Orkiestracja danych
Dochodzenia dotyczące bezpieczeństwa korzystają z informacji pochodzących z wielu różnych źródeł. Narzędzia ochrony urządzeń, platformy tożsamości, usługi chmurowe, zapory sieciowe, aplikacje, poczta elektroniczna, informacje o zagrożeniach i dokumentacja biznesowa mogą zawierać różne części materiału potrzebnego do zrozumienia incydentu.
Wyzwaniem jest połączenie tych informacji we właściwym czasie i przygotowanie ich w formie przydatnej dla analityków. Dane mogą być przechowywane w różnych formatach, rozproszone pomiędzy kilkoma platformami lub dostępne wyłącznie za pośrednictwem oddzielnych zespołów i ręcznych zapytań.
Orkiestracja danych oferowana przez CA pomaga skuteczniej gromadzić, łączyć, przetwarzać i udostępniać informacje związane z bezpieczeństwem. Projektujemy praktyczne przepływy danych wspierające wykrywanie zagrożeń, dochodzenia, informatykę śledczą, reagowanie na incydenty, raportowanie i podejmowanie świadomych decyzji.
Dlaczego to ważne
Zespoły bezpieczeństwa często mają dostęp do dużych ilości danych, a mimo to trudno im znaleźć potrzebne informacje. Ważne zapisy mogą być przechowywane przez różne okresy, znaczniki czasu mogą się nie zgadzać, a poszczególne systemy mogą inaczej opisywać tego samego użytkownika, urządzenie lub zdarzenie.
Podczas aktywnego incydentu takie niespójności opóźniają dochodzenie. Analitycy mogą poświęcać więcej czasu na poszukiwanie i przygotowanie informacji niż na ustalenie, co naprawdę się wydarzyło.
Praktyczna orkiestracja danych pomaga:
Łączyć istotne informacje
Połączyć dane dotyczące bezpieczeństwa, działalności operacyjnej, chmury, tożsamości, aplikacji i procesów biznesowych, aby łatwiej analizować powiązane zdarzenia.
Ograniczyć ręczną pracę dochodzeniową
Automatyzować powtarzalne czynności związane z gromadzeniem, formatowaniem, wzbogacaniem i przesyłaniem informacji.
Poprawić jakość analizy
Dostarczać analitykom pełniejsze, spójniejsze i aktualniejsze informacje podczas oceny podejrzanej aktywności.
Wspierać szybsze reagowanie
Zapewniać odpowiednie dane zespołom monitorowania, informatyki śledczej i reagowania w chwili, gdy konieczne są pilne decyzje.
Nasze podejście
Nie traktujemy orkiestracji jako projektu polegającego na przeniesieniu wszystkich dostępnych zapisów do jednej platformy. Większa ilość danych nie oznacza automatycznie lepszego bezpieczeństwa, szczególnie gdy cel, własność, jakość i wymagania dotyczące przechowywania pozostają niejasne.
Zaczynamy od pytań związanych z bezpieczeństwem, na które organizacja musi umieć odpowiedzieć. Następnie identyfikujemy potrzebne informacje, ich lokalizację, możliwe połączenia oraz zespoły, które powinny otrzymać do nich dostęp.
Przepływy projektujemy wokół praktycznych wyników bezpieczeństwa, uwzględniając jednocześnie koszty, wydajność, prywatność, kontrolę dostępu, retencję i odpowiedzialność operacyjną.
Poznanie przypadków użycia i środowiska danych
Zaczynamy od wskazania działań związanych z bezpieczeństwem, które wymagają lepszego dostępu do informacji.
Mogą one obejmować wykrywanie zagrożeń, analizę alertów, informatykę śledczą, reagowanie na incydenty, zarządzanie podatnościami, aktywne poszukiwanie zagrożeń, raportowanie zgodności oraz analizę podejrzanego zachowania użytkowników i systemów.
Mapujemy istotne źródła danych, w tym urządzenia końcowe, usługi tożsamości, urządzenia sieciowe, platformy chmurowe, pocztę elektroniczną, aplikacje, bazy danych, produkty bezpieczeństwa, rejestry zasobów oraz zewnętrzne informacje o zagrożeniach.
Analizujemy również własność danych, obecne sposoby dostępu, formaty, okresy retencji, ustawienia czasu, problemy z jakością oraz zależności techniczne.
Tworzy to przejrzysty obraz istniejącego środowiska i ogranicza gromadzenie danych, które nie wspierają jasno określonego celu operacyjnego.
Zaprojektowanie orkiestracji i architektury danych
Projektujemy sposób gromadzenia, przetwarzania, wzbogacania, przechowywania i przekazywania informacji do odpowiednich osób oraz systemów.
Architektura może wykorzystywać bezpośrednie integracje, interfejsy aplikacyjne, strumienie zdarzeń, platformy bezpieczeństwa, repozytoria danych, automatyczne procesy lub kontrolowane metody transferu. Wybór zależy od ilości, poufności, pilności i planowanego wykorzystania informacji.
Definiujemy wspólne identyfikatory i zależności, aby aktywność dotycząca tego samego konta, urządzenia, adresu, aplikacji lub incydentu mogła zostać połączona pomiędzy oddzielnymi źródłami.
Kontrola dostępu, szyfrowanie, retencja, rejestrowanie i separacja danych są uwzględniane w projekcie. Lepsza dostępność informacji nie powinna prowadzić do osłabienia ich ochrony.
Wdrożenie, automatyzacja i weryfikacja przepływów
Łączymy wybrane źródła i tworzymy procesy potrzebne do przesyłania oraz przygotowywania informacji.
Może to obejmować filtrowanie zbędnych zapisów, konwersję formatów, ujednolicanie znaczników czasu, usuwanie duplikatów, dodawanie kontekstu, identyfikowanie zasobów i właścicieli oraz wzbogacanie zdarzeń informacjami o podatnościach lub zagrożeniach.
Automatyczne procesy mogą także przekazywać dowody do przestrzeni dochodzeniowej, tworzyć sprawę po spełnieniu określonych warunków, powiadamiać odpowiednie zespoły lub zabezpieczać ważne zapisy przed ich nadpisaniem.
Każdy przepływ testujemy, aby potwierdzić gromadzenie właściwych danych, ich ochronę i dostarczenie w wymaganym czasie. Sprawdzamy również zachowanie procesu po utracie źródła, zmianie formatu lub otrzymaniu niekompletnych informacji.
Obsługa, monitorowanie i doskonalenie orkiestracji
Orkiestracja danych wymaga stałego nadzoru. Systemy się zmieniają, integracje mogą przestać działać, dostawcy aktualizują interfejsy, a nowe przypadki użycia tworzą inne potrzeby informacyjne.
Pomagamy określić odpowiedzialność za źródła danych, integracje, przepływy, dostęp, jakość, retencję i wsparcie incydentów. Monitorowanie pomaga wykrywać brakujące zapisy, opóźnienia, niedziałające połączenia, nietypowe ilości danych i zmiany mogące wpływać na dochodzenia.
Podczas regularnych przeglądów oceniamy, czy każde źródło nadal dostarcza przydatnych informacji i czy koszty jego gromadzenia oraz przechowywania pozostają uzasadnione.
Proces może być następnie rozwijany wraz z wprowadzaniem nowych usług, narzędzi bezpieczeństwa, platform chmurowych oraz możliwości reagowania.
Co wyróżnia CA
Dane powiązane z wynikami bezpieczeństwa
Zaczynamy od dochodzeń, decyzji i działań, które informacje powinny faktycznie wspierać.
Pełne przepływy informacji
Wspólnie analizujemy gromadzenie, przetwarzanie, wzbogacanie, dostęp, przechowywanie, retencję, dostarczanie i odpowiedzialność operacyjną.
Bezpieczeństwo i prywatność wbudowane w projekt
Poufne informacje pozostają objęte odpowiednią kontrolą dostępu, zasadami retencji, rejestrowaniem i ochroną.
Praktyczna automatyzacja
Automatyzujemy powtarzalne działania tam, gdzie poprawia to szybkość i spójność bez tworzenia zbędnej złożoności.
Wartość biznesowa
Orkiestracja danych oferowana przez CA pomaga przekształcić rozproszone informacje dotyczące bezpieczeństwa w skuteczniejszą i bardziej skoordynowaną zdolność dochodzeniową.
Analitycy poświęcają mniej czasu na wyszukiwanie zapisów, kierowanie próśb do innych zespołów i ręczne przygotowywanie danych. Pełniejsze i bardziej spójne informacje pomagają szybciej zrozumieć podejrzaną aktywność i podjąć decyzje.
Podczas incydentu odpowiednie dowody mogą zostać szybciej zgromadzone i przekazane. Wspiera to wcześniejsze ustalenie skali zdarzenia, bardziej ukierunkowane ograniczenie zagrożenia i lepiej uzasadnione przywracanie działalności.
Usługa poprawia również wartość istniejących inwestycji. Platformy monitorowania, narzędzia ochrony urządzeń, usługi chmurowe, możliwości śledcze i informacje o zagrożeniach mogą skuteczniej współpracować, zamiast działać jako oddzielne źródła.
Rezultatem jest lepsza widoczność, szybsze dochodzenia, bardziej wiarygodne dowody oraz środowisko danych wspierające skoordynowane operacje bezpieczeństwa bez gromadzenia informacji pozbawionych jasno określonego celu.
Następny krok
Dane dotyczące bezpieczeństwa przynoszą wartość, gdy właściwe informacje docierają do odpowiednich osób i systemów w momencie, w którym są potrzebne.
Skontaktuj się z CA, aby umówić się na wstępną konsultację. Pomożemy poznać obecne środowisko danych, wskazać najważniejsze przypadki użycia i opracować praktyczną orkiestrację usprawniającą wykrywanie, dochodzenia i reagowanie.