НДР против SIEM: Ключевые отличия
Решения Gartner® Magic Quadrant™ NDR
Узнайте, почему мы являемся единственным поставщиком, попавшим в квадрант Challenger...
Испытайте безопасность на основе искусственного интеллекта в действии!
Откройте для себя передовой искусственный интеллект Stellar Cyber для мгновенного обнаружения угроз...
Что такое отчет о недоставке?
Обнаружение сети и ответ сосредоточен в первую очередь на раскрытии гранулярной повседневной деятельности в сетях организации. Вместо того, чтобы размещать шлюз на границе сетей организации, что обеспечивает видимость только трафика Север-Юг, NDR размещает датчики во внутренних сетях, регистрируя все внутренние или соединения Восток-Запад. Таким образом, NDR начинается там, где заканчивается брандмауэр.
Датчики NDR копируют каждый пакет – вместе с его метаданными – и отправляют копии в центральный аналитический движок решения. Это часто достигается сетевыми TAP или промежуточными портами, которые являются высокопроизводительными аппаратными датчиками; другие среды развертывания могут потребовать программных и виртуальных датчиков.
В совокупности все эти данные объединяются в непрерывный стек мониторинга и реагирования NDR:
Установление базового уровня поведения сети
При первом развертывании непосредственная роль NDR заключается в установлении нормального, повседневного поведения подключенных сетей. Это достигается путем подачи собранных журналов в неконтролируемый алгоритм обучения, который собирает этот поток данных в модель средних схем коммуникации, объема и времени. Профилируя все это, NDR может применить свой первый уровень обнаружения угроз на уровне сети.
Обнаружение отклонений от базового уровня
Когда сетевое поведение устройства начинает отклоняться от нормальной модели, NDR может заметить это и пометить как потенциально подозрительное. Такое поведение может включать внезапный приток попыток входа, попытки подключения к ограниченным портам или неожиданную утечку данных от сотрудника, который обычно не имеет доступа к этой базе данных.
В зависимости от рассматриваемого неустойчивого поведения NDR может либо предпринять автоматические меры реагирования, либо сравнить сетевую активность с известными индикаторами компрометации (IoC).
Сигнатурный анализ
Большинство кибератак следуют определенному подходу: этот профиль атаки приводит к установленным шаблонам действий, или IoC. Чтобы проверить риск, стоящий за сетевыми отклонениями, NDR может сравнивать сетевую активность в реальном времени со своей базой данных IoC, что позволяет ему быстро и автоматически определять, какая именно атака происходит, и помогать выявлять потенциального злоумышленника.
Автоматический ответ
Что такое SIEM?
В то время как системы обнаружения и анализа сетевых ошибок (NDR) собирают и анализируют пакеты из сетей организации, SIEM Расширяет охват еще сильнее: цель состоит в обеспечении полной прозрачности в масштабах всей организации. Журналы — это небольшие файлы, которые устройство генерирует при каждом выполнении действия: они собираются для SIEM анализ с помощью программного агента, который устанавливается на каждое исходное устройство.
Оттуда SIEM объединяет файлы журналов в единое целое, отражающее действия каждого устройства:
Сбор, фильтрация и анализ журналов
Нормализация журнала
Каждое устройство или приложение генерирует журналы в собственном синтаксисе — это может быть как удобочитаемый текст, так и сложные структуры JSON или XML. Чтобы сделать всё это понятным для пользователя, SIEMВ рамках аналитического механизма система определяет источник каждого журнала и применяет парсер, адаптированный к конкретному формату. Парсеры разбивают записи журнала на отдельные поля данных, такие как метка времени, исходный IP-адрес, порт назначения, тип события или идентификатор пользователя. Затем эту стандартизированную схему можно сравнивать и анализировать в разных системах.
Анализ и оповещение
Команда SIEM Начинается все со сканирования на наличие предопределенных шаблонов и индикаторов компрометации (IOC), таких как многочисленные неудачные попытки входа в систему, необычная передача данных или доступ с IP-адресов из черного списка. Эти шаблоны обычно закодированы в правилах обнаружения или сценариях использования, которые соответствуют конкретным угрозам, таким как атаки методом перебора паролей или горизонтальное перемещение.
Корреляция является ключевой частью этого аналитического процесса. SIEMОбнаружение подозрительных событий позволяет связать воедино, казалось бы, несвязанные события в разных системах — например, подозрительный вход в систему, за которым следует изменение конфигурации и загрузка большого файла. Когда обнаруживается набор подозрительных оповещений, SIEM отправляет оповещение группе безопасности организации, которая затем проверяет и устраняет лежащий в основе риск безопасности.
НДР против SIEMДва разных варианта использования
Обнаружение бокового движения
Одно окно из стекла
SIEMЭти инструменты предоставляют командам единый интерфейс, централизуя и объединяя данные о безопасности со всего спектра активов организации в одном месте. Вместо того чтобы аналитики переключались между несколькими инструментами, каждый из которых охватывает определенную изолированную область, такой инструмент позволяет избежать подобных проблем. SIEM объединяет все на одной платформе.
SIEMs поддерживают эту комплексную функциональность, предлагая настраиваемые панели мониторинга, оповещения в реальном времени, хронологии инцидентов и функции отчетности в удобном пользовательском интерфейсе. В результате команды могут объединить большую часть своих рабочих процессов в один и значительно оптимизировать повседневную работу.
Сочетание точности NDR и SIEM Обеспечение прозрачности с помощью Stellar Cyber Open XDR Платформа
