät liikkuvat käyttäjien, laitteiden, sähköpostin, pilvipalvelukuormien ja verkkotoiminnan välillä.
Miksi nämä luokat hämärtyvät?
Markkinat hämärtävät nämä luokat, koska monet alustat yhdistävät nykyään toimintoja, jotka aiemmin myytiin erikseen. SIEM voi sisältää automaatioominaisuuksia. SOAR-alusta voi tarjota tutkivan kontekstin. XDR-alusta voi tarjota laajempia haku- ja raportointiominaisuuksia. Tämän seurauksena ostajat kuulevat usein samoja ongelmia kuvailtuna eri tuoteetikettien kautta.
Tämä ei tarkoita, että luokat olisivat merkityksettömiä. Se tarkoittaa yksinkertaisesti sitä, että ostajan on keskityttävä operatiiviseen rooliin brändäyksen sijaan. Parempi kysymys ei ole, mikä lyhenne kuulostaa nykyaikaisimmalta, vaan mikä toiminto organisaatiolta puuttuu.
Missä SIEM, SOAR ja XDR ovat päällekkäisiä?
Kaikki kolme tukevat SOC, ja kaikki kolme voivat parantaa havaitsemista tai vastausta eri tavoin:
- SIEM tukee havaitsemista keskitetyn näkyvyyden ja korrelaation avulla
- SOAR tukee vastausta työnkulun automatisoinnin ja orkestroinnin kautta
- XDR tukee molempia linkittamalla toisiinsa liittyviä signaaleja useiden suojauskerrosten välillä.
Tämä päällekkäisyys on yksi syy, miksi markkinat voivat vaikuttaa hämmentävältä. Työkalut voivat istua vierekkäin, integroitua toisiinsa tai yhdistää useita toimintoja yhdelle alustalle, mutta kunkin toiminnallinen rooli on silti erilainen.
Miten yritysten tulisi verrata niitä?
Yksinkertainen tapa verrata näitä kolmea on tarkastella kunkin suorittamaa ensisijaista työtä:
|
Ominaisuudet |
SIEM |
SOAR |
XDR |
|
Ensisijainen rooli |
Näkyvyys ja tutkinta |
Työnkulku ja automaatio |
Verkkotunnusten välinen tunnistus ja vastaus |
|
Päävahvuus |
Keskitetty telemetria ja korrelaatio |
Toistettavat vastausprosessit |
Yhdistetty signaali useiden kerrosten yli |
|
Paras |
Sekalaisia ympäristöjä ja syvempiä tutkimuksia |
Manuaalinen, epäjohdonmukainen vastausten käsittely |
Nopeampi, integroitu tunnistus ja lajittelu |
|
Pääkysymykseen se vastaa |
tapahtumille? |
Mitä tapahtuu seuraavaksi? |
Mitä tämä toiminta kertoo meille pinon toisella puolella? |
Kumpi yrityksen tulisi valita?
Tämä riippuu organisaation suurimmasta puutteesta:
- Jos suurin ongelma on hajanainen näkyvyys, heikot lähdetutkimukset tai rajallinen historiallinen haku, SIEM on yleensä etusijalla.
- Jos suurin ongelma on hidas, manuaalinen, epäjohdonmukainen vastausten käsittely, SOAR voi olla parempi istuvuus.
- Jos suurin ongelma on päätepiste-, identiteetti-, sähköposti-, pilvi- ja verkkotasojen välisen yhteyden katkeamisen havaitseminen, XDR voi olla oikea lähtökohta.
Kypsissä ympäristöissä vastaus ei useinkaan ole toinen tai toinen. SIEM, SOAR ja XDR voivat täydentää toisiaan, kun ne otetaan käyttöön selkeällä toimintamallilla.
Mitä organisaatiot usein tekevät väärin?
Yleinen virhe on olettaa, että yksi luokka korvaa automaattisesti muut. Käytännössä nämä ominaisuudet ratkaisevat usein vierekkäisiä ongelmia eikä samanlaisia. Toinen virhe on päällekkäisyyden ostaminen päättämättä, miten SOC todella käyttää kutakin kerrosta. Tämä voi luoda enemmän monimutkaisuutta vähemmän sijaan.
Tehokkaimmat arvioinnit alkavat työnkululla. Missä näkyvyys on heikko? Missä triage on hidasta? Missä vastaus on epäjohdonmukainen? Kun nämä aukot ovat selvät, SIEM, SOAR:n tai XDR:n rooli on paljon helpompi määrittää.
Key takeaway
SIEM on näkyvyys- ja tutkimuskerros. SOAR on työnkulku- ja automaatiokerros. XDR on integroitu tunnistus- ja vastauskerros useille tietoturva-alueille.
Valinta SIEM, SOAR tai XDR alkaa toiminnallisen aukon ymmärtämisellä – näkyvyys, työnkulku, tunnistus, vastaus tai kaikkien neljän yhdistelmä.
Oletko valmis parantamaan tietoturvatoimintojesi näkyvyyttä ja tutkintaa?
Katso, miten Kasperskyn SIEM ratkaisu voi auttaa tiimiäsi keskittämään tietoturvatiedot, yhdistämään niihin liittyvät toiminnot ja tutkimaan uhkia monimutkaisissa yritysympäristöissä.
Tukilähteet ja lisätietoa
