IBM Security QRadar SIEM

Widoczność, wykrywanie, badanie i odpowiedź

Kompleksowa, scentralizowana widoczność

Sieci korporacyjne mogą obejmować tradycyjne lokalne systemy IT, środowiska oparte na chmurze i technologii operacyjnej (OT). Wszystkie, które wymagają pewnego stopnia nadzoru, aby skutecznie chronić aktywa, dokładnie wykrywać zagrożenia i utrzymywać zgodność. Zanim zespół ds. bezpieczeństwa rozpocznie analizę danych w celu wykrywania zagrożeń i zarządzania nimi, musi najpierw mieć scentralizowany wgląd w odmienne dane dotyczące bezpieczeństwa. QRadar umożliwia organizacjom uzyskanie scentralizowanej, kompleksowej widoczności w środowiskach silosowych poprzez zbieranie, analizowanie i normalizowanie zarówno danych dziennika, jak i przepływu. Z jednego ekranu, analitycy bezpieczeństwa mogą monitorować środowiska lokalne, chmurowe i hybrydowe.

Rozwiązanie obejmuje ponad 450 gotowych do obsługi urządzeń modułów (DSM), które zapewniają integrację ustawień domyślnych z innymi narzędziami do bezpieczeństwa. Klienci mogą po prostu kierować logi do IBM Security QRadar, a rozwiązanie pomoże automatycznie wykryć typ źródła dziennika i zastosuje poprawny system DSM do przeanalizowania i znormalizowania danych dziennika. W rezultacie klienci QRadar SIEM mogą zacząć działać znacznie szybciej niż klienci alternatywnych rozwiązań. Dodatkowe integracje można łatwo dodać za pośrednictwem aplikacji w IBM Security App Exchange. QRadar również oferuje prosty edytor DSM z intuicyjnym graficznym interfejsem użytkownika (GUI). Umożliwia to zespołom bezpieczeństwa łatwe definiowanie sposobu parsowania logów z niestandardowych aplikacji.

QRadar sprawdza dane o przepływie sieci, automatycznie identyfikując i klasyfikując aktualne aktywa w sieci oparte na aplikacjach, protokołach, usługach i portach, z których korzystają. Sprzawdza je. aby ułatwić ustanowienie bazy danych aktywów, która pozwala organizacji na definiowanie krytycznych aktywów lub segmentów sieci,

QRadar obsługuje szeroką gamę technologii, aplikacji i usługi w chmurze, aby pomóc klientom uzyskać kompleksowy wgląd w działalność całego przedsiębiorstwa. Po scentralizowaniu tych danych można je automatycznie analizować. Pozwala to na zidentyfikowanie znanych zagrożeń, anomalii, które mogą wskazać nieznane zagrożenia i krytyczne ryzyka, które mogą ujawnić wrażliwe dane.

Automatyzacja analizy bezpieczeństwa w celu szybkiego wykrywania zagrożeń

QRadar został zaprojektowany do automatycznego analizowania i korelowania aktywności z wielu źródeł danych w celu identyfikacji znanych i nieznanych zagrożeń. Żródłem mogą być dzienniki, zdarzenia, przepływy sieciowe, aktywności użytkowników, informacje o lukach w zabezpieczeniach i inteligentnych zagrożeniach .

IBM Security QRadar SIEM inteligentnie koreluje i analizuje różne typy danych z szerokiej gamy źródeł, w tym z:

• Dane punktu końcowego: z dziennika zdarzeń Windows, Sysmon, rozwiązań EDR i wielu więcej
• Dane o aktywności sieciowej: z firewalli, bram, routerów lub czujników
• Dane dotyczące luk w zabezpieczeniach z narzędzi antywirusowych, skanerów luk w zabezpieczeniach, systemów wykrywania włamań, systemów zapobiegania włamaniom, systemów zapobiegania utracie danych i wielu więcej
• Aktywność w chmurze: ze środowisk SaaS i IaaS, takich jak Office365, SalesForce.com, Amazon Web Services (AWS), Microsoft Azure i Google Cloud
• Dane użytkownika i tożsamości: pozyskiwane z Active Directory, LDAP, lub innych rozwiązań do zarządzania tożsamością i dostępem
• Dane aplikacji: z rozwiązań ERP, baz danych aplikacji, aplikacji SaaS i innych
• Analiza zagrożeń z wewnętrznych i zewnętrznych źródeł informacji o zagrożeniach
• Dane dotyczące aktywności kontenerów: z zarządzania kontenerami i oprogramowaniem technologii orkiestracji, takie jak Kubernetes

QRadar zawiera setki gotowych przypadków użycia zabezpieczeń, algorytmy wykrywania anomalii, reguły i polityki korelacji w czasie rzeczywistym. Pomaga to wykrywać znane i nieznane zagrożenia. W miarę odkrywania zagrożeń rozwiązanie agreguje powiązane zdarzenia bezpieczeństwa w pojedyncze, priorytetowe alerty znane jako „przestępstwa” (ang. offenses). Wykroczenia są automatycznie traktowane priorytetowo na podstawie zarówno stopnia zagrożenia, jak i krytyczności zaatakowanego aktywa.

W ramach każdego przestępstwa analitycy bezpieczeństwa widzą pełny łańcuch aktywności zagrożeń z jednego ekranu. Stąd analitycy mogą łatwo drążyć w dół do określonych zdarzeń lub przepływów sieciowych. Następnie mogą rozpocząć dochodzenie, przypisać przestępstwo konkretnemu analitykowi lub zamknąć je. Przestępstwa są automatycznie aktualizowana, gdy pojawia się nowa, powiązana aktywność, analitycy widzą najbardziej aktualne informacje w dowolnym momencie. Tak unikalne podejście pomaga analitykom bezpieczeństwa łatwo zrozumieć większość krytycznych zagrożeń w środowisku. Zapewnia również kompleksowy wgląd w każdy potencjalny incydent, jednocześnie zmniejszając sumę alertów.

Identyfikacja nietypowych sieci użytkowników i aktywności aplikacji

Ponieważ atakujący stają się coraz bardziej wyrafinowani w swoich technikach, wiadomo, że samo wykrywanie zagrożeń już nie wystarcza. Zamiast tego, organizacje muszą również mieć możliwość wykrywania niewielkich zmian w zachowaniu sieci, użytkownika lub systemu. Mogą one wskazywać na nieznane zagrożenia, takie jak złośliwi insiderzy, zhakowane dane uwierzytelniające lub złośliwe oprogramowanie.

IBM Security QRadar SIEM zawiera różne możliwości wykrywania anomalii w celu identyfikacji zmiany w zachowaniu. Mogą być one wskaźnikami nieznanego zagrożenia. QRadar User Behaviour Analytics analizuje aktywność użytkowników w celu wykrycia złośliwych osób z wewnątrz. Określa również, czy poświadczenia użytkownika zostały zagrożone. Analitycy bezpieczeństwa mogą łatwo zobaczyć ryzykownych użytkowników, ich anomalne czynności i drążyć w dół do pierwotnego logu i przepływu danych, które przyczyniły się do oceny ryzyka użytkownika.

Opcjonalnie korzystając z QRadar Network Insights, jako części SIEM, organizacje mogą uzyskać wgląd w to, które systemy komunikowały się ze sobą, które aplikacje były zaangażowane i jakie informacje były wymieniane w pakietach. Korelując to informacje z inną siecią, logowaniem i aktywnością użytkownika, analitycy ds. bezpieczeństwa mogą wykryć anormalną aktywność sieciową, która może wskazywać na zaatakowane hosty, zaatakowanych użytkowników lub próby eksfiltracji dane.

QRadar SIEM jest domyślnie dostarczany z licznymi anomaliami i regułami wykrywania behawioralnego. Zespoły ds. bezpieczeństwa mogą natomiast tworzyć własne reguły, dostosowywać ustawienia wykrywania anomalii i pobrać ponad 265 gotowych aplikacji z IBM Security App Exchange, aby zwiększyć ich zastosowanie.

Skrócony czas dochodzenia dzięki sztucznej inteligencji i automatyzacji

Zespoły bezpieczeństwa są obciążone dużą liczbą alertów, ręcznych zadań i ograniczoną liczbą personelu. Prowadzi to często do wypalenia się i osłabienia postawy bezpieczeństwa organizacji. Doradca QRadar z Watson™ wykorzystuje sztuczną inteligencję i automatyzację, aby znacznie skrócić czas spędzony na badanie alertów o zagrożeniach. Z dni i tygodni nawet do minut lub godzin. Doradca zapewnia priorytetowe badania alertów i skorelowane dane, aby pomóc analitykom skoncentrować się na bardziej wpływowej, strategicznej analizie i polowaniu na zagrożenia. Wszystko przy użyciu standardowego w branży mapowania MITER ATT&CK w celu poprawy analizy przyczyn źródłowych. To umożliwia szybsze środki zaradcze, krótsze czasy przestoju, mniej przeoczonych krytycznych incydentów, mniejsze zmęczenie analityka i poprawę efektywności analityka.

QRadar grupuje i ustala priorytety wszystkich powiązanych wydarzeń w ramach jednego przestępstwa. Zapewnia to analitykom bezpieczeństwa pełny obraz potencjalnie ewoluującego scenariusza ataku. Analiza krzyżowa zapewnia bogaty kontekst alertów, dzięki automatycznemu łączeniu dochodzeń przez powiązane incydenty. Zmniejsza to powielanie wysiłków i przedłuża dochodzenie poza bieżący prawdopodobny incydent i alarm.

Ponadto doradca z Watson zapewnia połączenie funkcji poznawczych i eksplorację danych lokalnych w celu odkrycia powiązanych wskaźników kompromisu (MKOl). IBM Security QRadar SIEM może tworzyć wykresy relacji w obrębie dochodzenia. Tworzy je w celu wizualizacji wzbogaconych danych z dochodzenia i eksploracji powiązania z innymi MKOl, aktywami, użytkownikami lub dochodzeniami.

Doradca mapuje również dochodzenie na MITER ATT&CK framework. Dzięki temu, zespoły ds. bezpieczeństwa mogą wizualizować taktykę atakującego i jego techniki, drążyć w wydarzeniach i przepływach i podejmować bardziej pewne decyzje.

Szybszy czas reakcji, dzięki kierowanej odpowiedzi i zarządzanie sprawami

Integracja IBM Security QRadar z IBM Security SOAR pozwala zespołom ds. bezpieczeństwa przyspieszyć czas reakcji na incydenty. Playbook pozwala, krok po kroku, na automatyzację zadań manualnych i spójności współpracy oraz koordynację z zarządzaniem sprawami. Analitycy mogą szybko i skutecznie eskalować podejrzenia popełnienia przestępstwa z QRadar do SOAR, uruchomić dodatkową automatyzację wzbogacenia i przeprowadzić pełny proces dochodzenia. Jak incydent ewoluuje, wszystkie informacje są synchronizowane między QRadar i SOAR, zapewniając pełną integralność danych. Wszelkie nowe informacje odkryte przez IBM Security SOAR są przesyłane z powrotem do QRadar w celu poprawy proces wykrywania.

Lepsze zarządzanie zgodnością przez gotowe treści, zasady i raporty

IBM Security QRadar SIEM zapewnia przejrzystość, odpowiedzialność i mierzalność. Są one kluczowe dla sukcesu organizacji w wypełnianiu obowiązujących regulacji prawnych oraz raportowaniu zgodności. Zdolność QRadar do korelacji i integracji źródeł informacji o zagrożeniach zapewnia pełniejsze metryki dla raportowanie ryzyka informatycznego dla audytorów. Setki gotowych raportów i szablonów reguł mogą pomóc organizacjom łatwiej odpowiedzieć na branżowe wymagania zgodności.

Profile zasobów sieciowych można pogrupować według funkcji biznesowych, na przykład serwery podlegające wymogom NFZ. Pomoże to zespołom w razie potrzeby łatwiej i trafniej raportować zdarzenia.

QRadar posiada doświadczenie i zasoby potrzebne do pomocy organizacjom zajmujących się ryzykiem i ekspozycją regulacyjną. Zapewnia domyślne ustawienia pakietów zgodności z RODO, FISMA, SOX, HIPAA, ISO 27001, PCI DSS i innymi. Pakiety te są dołączone bezpłatnie z licencją QRadar i są dostępne w IBM Security App Exchange.

Łatwe skalowanie wraz ze zmieniającymi się potrzebami

Elastyczna, skalowalna architektura IBM Security QRadar SIEM została zaprojektowana z myślą o obsłudze zarówno dużych, jak i małych organizacji. Mniejsze organizacje mogą zacząć od jednego kompleksowego rozwiązania, które, w miarę rozwoju potrzeb, może być łatwo podniesione do wdrożenia rozproszonego. Większe organizacje korporacyjne mogą wdrażać dedykowane komponenty do obsługi globalnych, rozproszonych sieci z dużymi ilościami danych.

QRadar zawiera następujące komponenty:

• event kolektory,
• procesory zdarzeń,
• kolektory przepływu,
• procesory przepływu,
• dane węzły (dla nisko kosztowej pamięci masowej i zwiększonej wydajności)
• centralną konsolę.

Wszystkie komponenty są dostępne jako sprzęt, oprogramowanie lub urządzenia wirtualne. Opcje oprogramowania i urządzeń wirtualnych mogą być wdrożone lokalnie, w środowiskach IaaS lub rozproszone w środowiskach hybrydowych.

Niezależnie od modelu wdrożenia, organizacje mogą opcjonalnie dodać wysoką dostępność (HA) i ochronę po awarii do zapewnienia ciągłości działania. Można je dodać w każdym momencie, w razie potrzeby. Dla organizacji poszukujących odporności biznesowej, QRadar zapewnia zintegrowaną automatykę przełączania awaryjnego i pełną synchronizację dysku między systemami bez dodatkowych, zewnętrznych narzędzi do zarządzania usterkami. Dla organizacji poszukujących ochrony i odzyskiwania danych, QRadar Disaster Recovery może przesłać dane, takie jak przepływy i zdarzenia, na żywo z pierwotnego systemu QRadar do wtórnego systemu równoległego zlokalizowanego w oddzielnym obiekcie.

Podsumowanie

IBM Security QRadar to wiodące na rynku rozwiązanie SIEM. Stosuje zautomatyzowaną, inteligentną analizę ogromnej ilości danych bezpieczeństwa, zapewniając analitykom bezpieczeństwa praktyczny wgląd w najbardziej krytyczne zagrożenia. Umożliwia to lepsze i szybsze segregowanie danych oraz podejmowanie decyzje.

To kompleksowe rozwiązanie łączy zarządzanie logami, analizę sieci, zachowań użytkowników i zagrożeń oraz dochodzenia oparte na sztucznej inteligencji w jednym rozwiązaniu. Zintegrowanym z IBM Security SOAR do reagowania na incydenty pozwala na pełną widoczność w środowiskach lokalnych, chmurowych i hybrydowych.