Por que as organizações precisam de orquestração de segurança
Os ambientes corporativos estão se tornando cada vez mais complexos. As organizações agora têm uma grande variedade de sistemas espalhados por centros de dados locais e implantação baseada em nuvem. A ascensão do trabalho remoto complica ainda mais a questão, pois os funcionários trabalham em dispositivos pessoais e móveis.
Proteger o ambiente empresarial moderno requer soluções de segurança que possam defender múltiplas plataformas contra uma ampla variedade de vetores de ataque. Na maioria dos casos, as organizações optaram por implementar soluções de segurança independentes para abordar casos de uso específicos.
O problema desta abordagem é que as equipas de segurança ficam sobrecarregadas com um dilúvio de alertas de segurança e lutam para gerir e monitorizar eficazmente as suas complexas arquitecturas de Cibersegurança. A orquestração de segurança ajuda a resolver esse problema, simplificando e automatizando a detecção e resposta a ameaças.
SOAR x SIEM x XDR
Entre as muitas ferramentas diferentes usadas em centros de operações de segurança típicos, três das principais ferramentas usadas são o SIEM e SOAR legados e as ferramentas XDR de tendência recente.
Uma ferramenta de gerenciamento de eventos e informações de segurança (SIEM) combina dados de diferentes fontes e usa análises para detectar as ameaças mais prováveis.
As soluções SOAR são construídas para incorporar muitos módulos, regularmente de diferentes fornecedores. Eles permitem que as empresas racionalizem as operações de segurança em algumas áreas: gerenciamento de ataques, resposta e automação de operações de segurança.
As ferramentas estendidas de detecção e resposta (XDR) assimilam a visibilidade da segurança em toda a organização das empresas, incluindo gateway, endpoint, nuvem, dispositivos móveis e IoT, para identificar ameaças avançadas e distribuídas, aproveitar a análise de dados e a inteligência de ameaça e responder automaticamente a ataques reconhecidos . O XDR cria o contexto e os fluxos para o analista dar suporte à triagem, investigação e correção rápida de incidentes.
Onde o SIEM fica aquém
Apesar dos vários benefícios, os SIEMs não são soluções ideais para os desafios que os analistas de centros de operações de segurança (SOC) enfrentam. Algumas das limitações mais importantes dos SIEMs incluem gastar muito tempo configurando e integrando uma solução SIEM com a arquitetura de segurança atual. Os recursos de detecção de ameaças são principalmente baseados em regras, faltando novos ataques ou aqueles que não seguem um padrão estabelecido. Além disso, os alertas são gerados com base nos dados agregados de várias soluções de uma organização. No entanto, a validação não é realizada, criando detecções de falsos positivos.
A principal desvantagem de um SIEM é a sua falta de capacidade de fazer a “história de ataque” completa e visualizá-la de uma forma acionável para o analista. Em vez disso, os logs estão apenas sendo correlacionados, cabendo ao analista determinar por que os eventos foram correlacionados e o que aconteceu.
Os benefícios e limitações do SOAR
As soluções SOAR são projetadas para integrar vários componentes de segurança, geralmente de diferentes fornecedores. Uma pilha de ferramentas de segurança compatíveis permite que as empresas coletem dados sobre ataques e respondam a eles sem intervenção humana. O principal objetivo da ferramenta SOAR é aumentar a eficácia das operações de segurança. Os principais mecanismos das ferramentas SOAR são orquestração, automação e resposta de segurança.
Independentemente de seus benefícios, as ferramentas SOAR não possuem API disponível e apresentam alguns problemas de unificação de dados e um fluxo de trabalho desvinculado da ação de detecção. SOAR recebe entradas de vários dispositivos, mas não possui o ponto de aplicação – um endpoint, gateway, solução de e-mail, etc. Além disso, os usuários testemunham que é necessário um trabalho sério para atingir todo o potencial do SOAR em muitos fornecedores.
Fazendo a mudança para XDR
Para organizações de médio porte, o XDR oferece uma alternativa à cara e complicada pilha SIEM/SOAR usada por grandes empresas. O XDR está bem posicionado como uma alternativa às soluções limitadas disponíveis atualmente.
Para essas organizações que buscam uma abordagem prática, o XDR é uma plataforma única que pode fazer tudo: começando com uma abordagem de prevenção, detecção, investigação, caça a ameaças, resposta e remediação.
Para organizações maduras com soluções de segurança de vários fornecedores, incluindo SIEM, etc., o XDR fornecerá API para usar seus recursos e benefícios além da pilha existente. Uma solução SOAR pode funcionar para organizações mais proeminentes se elas tiverem recursos para integração, desenvolvimento de manuais, etc.
Implantando operações de segurança com Check Point
With Check point’s Infinity XDR/XPR you will be able to use a single application across all vectors to maximize ROI and operational efficiency. It allows you to use a single SaaS solution to detect, investigate, hunt, respond to attacks across all threat vectors, and leverage your existing Check Point security stack by reusing the infrastructure for detection and response.
Também é simples de integrar, pois se integra ao seu ecossistema atual, incluindo qualquer plataforma SIEM/SOAR. As soluções Check Point Security Operations oferecem um conjunto de API para clientes SIEM e SOAR. Além disso, manuais automatizados são fornecidos para otimizar e acelerar a resposta a incidentes e aplicar remediação eficaz com um único clique, integrados às principais plataformas SOAR para um fluxo de processo suave de ponta a ponta.
Opinião