Souběžné nasazování Microsoft Sentinel do existujícího SIEM

Váš tým bezpečnostního operačního centra (SOC) využívá centralizovaná řešení pro správu bezpečnostních informací a událostí (SIEM) a pro orchestraci, automatizaci a reakce na bezpečnostní incidenty (SOAR) k ochraně vašeho stále decentralizovanějšího digitálního prostředí.

Tento článek popisuje přístup a metody, které je potřeba zvážit při nasazování Microsoft Sentinel v souběžné konfiguraci společně s existujícím systémem SIEM.

Souběžný přístup

Používejte souběžnou architekturu buď jako krátkodobou přechodovou fázi, která vede k siem hostovanému v cloudu, nebo jako středně až dlouhodobý provozní model v závislosti na potřebách SIEM vaší organizace.

I když je například doporučenou architekturou používat souběžnou architekturu tak dlouho, aby se migrace na Microsoft Sentinel dokončila, může vaše organizace chtít zůstat u vaší souběžné konfigurace delší dobu, například pokud nejste připraveni přejít ze starší verze SIEM. Organizace, které používají dlouhodobou souběžnou konfiguraci, obvykle používají Microsoft Sentinel k analýze pouze svých cloudových dat. Mnoho organizací se kvůli nákladům a složitosti vyhýbá spouštění několika místních analytických řešení.

Microsoft Sentinel nabízí cenový model průběžného účtování a flexibilní infrastrukturu, takže týmy SOC mají čas, aby se této změně přizpůsobily. Nasaďte a otestujte obsah tempem, které nejlépe vyhovuje vaší organizaci, a zjistěte, jak plně migrovat na Microsoft Sentinel.

Při rozhodování, který přístup použít, zvažte klady a zápory.

Krátkodobý přístup

Následující tabulka popisuje výhody a nevýhody použití souběžné architektury po relativně krátkou dobu.

Profesionály Nevýhody
• Poskytuje zaměstnancům SOC čas na přizpůsobení se novým procesům při nasazování úloh a analýz.

• Získá hlubokou korelaci napříč všemi zdroji dat pro scénáře proaktivního vyhledávání.

• Eliminuje nutnost provádět analýzy mezi siemi, vytvářet pravidla předávání a provádět důkladné šetření na dvou místech.

• Umožňuje týmu SOC rychle downgradovat starší řešení SIEM a eliminovat tak náklady na infrastrukturu a licencování.		 • Může vyžadovat strmé učení pro zaměstnance SOC.

Střednědobý až dlouhodobý přístup

Následující tabulka popisuje výhody a nevýhody použití souběžné architektury po relativně střední nebo delší dobu.

Profesionály Nevýhody
• Umožňuje používat klíčové Microsoft Sentinel výhody, jako jsou AI, ML a možnosti šetření, aniž byste se úplně vzdálili od starší verze SIEM.

• Díky analýze cloudových dat nebo dat Microsoftu v Microsoft Sentinel šetří peníze oproti starší verzi SIEM.		 • Zvyšuje složitost oddělením analýz napříč různými databázemi.

• Odděluje správu případů a vyšetřování incidentů napříč více prostředími.

• Náklady na zaměstnance a infrastrukturu jsou vyšší.

• Vyžaduje, aby pracovníci SOC měli znalosti o dvou různých řešeních SIEM.

Souběžná metoda

Určete, jak budete konfigurovat a používat Microsoft Sentinel souběžně se starší verzí SIEM.

Odesílejte upozornění nebo indikátory neobvyklé aktivity ze starší verze SIEM do Microsoft Sentinel.

  • Příjem a analýza cloudových dat v Microsoft Sentinel
  • Pomocí starší verze SIEM můžete analyzovat místní data a generovat výstrahy.
  • Přeposílejte výstrahy z místního SIEM do Microsoft Sentinel, abyste vytvořili jedno rozhraní.

Můžete například předávat výstrahy pomocí logstash, rozhraní API nebo Syslogu a ukládat je ve formátu JSON v pracovním prostoru služby Microsoft Sentinel služby Log Analytics.

Odesláním upozornění ze starší verze SIEM do Microsoft Sentinel může váš tým tyto výstrahy křížově korelovat a zkoumat v Microsoft Sentinel. V případě potřeby má tým stále přístup ke starší verzi SIEM a může ho důkladněji prozkoumat. Mezitím můžete pokračovat v nasazování zdrojů dat během delšího přechodného období.

Tato doporučená metoda souběžného nasazení poskytuje plnou hodnotu Microsoft Sentinel a možnost nasazovat zdroje dat tempem, které je pro vaši organizaci nejvhodnější. Tento přístup zabraňuje duplikování nákladů na ukládání a příjem dat při přesunu zdrojů dat.

Další informace najdete tady:

Pokud chcete plně migrovat na Microsoft Sentinel, projděte si průvodce úplnou migrací.

Metoda 2: Odesílání výstrah a obohacených incidentů z Microsoft Sentinel do starší verze SIEM

Analyzujte některá data v Microsoft Sentinel, například cloudová data, a pak vygenerovaná upozornění odešlete do starší verze SIEM. Použijte stávající SIEM jako jediné rozhraní k provádění křížové korelace s výstrahami, které vygeneroval Microsoft Sentinel. I tak můžete použít Microsoft Sentinel k hlubšímu zkoumání výstrah generovaných Microsoft Sentinel.

Tato konfigurace je nákladově efektivní, protože analýzu cloudových dat můžete přesunout do Microsoft Sentinel, aniž byste museli duplikovat náklady nebo platit za data dvakrát. Pořád máte svobodu migrovat vlastním tempem. Jak budete dál přesouvat zdroje dat a detekce na Microsoft Sentinel, bude migrace na Microsoft Sentinel jako primární rozhraní jednodušší. Jednoduché přeposílání obohacených incidentů do starší verze SIEM ale omezuje hodnotu, kterou získáte z možností prošetřování, proaktivního vyhledávání a automatizace Microsoft Sentinel.

Další informace najdete tady:

Jiné metody

Následující tabulka popisuje souběžné konfigurace, které se nedoporučují , s podrobnostmi o důvodech:

Metoda Popis
Odeslání protokolů Microsoft Sentinel do starší verze SIEM S touto metodou budete i nadále čelit problémům s náklady a škálováním vašeho místního SIEM.

V Microsoft Sentinel budete platit za ingestaci dat a zároveň ponesete náklady na úložiště ve vašem stávajícím systému SIEM a nebudete moct využívat detekce a analýzy SIEM a SOAR v Microsoft Sentinel, analýzu chování uživatelů a entit (UEBA), AI ani nástroje pro vyšetřování a automatizaci.
Odesílání protokolů ze starší verze SIEM do Microsoft Sentinel I když tato metoda poskytuje všechny funkce Microsoft Sentinel, vaše organizace stále platí za dva různé zdroje příjmu dat. Kromě zvýšení složitosti architektury může tento model vést i k vyšším nákladům.
Použití Microsoft Sentinel a starší verze SIEM jako dvou zcela samostatných řešení Microsoft Sentinel můžete použít k analýze některých zdrojů dat, jako jsou cloudová data, a dál používat místní SIEM pro jiné zdroje. Toto nastavení umožňuje jasné hranice, kdy použít jednotlivá řešení, a zabraňuje duplikaci nákladů.

Křížová korelace se ale stává obtížnou a není možné plně diagnostikovat útoky, které překračují obě sady zdrojů dat. V dnešním prostředí, kde se hrozby často přesouvají napříč organizací, můžou takové nedostatky v viditelnosti představovat významná bezpečnostní rizika.

Zjednodušení procesů pomocí automatizace

Pomocí automatizovaných pracovních postupů můžete seskupit výstrahy a určit jejich prioritu do běžného incidentu a upravit jejich prioritu.

Další informace najdete tady:

Související obsah

Prozkoumejte Microsoft Sentinel prostředky Microsoftu, které vám pomůžou rozšířit své dovednosti a využít Microsoft Sentinel na maximum.

Zvažte zvýšení ochrany před hrozbami pomocí Microsoft Sentinel společně s Microsoft Defender XDR a Microsoft Defender pro cloud prointegrovanou ochranu před hrozbami. Využijte šířku přehledu, který Microsoft Sentinel přináší, a ponořte se hlouběji do podrobné analýzy hrozeb.

Další informace najdete tady:

  • Poslední aktualizace v