Mikä tietoturvan Data Lake -tallennustilaratkaisu on?

Hyvin jäsennelty tietoturvan Data Lake -arkkitehtuuri koostuu useista keskeisistä ominaisuuksista, jotka toimivat yhdessä ja mahdollistavat suojaustietojen nopean haun, korrelaation ja tutkinnan:

• Sisäänotto: Kerää tietoja ohjelmointirajapintojen, liittimien ja agenttien avulla eri lähteistä monen pilven ja usean alustan ympäristöistä, kuten palomuureista, pilvialustoista, tunnistetietojen tarjoajilta ja päätelaitteiden tunnistustyökaluista.
• Tallennus: Tallentaa tietoja kustannustehokkaasti pilvipohjaisessa ja skaalautuvassa ympäristössä käyttäen avoimia muotoja, kuten Delta Parquetia, jotka tukevat schema-on-read-joustavuutta ja yhteentoimivuutta.
• Käsittely: Tukee useita analytiikkamoottoreita, kuten Sparkia, Kusto Query Languagea (KQL) ja koneoppimista, jotta sekä reaaliaikainen että erän analytiikka voidaan tehdä yhdestä tietokopiosta.
• Käyttö: Toteuttaa roolipohjaisen käytön hallinnan (RBAC), salauksen ja valvontalokit arkaluonteisten tietojen suojaamiseksi ja vaatimustenmukaisuuden noudattamiseksi.
• Analytiikka: Käyttää tekoälyn, käyttäjien ja laitteiden toiminnan analysointia (UEBA), kyberuhkien etsintää ja mukautettuja koontinäyttöjä uhkien paljastamiseksi ja trendien visualisoimiseksi.
• Agenttipohjainen puolustus: Mahdollistaa tekoälyagenttien ja automaation käytön keskittämällä kattavat, historialliset ja reaaliaikaiset tiedot kehittynyttä analytiikkaa, poikkeamien tunnistamista ja autonomista uhkiin reagointia varten.

Microsoft Sentinel Data Lake on suunniteltu auttamaan kustannusten optimoinnissa, tietojen hallinnan yksinkertaistamisessa ja tekoälyn käyttöönoton nopeuttamisessa SecOpsissa. Microsoft Sentinel -alustan perustana on pilvipohjainen arkkitehtuuri, ja se on suunniteltu tietoturvaa varten. Se yhdistää kaikki suojaustiedot näkyvyyden, syvemmän suojausanalyysin ja tilannekohtaisen tietoisuuden varmistamiseksi. Tarjoamalla edullisen ja pitkän aikavälin säilytyksen se antaa organisaatioille mahdollisuuden vahvistaa suojausta ja hallita budjettejaan tehokkaasti.

Perinteiset SIEM-järjestelmät keskittyvät reaaliaikaiseen hälytykseen, lokien kokoamiseen ja vaatimustenmukaisuusraportointiin. Ne ovat tehokkaita uhkien välittömään havaitsemiseen ja tapausten käsittelyyn erityisesti ympäristöissä, joissa nopea näkyvyys aktiivisiin uhkiin on erittäin tärkeää. SIEM-järjestelmillä on kuitenkin usein vaikeuksia skaalattavuuden, kustannustehokkuuden ja pitkän aikavälin tietojen säilyttämisen kanssa. Kun suojaustiedon määrä kasvaa, erityisesti hybridi- ja monipilviympäristöissä, monet SIEM-alustat muuttuvat kalliiksi ylläpitää, ja niiden kyky tukea syviä tutkimuksia tai kehittynyttä analytiikkaa heikkenee.

Tietoturvan Data Lake -tallennustilat tarjoavat joustavamman ja skaalautuvamman lähestymistavan. Ne tukevat schema-on-read-käyttöä, avoimia tietomuotoja sekä käsittelyn ja tallennuksen erottamista toisistaan. Tämän ansiosta ne sopivat erinomaisesti valtavien määrien raakadatan sekä jäsennellyn ja jäsentämättömän tietoturvadatan tallentamiseen ja analysointiin. Tietoturvan Data Lake -tallennustilat soveltuvat myös hyvin tekoälypohjaiseen kyberturvallisuusanalytiikkaan, kyberuhkien etsintään ja pitkäaikaiseen vaatimustenmukaisuuden varautumiseen, samalla kun tallennuksen kustannus gigatavua kohti pienenee.

Kun molempien lähestymistapojen vahvuudet tunnistetaan, monet organisaatiot ottavat nyt käyttöön hybridimalleja, joissa SIEM:n ja Data Lake -tallennustilan ominaisuudet yhdistyvät. Näissä ratkaisuissa SIEM hoitaa reaaliaikaisen hälytyksen ja toiminnalliset työnkulut, kun taas tietoturvan Data Lake -tallennustila toimii syvän analytiikan, historiallisten tutkimusten ja skaalautuvan tietojen säilytyksen perustana. Tämä hybridistrategia antaa suojaustiimeille mahdollisuuden reagoida uhkiin nopeasti ja säilyttää samalla joustavuuden tietojen tutkimiseen ja analysointiin ajan kuluessa.

Kaikkia tietoympäristöjä ei ole suunniteltu tietoturvaa varten. Kun tunnet erot tietoturvan Data Lake -tallennustilan, yleiskäyttöisen Data Lake -tallennustilan ja perinteisen tietokannan välillä, voit valita oikean perustan suojaustoimille.

• Yleiskäyttöinen Data Lake -tallennustila: Tallentaa kaikenlaisia liiketoimintatietoja – jäsenneltyjä, puolijäsenneltyjä ja jäsentämättömiä. Tätä keskitettyä tallennustilaratkaisua käytetään yleensä analytiikkaan, raportointiin ja datatieteeseen. Sitä ei ole optimoitu tietoturvan tarpeisiin, kuten uhkien tunnistukseen tai tietoturvatutkimuksiin.
• Tietoturvan Data Lake -tallennustila: Suunniteltu erityisesti suojaustietoon liittyvien tietojen, kuten lokien, hälytysten ja telemetrian, keräämiseen, normalisointiin ja analysointiin paikallisista ympäristöistä sekä pilvi- ja hybridiympäristöistä. Toisin kuin yleiskäyttöinen Data Lake -tallennustila, se tukee reaaliaikaista uhkien tunnistusta, pitkäaikaisia tutkimuksia ja tekoälyn mahdollistamaa kehittynyttä analysointia. Se tarjoaa myös schema-on-read-joustavuutta, joka sopii hyvin dynaamisiin ja kehittyviin tietoturvan käyttötapauksiin.
• Perinteinen tietokanta: On optimoitu jäsennetyille ja tapahtumapohjaisille tiedoille, ja sitä rajoittavat ennalta määritetyt rakenteet. Vaikka perinteinen tietokanta toimii hyvin jäsenneltyihin liiketoimintasovelluksiin, sitä ei ole suunniteltu käsittelemään suuria määriä jäsentymätöntä suojaustietoa tai tukemaan monimutkaisia analytiikkatyönkulkuja, joita tarvitaan nykyisessä kyberuhkien tunnistamisessa ja tutkinnassa.

Tietoturvan Data Lake -tallennustilat täyttävät Data Lake -tallennustilojen ja tietokantojen välisen aukon tarjoamalla skaalautuvan ja joustavan infrastruktuurin, joka on suunniteltu nykyisiin tietoturvahaasteisiin. Siksi ne sopivat paremmin organisaatioille, joiden pitää analysoida monenlaisia tietolähteitä ja reagoida nopeasti kyberuhkiin.

Näiden parhaiden käytäntöjen noudattaminen auttaa suojaamaan liiketoiminnan mainetta, tukee kasvua ja auttaa säilyttämään vaatimustenmukaisuuden tietoturvan Data Lake -tallennustilaa hallittaessa. Suositeltuja toimintoja ovat esimerkiksi seuraavat:

• Tietojen salaaminen levossa ja siirron aikana alan standardien mukaisilla protokollilla. Näin varmistetaan, että vaikka tiedot siepattaisiin tai niitä käytettäisiin ilman valtuutusta, ne pysyvät lukukelvottomina ja suojattuina.
• Hienosäädettävän käyttöoikeuksien hallinnan käyttäminen , kuten RBAC, käyttöoikeusluettelot (ACL) ja monimenetelmäinen todentaminen (MFA). Nämä hallintamenetelmät auttavat toteuttamaan vähimpien käyttöoikeuksien periaatetta ja vähentämään sisäisten käyttäjien uhkia tai tahattoman altistumisen riskiä.
• Epätavallisten käyttömallien ja luvattomien muutosten valvonta. Jatkuva seuranta auttaa havaitsemaan epäilyttävän toiminnan varhain ja tukee nopeaa poikkeamien käsittelyä.
• Tietojen luokittelu ja tunnisteiden lisääminen arkaluonteisen tiedon tunnistamiseksi. Oikea merkitseminen mahdollistaa kohdennetun suojauksen ja auttaa täyttämään henkilötietojen tai luottamuksellisten tietojen käsittelyä koskevat sääntelyvaatimukset.
• Tarjoaa lokitietojen tallennuksen ja versionhallinnan. Nämä ominaisuudet tukevat jäljitettävyyttä ja vastuullisuutta, mikä helpottaa tapausten tutkimista ja tietojen eheyden säilyttämistä.
• Tietojen säännöllinen varmuuskopiointi ja järjestelmäpalautusprosessien testaaminen. Varmuuskopiot tukevat liiketoiminnan jatkuvuutta tietojen menetyksen sattuessa, ja palautussuunnitelmien testaaminen vahvistaa valmiuden todellisiin tilanteisiin.

Yhteensopivuus vaatimustenmukaisuuskehysten kanssa. Näitä ovat esimerkiksi International Organization for Standardization (ISO) 27001, Health Insurance Portability and Accountability Act (HIPAA) ja yleinen tietosuoja-asetus (GDPR). Vakiintuneiden standardien noudattaminen auttaa rakentamaan luottamusta sidosryhmien kanssa ja välttämään oikeudellisia tai taloudellisia seuraamuksia.

Tietoturvatiimien on usein vaikea saada kokonaiskuvaa toiminnasta pilvipalveluissa, paikallisissa ympäristöissä ja yhdistelmäympäristöissä. Tietoturvan Data Lake -tallennustila kokoaa tiedot kaikista näistä lähteistä, jolloin näkyvyys koko infrastruktuurissa on yhtenäinen. Tämä auttaa analyytikoita korreloimaan tapahtumia, havaitsemaan malleja ja tutkimaan tapauksia tehokkaammin.

Suojaustietojen tallentaminen kuukausiksi tai vuosiksi voi olla kallista perinteisissä SIEM-ratkaisuissa. Tietoturvan Data Lake -tallennustilat hyödyntävät pilvipohjaista tallennusta ja avoimia tiedostomuotoja, mikä vähentää kustannuksia ja tekee pitkäaikaisesta säilytyksestä mahdollista. Tästä on hyötyä erityisesti tietoturvatutkimuksissa, vaatimustenmukaisuustarkastuksissa ja historiallisessa trendianalyysissa.

Tietoturvan Data Lake -tallennustilat tukevat kehittynyttä analytiikkaa, jonka avulla voidaan havaita poikkeamia ja kyberuhkia, joita perinteiset työkalut eivät ehkä havaitse. Mukautetut mallit tunnistavat epäilyttävän toiminnan, automatisoivat kyberuhkien torjunnan, nopeuttavat tapauksiin reagoimista ja vahvistavat kyberturvallisuuden suojaustasoa ja tietosuojaa.

GDPR:n, HIPAA:n ja ISO 27001:n kaltaiset sääntelykehykset edellyttävät, että organisaatiot säilyttävät ja suojaavat turvallisuustietoja. Tietoturvan Data Lake -tallennustila auttaa täyttämään nämä vaatimukset tarjoamalla turvallisen, valvottavan tallennustilan ja yksityiskohtaiset käyttöoikeuslokit, jotka tukevat vahvoja tietosuojan käytäntöjä ja vaatimustenmukaisuutta.

Tietoturvan Data Lake -tallennustilat on rakennettu skaalautumaan. Ne ottavat sisään ja analysoivat tietoja uusista lähteistä ilman, että ratkaisua täytyy suunnitella uudelleen. Ne tukevat myös schema-on-read-toimintamallia ja mukautuvat muuttuviin tiedostomuotoihin ja käyttötapauksiin.

Kun tietoturvan Data Lake -tallennustiloja rakennetaan tai käytetään, organisaatiot kohtaavat usein haasteita, jotka edellyttävät strategista suunnittelua. Näitä ovat muun muassa seuraavat:

• Suuren raakadatamäärän sekä jäsennetyn ja jäsentämättömän datamäärän hallinta. Tietoturvan Data Lake -tallennustilat keräävät dataa kymmenistä lähteistä, ja määrä voi kasvaa nopeasti petatavuiksi. Ilman selkeää tietojen elinkaaristrategiaa näkyvyys voi helposti kadota tai analytiikkatyökalut voivat ylikuormittua.
• Pilvitallennustilan ja laskentakustannusten hallinta ajan myötä. Kaiken säilyttäminen loputtomiin voi tulla kalliiksi. Säilytyskäytäntöjen ja budjettirajoitusten välillä on tärkeää löytää tasapaino sekä tehdä fiksuja päätöksiä siitä, mitä tietoja säilytetään ja miten niitä käsitellään.
• Asianmukaisen hallinnan, käyttöoikeuksien hallinta käyttöoikeuksien hallinnan ja säädösten noudattamisen varmistaminen. Tietoturvatietoihin sisältyy usein arkaluonteisia tietoja. Ilman vahvaa hallintaa ja käyttöoikeuksien hallintaa organisaatiot voivat rikkoa yksityisyydensuojaa koskevia säädöksiä, kuten GDPR:ää tai HIPAA:ta.
• Väärien määritysten ja luvattoman käytön estäminen. Virheellisesti määritetyt käyttöoikeudet tai avoimet käyttöasetukset voivat paljastaa kriittisiä tietoja. Säännölliset tarkastukset ja automaattiset tarkistukset auttavat pienentämään vahingossa tapahtuvan paljastumisen riskiä.
• Osaamisvajeiden korjaaminen avoimien tietoympäristöjen ja kyselykielten, kuten KQL:n ja Sparkin, hallinnassa. Tietoturvatiimeillä ei välttämättä ole syvällistä kokemusta massadatatyökaluista. Koulutus ja dokumentaatio ovat avainasemassa, jotta analyytikot voivat käyttää alustaa tehokkaasti.
• Toimittajariippuvuuden hallinta ja yhteentoimivuuden varmistaminen nykyisten työkalujen kanssa. Joissain alustoissa tietojen siirtäminen tai integrointi muihin järjestelmiin on vaikeaa. Avoimien formaattien ja modulaarisen arkkitehtuurin valitseminen auttaa pitämään organisaation vaihtoehdot avoimina.

Microsoft tarjoaa kattavan lähestymistavan tietoturvan Data Lake -tallennustiloihin integroimalla pilvipohjaisia palveluja, jotka toimivat yhdessä ja tukevat skaalautuvia ja älykkäitä tietoturvatoimintoja. Ytimenä on Microsoft Sentinel, joka laajentaa perinteisiä SIEM-ominaisuuksia yhtenäisellä, tarkoitukseen rakennetulla tietoturvan Data Lake -tallennustilalla, joka tarjoaa kattavan näkyvyyden, kehittyneen analytiikan ja tekoälyvalmiit toiminnot.

Microsoft Sentinel tarjoaa nopeita hälytyksiä, tapaustutkimuksia ja automaattisia vastauksia sekä pitkän aikavälin säilytyksen ja kehittyneen analytiikan. Sisäänrakennetun tietoturvan Data Lake -tallennustilan avulla organisaatiot voivat ottaa vastaan ja säilyttää valtavia määriä tietoturvatietoja avoimissa formaateissa, kuten Delta Parquetissa.

Tietoturvatiimit voivat myös suorittaa useita analytiikan muotoja yhdestä tietokopiosta, mikä poistaa päällekkäisyyksiä ja mahdollistaa tehokkaita käyttötapauksia, kuten pitkäaikaisen uhkien metsästyksen, perustason määrittämisen ja kohteiden rikastamisen.

Tämä malli vastaa sekä operatiivisiin että strategisiin tietoturvatarpeisiin yhdistäen SIEM:n reaaliaikaisen reagointikyvyn sekä modernin tietoturvan Data Lake -tallennustilan syvyyden, joustavuuden ja kustannustehokkuuden.