מהו אגם נתוני אבטחה?

ארכיטקטורה של אגם נתונים של אבטחה, כשהיא בנויה היטב, כוללת כמה מאפיינים מרכזיים שפועלים יחד כדי לספק חיפוש מהיר, קורלציה וחקירה של נתוני אבטחה:

• עיבוד: אוספת נתונים באמצעות ממשקי, מחברים וסוכנים ממקורות מגוונים בסביבות ריבוי שירותי ענן וריבוי פלטפורמות, כמו חומות אש, פלטפורמות ענן, ספקי זהות וכלי זיהוי נקודות קצה.
• אחסון: מאחסן נתונים בצורה חסכונית בסביבה מקורית לענן וניתנת להרחבה באמצעות פורמטים פתוחים כגון Delta Parquet, כדי לתמוך בגמישות schema-on-read וביכולת פעולה הדדית.
• עיבוד: תומך במנועי ניתוח מרובים, כולל Spark‏, Kusto Query Language (KQL) ולמידת מכונה, כדי לבצע ניתוחים בזמן אמת ובאצווה בעותק יחיד של הנתונים.
• גישה: מיישם בקרת גישה המבוססת על תפקידים (RBAC), הצפנה ויומני ביקורת כדי לאבטח נתונים רגישים ולתמוך בתאימות.
• ניתוח: מיישם ניתוח התנהגות של AI, משתמשים וישויות (UEBA), ציד איומי סייבר, ולוחות מחוונים מותאמים אישית כדי לחשוף איומים ולהציג מגמות.
• הגנה אג'נטית: מפעילה סוכני בינה מלאכותית ואוטומציה באמצעות ריכוז נתונים מקיפים, היסטוריים ובזמן אמת עבור ניתוחים מתקדמים, זיהוי אנומליות ותגובה אוטונומית לאיומים.

אגם הנתונים של Microsoft Sentinel נועד לעזור למטב את העלויות, לפשט את ניהול הנתונים ולהאיץ את האימוץ של בינה מלאכותית בפעולות אבטחה. כבסיס של פלטפורמת Microsoft Sentinel, היא כוללת ארכיטקטורה מקורית לענן שנבנתה במיוחד עבור אבטחה - תוך איחוד כל נתוני האבטחה לקבלת נראות טובה יותר, ניתוח אבטחה מעמיק יותר ומודעות הקשרית. באמצעות שמירה ארוכת טווח וחסכונית, הוא מאפשר לארגונים לחזק את האבטחה תוך ניהול יעיל של התקציבים שלהם.

מערכות מסורתיות של Security Information and Event Management ‏(SIEM) מתמקדות בהתראות בזמן אמת, בצבירת יומנים ובדוחות תאימות. הן יעילות לזיהוי מיידי של איומים ולתגובה לאירועים, במיוחד בסביבות שבהן נראות מהירה לאיומים פעילים היא קריטית. עם זאת, מערכות SIEM מתקשות לעיתים קרובות בהרחבה, ביעילות עלות ובשמירת נתונים לטווח ארוך. ככל שנפח נתוני האבטחה גדל—במיוחד בסביבות היברידיות ובריבוי שירותי ענן—פלטפורמות SIEM רבות נעשות יקרות לתחזוקה ומוגבלות ביכולת שלהן לתמוך בחקירות פורנזיות מעמיקות או בניתוחים מתקדמים.

אגמי נתונים של אבטחה מציעים גישה גמישה וניתנת יותר להרחבה. הם תומכים בגישה של schema-on-read, בפורמטים פתוחים של נתונים, בחישוב ובאחסון מנותקים. זה הופך אותם לאידיאליים לאחסון ולניתוח של כמויות עצומות של נתוני אבטחה גולמיים, מובנים ולא מובנים. אגמי נתוני אבטחה מתאימים גם לניתוחי אבטחת סייבר מבוססי בינה מלאכותית, לציד איומי סייבר, ולהיערכות לתאימות לטווח ארוך, וכל זאת תוך הפחתת עלות האחסון לכל ג'יגה-בייט.

מתוך זיהוי החוזקות של שתי הגישות, ארגונים רבים מאמצים כיום מודלים היברידיים שמשלבים בין יכולות SIEM ואגם נתונים. בהגדרות האלה, ה- SIEM מטפל בהתראות בזמן אמת ובתהליכי עבודה תפעוליים, בעוד שאגם הנתונים של האבטחה משמש בסיס לניתוח מעמיק, לחקירות היסטוריות ולשמירת נתונים ניתנת להרחבה. האסטרטגיה ההיברידית הזו מאפשרת לצוותי האבטחה להגיב במהירות לאיומים, תוך שמירה על הגמישות לחקור ולנתח נתונים לאורך זמן.

לא כל פלטפורמות הנתונים נבנות עבור אבטחה. הכרת ההבדלים בין אגם נתונים של אבטחה, אגם נתונים כללי ומסד נתונים מסורתי עוזרת לך לבחור את הבסיס הנכון לפעולות האבטחה שלך.

• אגם נתונים כללי: מאחסן את כל סוגי נתוני העסק: מובנים, חצי-מובנים ולא מובנים. פתרון האחסון המרכזי הזה משמש בדרך כלל לניתוח, לדיווח ולמדע נתונים. הוא לא מותאם לצרכים ספציפיים של אבטחה, כמו זיהוי איומים או חקירות פורנזיות.
• אגם נתונים של אבטחה: מיועד במיוחד לאיסוף, נורמליזציה וניתוח של נתונים הקשורים לאבטחה, כמו יומנים, התראות ומדידת שימוש מענן, מסביבות מקומיות ומסביבות היברידיות. בניגוד לאגם נתונים כללי, הוא תומך בזיהוי איומים בזמן אמת, בחקירות לטווח ארוך ובניתוחים מתקדמים המונעים על-ידי AI. הוא גם מציע גמישות schema-on-read, שהיא אידיאלית לתרחישי אבטחה דינמיים ומתפתחים.
• מסד נתונים מסורתי: מותאם לנתונים מובנים ועסקאות, ומוגבל על-ידי סכימות שהוגדרו מראש. למרות שהוא יעיל עבור יישומים עסקיים מובנים, מסד נתונים מסורתי אינו מיועד לטפל בנתוני אבטחה לא מובנים בנפח גבוה או לתמוך בתהליכי עבודה מורכבים של ניתוחים הנדרשים לזיהוי ולחקירה מודרניים של איומי סייבר.

אגמי נתונים לאבטחה ממלאים את הפער בין אגמי נתונים למסדי נתונים על-ידי מתן תשתית גמישה וניתנת להרחבה, המותאמת לאתגרי האבטחה המודרניים, כך שהם מתאימים יותר לארגונים שצריכים לנתח מקורות נתונים מגוונים ולהגיב במהירות לאיומי סייבר.

יישום של שיטות העבודה המומלצות האלה עוזר להגן על המוניטין העסקי, לתמוך בצמיחה ולשמור על תאימות בזמן ניהול אגם נתוני אבטחה. פעולות מומלצות כוללות:

• הצפנת נתונים במנוחה ובמעבר באמצעות פרוטוקולים בתקן התעשייה. כך מבטיחים שגם אם הנתונים יורטו או אם ניגשו אליהם בלי הרשאה, הם יישארו בלתי קריאים ומאובטחים.
• שימוש בבקרות גישה מדויקות כמו RBAC, רשימות בקרת גישה (ACL), ואימות רב-גורמי (MFA). פקדים אלה עוזרים לאכוף גישה פחות מורשית ולהפחית את הסיכונים הפנימיים או חשיפה בשוגג.
• ניטור דפוסי גישה חריגים ושינויים לא מורשים. ניטור רציף עוזר לזהות התנהגות חשודה מוקדם ותומך בתגובה מהירה לאירועים.
• החלת סיווג ותיוג של נתונים כדי לזהות מידע רגיש. תיוג נכון מאפשר הגנה ממוקדת ועוזר לעמוד בדרישות רגולטוריות לטיפול בנתונים אישיים או סודיים.
• מתן רישום ביקורת ובקרת גירסאות. תכונות אלה תומכות בעקיבות ובאחריות, ומקלות על חקירת תקריות ושמירה על שלמות הנתונים.
• גיבוי נתונים באופן קבוע ובדיקה של תהליכי שחזור מאסון. גיבויים מספקים רציפות עסקית במקרה של אובדן נתונים, ובדיקה של תוכניות שחזור מאמתת מוכנות לתרחישים מהעולם האמיתי.

התאמה למסגרות תאימות. הם כוללים את תקן ISO 27001 של הארגון הבין-לאומי לתקינה (ISO), את חוק הניידות והאחריות של ביטוח בריאות (HIPAA), ואת התקנה הכללית להגנה על נתונים (GDPR). עמידה בתקנים מבוססים עוזרת לבנות אמון עם בעלי עניין ולהימנע מקנסות משפטיים או כספיים.

צוותי אבטחה מתקשים לעתים קרובות לקבל תמונה מלאה של הפעילות בסביבות ענן, מקומיות והיברידיות. אגם נתוני אבטחה מרכז נתונים מכל המקורות האלה כדי לספק נראות מאוחדת בכל התשתית. כך אנליסטים יכולים לקשר בין אירועים, לזהות תבניות ולחקור אירועים בצורה יעילה יותר.

אחסון נתוני אבטחה במשך חודשים או שנים יכול להיות יקר עם SIEM מסורתיים. אגמי נתונים של אבטחה משתמשים באחסון בענן ובפורמטים פתוחים כדי להפחית עלויות, וכך הופכים שמירה לטווח ארוך לאפשרית. הדבר שימושי במיוחד עבור חקירות פורנזיות, ביקורות תאימות וניתוח מגמות היסטוריות.

אגמי נתונים של אבטחה תומכים בניתוח מתקדם כדי לזהות חריגות ואיומי סייבר שכלים מסורתיים עלולים להחמיץ. מודלים מותאמים אישית מזהים התנהגות חשודה, הופכים ציד איומי סייבר לאוטומטי, מאיצים תגובה לתקריות ומחזקים מצב אבטחת הסייבר ואת הגנת הנתונים.

מסגרות רגולטוריות כמו GDPR, HIPAA ו- ISO 27001 דורשות מארגונים לשמור ולהגן על נתוני אבטחה. אגם נתוני אבטחה עוזר לעמוד בדרישות האלה על-ידי מתן אחסון מאובטח, ניתן לביקורת ויומני גישה מפורטים, ותומך בשיטות עבודה חזקות של אבטחת נתונים ובתאימות.

האגמים של נתוני האבטחה בנויים לקנה מידה גדול. הם קולטים ומנתחים נתונים ממקורות חדשים בלי צורך לעצב מחדש את הפתרון. הם גם תומכים ב- schema-on-read ומסתגלים לפורמטים משתנים של נתונים ולתרחישי שימוש.

בעת בנייה או תפעול של אגם נתוני אבטחה, ארגונים מתמודדים לעתים קרובות עם אתגרים שדורשים תכנון אסטרטגי, כולל:

• ניהול כמויות גדולות של נתונים גולמיים, מובנים ולא מובנים. אגמי נתונים של אבטחה אוספים נתונים מעשרות מקורות, שיכולים לגדול במהירות לפטה-בייטים. בלי אסטרטגיית מחזור חיים ברורה לנתונים, קל לאבד נראות או להעמיס על כלי ניתוח.
• שליטה בעלויות של אחסון ענן ומחשוב לאורך זמן. שמירה של הכול בלי הגבלת זמן עלולה להיות יקרה. חשוב לאזן בין מדיניות שימור לבין מגבלות תקציב, ולקבל החלטות חכמות לגבי אילו נתונים לשמור ואיך לעבד אותם.
• הבטחת פיקוח תקין, בקרת גישה, וגם תאימות רגולטורית. נתוני אבטחה כוללים לעיתים קרובות מידע רגיש. בלי ניהול תקין ובקרות גישה חזקות, ארגונים מסתכנים בהפרת תקנות פרטיות כמו GDPR או HIPAA.
• מניעת תצורות שגויות וגישה לא מורשית. הרשאות שהוגדרו בצורה שגויה או הגדרות גישה פתוחות עלולות לחשוף נתונים קריטיים. ביקורות תקופתיות ובדיקות אוטומטיות עוזרות להפחית את הסיכוי לחשיפה בשוגג.
• טיפול בפערי מיומנויות בניהול סביבות נתונים פתוחות ובשפות שאילתות כמו KQL ו- Spark. ייתכן שלצוותי אבטחה אין ניסיון מעמיק עם כלי Big Data. הדרכה ותיעוד הם המפתח להבטחת היכולת של אנליסטים להשתמש בפלטפורמה בצורה יעילה.
• התמודדות עם תלות בספק והבטחת תאימות עם כלים קיימים. חלק מהפלטפורמות מקשות על העברת נתונים או על שילוב עם מערכות אחרות. בחירה בפורמטים פתוחים ובארכיטקטורה מודולרית עוזרת להשאיר לארגון אפשרויות פתוחות.

Microsoft מציעה גישה מקיפה לאגמי נתונים של אבטחה על-ידי שילוב שירותים מקוריים בענן, אשר פועלים יחד כדי לתמוך בפעולות אבטחה מדרגיות וחכמות. הליבה היא Microsoft Sentinel, אשר מרחיבה יכולות SIEM מסורתיות עם אגם מאוחד של נתוני אבטחה שנבנה למטרה לצורך ניראות עמוקה, ניתוח מתקדם ופעולות המוכנות לבינה מלאכותית.

Microsoft Sentinel מספקת התראות מהירות, חקירת תקריות ותגובה אוטומטית - ומספקת גם שמירה לטווח ארוך וניתוחים מתקדמים. באמצעות אגם נתוני האבטחה המובנה, ארגונים יכולים לקלוט ולשמור כמויות עצומות של נתוני אבטחה בפורמטים פתוחים כגון Delta Parquet.

צוותי אבטחה יכולים גם להפעיל כמה סוגי ניתוחים על עותק יחיד של נתונים, ובכך לבטל כפילויות ולאפשר מקרי שימוש עוצמתיים כמו ציד איומים לטווח ארוך, יצירת קווי בסיס והעשרת ישויות.

מודל זה עונה על צורכי אבטחה תפעוליים ואסטרטגיים - תוך שילוב יכולת התגובה בזמן אמת של SIEM עם העומק, הגמישות והחסכוניות של אגם נתוני אבטחה מודרני.