Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Команды центра управления безопасностью (SOC) используют централизованное управление информационной безопасностью и событиями безопасности (SIEM) и решения для оркестрации безопасности, автоматизации и реагирования (SOAR) для защиты своих все более децентрализованных цифровых активов. Хотя устаревшие SIEM могут поддерживать хороший охват локальных ресурсов, локальные архитектуры могут иметь недостаточный охват облачных ресурсов, таких как Azure, Microsoft 365, AWS или Google Cloud Platform (GCP). В отличие от этого, Microsoft Sentinel может принимать данные как из локальных, так и из облачных ресурсов, обеспечивая охват всей недвижимости.
В этой статье рассматриваются причины миграции из устаревшей SIEM и описывается планирование различных этапов миграции.
Процесс миграции Microsoft Sentinel
В этом руководстве описано, как перенести устаревшую версию SIEM в Microsoft Sentinel. Изучите процесс миграции с помощью этой серии статей, из которой вы узнаете, как ориентироваться на разных этапах процесса.
Примечание.
Для интерактивного процесса миграции присоединитесь к программе миграции и модернизации Microsoft Sentinel. Программа позволяет упростить и ускорить миграцию, включая рекомендации, ресурсы и помощь экспертов на каждом этапе. Чтобы узнать больше, обратитесь к команде по учетным записям.
Что такое Microsoft Sentinel?
Microsoft Sentinel — это масштабируемое облачное решение для управления информационной безопасностью и событиями безопасности (SIEM) и оркестрации, автоматизации и реагирования (SOAR). Microsoft Sentinel предоставляет интеллектуальную аналитику безопасности и аналитику угроз на предприятии. Microsoft Sentinel предоставляет единое решение для обнаружения атак, видимости угроз, упреждающей охоты и реагирования на угрозы. Дополнительные сведения о Microsoft Sentinel.
Зачем переходить из устаревшей SIEM?
Команды SOC сталкиваются с рядом проблем при управлении устаревшей SIEM:
- Медленное реагирование на угрозы. Устаревшие SIEM используют правила корреляции, которые трудно поддерживать и неэффективны для выявления новых угроз. Кроме того, аналитики SOC сталкиваются с большим количеством ложных срабатываний, множеством оповещений от различных компонентов безопасности и все большим объемом журналов. Анализ этих данных замедляет работу команд SOC по реагированию на критические угрозы в среде.
- Проблемы масштабирования. По мере роста скорости приема данных команды SOC сталкиваются с проблемой масштабирования SIEM. Вместо того чтобы сосредоточиться на защите организации, команды SOC должны инвестировать в настройку и обслуживание инфраструктуры и связаны ограничениями хранилища или запросов.
- Ручной анализ и ответ. Командам SOC требуются высококвалифицированные аналитики для обработки больших объемов оповещений вручную. Команды SOC перегружены, и новых аналитиков трудно найти.
- Сложное и неэффективное управление. Команды SOC обычно контролируют оркестрацию и инфраструктуру, управляют подключениями между SIEM и различными источниками данных, а также выполняют обновления и исправления. Эти задачи часто выполняются в ущерб критически важной сортировке и анализу.
Эти проблемы решает облачная система SIEM. Microsoft Sentinel собирает данные автоматически и в большом масштабе, обнаруживает неизвестные угрозы, исследует угрозы с помощью искусственного интеллекта и быстро реагирует на инциденты с помощью встроенной автоматизации.
Планирование миграции
На этапе планирования вы определяете существующие компоненты SIEM, существующие процессы SOC, а также разрабатываете и планируете новые варианты использования. Тщательное планирование позволяет обеспечить защиту облачных ресурсов (Microsoft Azure, AWS или GCP), а также решений SaaS, таких как Microsoft Office 365.
На этой схеме описываются высокоуровневые этапы, которые включают в себя типичные этапы миграции. Каждый этап включает в себя четкие цели, ключевые действия, а также определенные результаты и конечные результаты.
Этапы на этой схеме являются руководством по выполнению типичной процедуры миграции. Фактическая миграция может не включать некоторые этапы или включать в себя несколько этапов. Вместо рассмотрения всего набора этапов задачи и этапы миграции Microsoft Sentinel описывают конкретные задачи и этапы, которые особенно важны при миграции в Microsoft Sentinel.
Рекомендации по планированию миграции
Ознакомьтесь с этими ключевыми рекомендациями для каждого этапа.
| Этап | Соображение |
|---|---|
| Обнаружение | Определите варианты использования и приоритеты миграции в рамках этого этапа. |
| Проектирование | Определите подробный проект и архитектуру для реализации Microsoft Sentinel. Эти сведения используются для получения одобрения от соответствующих заинтересованных лиц перед началом этапа реализации. |
| Реализовать | При внедрении компонентов Microsoft Sentinel в соответствии с этапом проектирования, прежде чем переносить всю инфраструктуру, оцените, можно ли использовать готовый контент Microsoft Sentinel вместо миграции всех компонентов. Вы можете начать использовать Microsoft Sentinel постепенно, начиная с минимально жизнеспособного продукта (MVP) для нескольких вариантов использования. По мере добавления дополнительных вариантов использования этот экземпляр Microsoft Sentinel можно использовать в качестве среды пользовательского приемочного тестирования (UAT) для проверки вариантов использования. |
| Ввод в эксплуатацию | Вы переносите контент и процессы SOC, чтобы не нарушить текущий рабочий процесс аналитиков. |
Определение приоритетов миграции
Используйте следующие вопросы, чтобы определить приоритеты миграции:
- Какие наиболее важные компоненты инфраструктуры, системы, приложения и данные в вашем бизнесе?
- Кто является заинтересованными лицами в миграции? Миграция SIEM, скорее всего, затрагивает многие области вашего бизнеса.
- Что определяет ваши приоритеты? Например, наибольший бизнес-риск, требования к соответствию, бизнес-приоритеты и т. д.
- Каков масштаб и временная шкала миграции? Какие факторы влияют на даты и сроки. Переносите ли вы всю устаревшую систему?
- У вас есть необходимые навыки? Обучены ли сотрудники службы безопасности и готовы ли к миграции?
- Есть ли определенные блокировщики в вашей организации? Влияют ли какие-либо проблемы на планирование и составление графика миграции? Например, такие вопросы, как требования к укомплектованию штата и обучению, сроки действия лицензий, жесткие ограничения, конкретные бизнес-потребности и т. д.
Перед началом миграции определите ключевые варианты использования, правила обнаружения, данные и автоматизацию в текущем SIEM. Подойти к миграции как к постепенному процессу. Осознанно и вдумчиво подходите к тому, что следует переносить в первую очередь, что можно отложить на потом, а что на самом деле вообще не нужно переносить. В вашей команде может быть подавляющее число обнаружений и вариантов использования, выполняемых в текущей SIEM. Перед началом миграции определите, какие из них активно полезны для вашего бизнеса.
Определение вариантов использования
При планировании этапа обнаружения используйте следующие рекомендации, чтобы определить варианты использования.
- Определите и проанализируйте текущие варианты использования по угрозам, операционной системе, продукту и т. д.
- Каков охват? Вы хотите перенести все варианты использования или использовать некоторые критерии определения приоритетов?
- Определите, какие ресурсы безопасности наиболее важны для миграции.
- Какие варианты использования являются эффективными? Хорошей отправной точкой является определение того, какие обнаружения дали результаты в течение последнего года (ложноположительные и положительные показатели).
- Какие бизнес-приоритеты влияют на миграцию вариантов использования? Каковы самые большие риски для вашего бизнеса? Какие типы проблем подвергают ваш бизнес наибольшему риску?
- Определение приоритета по характеристикам вариантов использования.
- Рассмотрите возможность установки более низких и более высоких приоритетов. Рекомендуется сосредоточиться на обнаружении, которое обеспечит 90-процентный истинно положительный результат в каналах оповещений. Варианты использования, которые вызывают высокую частоту ложноположительных результатов, могут быть более низким приоритетом для вашего бизнеса.
- Выберите варианты использования, которые оправдывают миграцию правил с точки зрения приоритета бизнеса и эффективности:
- Проверьте правила, которые не активировали оповещения за последние 6–12 месяцев.
- Устранение низкоуровневых угроз или оповещений, которые обычно игнорируется.
- Подготовьте процесс проверки. Определите тестовые сценарии и создайте тестовый скрипт.
- Можно ли применить методологию для определения приоритетов вариантов использования? Вы можете следовать такой методологии, как MoSCoW, чтобы определить приоритеты в более экономичном наборе вариантов использования для миграции.
Следующее действие
Из этой статьи вы узнали, как спланировать миграцию и подготовиться к ней.