Saugos duomenų telkiniai padeda organizacijoms valdyti, analizuoti ir panaudoti vis didėjančius saugos duomenų kiekius. Jie suteikia keičiamo dydžio, rentabilius sprendimus, padedančius gauti gilesnių įžvalgų, atlikti pažangią analizę, užtikrinti atitiktį ir ilgalaikį saugojimą. Kibernetinėms grėsmėms tampant sudėtingesnėms ir tradiciniams įrankiams nebeatliekant savo darbo, saugos duomenų telkiniai suteikia centralizuotą sprendimą įvairiems duomenims rinkti ir analizuoti – saugos komandos gauna reikiamą lankstumą, kad galėtų neatsilikti nuo augančių saugos rizikų.
Kas yra saugos duomenų telkinys?
Sužinokite, kaip saugos duomenų telkiniai padeda organizacijoms centralizuoti, saugoti ir analizuoti didelius saugos duomenų kiekius reikiamu mastu, kad būtų galima aptikti istorines grėsmes, palaikyti atitiktį ir sumažinti išlaidas.
Svarbiausi dalykai
- Saugos duomenų telkinys centralizuoja visus duomenis iš visos jūsų skaitmeninės aplinkos, todėl lengviau aptikti kibernetines grėsmes, tirti incidentus ir laikytis atitikties reikalavimų.
- Skirtingai nei duomenų bazės ir bendros paskirties duomenų telkiniai, saugos duomenų telkiniai yra specialiai sukurti saugos naudojimo atvejams ir palaiko atvirus formatus, pvz., „Delta Parquet“.
- Dažniausiai naudojami atvejai: istorinis grėsmių paieškos tikrinimas, vidinių grėsmių aptikimas, atitikties ataskaitos, DI pagrįstas anomalijų aptikimas ir integravimas su išplėstinio aptikimo ir reagavimo (XDR) bei saugos orkestravimo, automatizavimo ir reagavimo (SOAR) platformomis.
- Lanksti architektūra – apimanti duomenų įtraukimą, saugojimą, apdorojimą, prieigą ir analizę – padeda efektyviai ieškoti, susieti ir tirti duomenis hibridinėse aplinkose.
- Kad apsaugotumėte neskelbtinus duomenis ir išlaikytumėte pasitikėjimą, būtina laikytis saugos duomenų telkinių gerųjų praktikų, pvz., šifravimo, prieigos kontrolės, stebėsenos, duomenų klasifikavimo ir atitikties derinimo.
- „Microsoft“ siūlo šiuolaikinį, rentabilų saugos duomenų telkinį, kuris padeda optimizuoti išlaidas, supaprastinti duomenų valdymą ir paspartinti DI taikymą saugos operacijose.
Kas yra saugos duomenų telkinys?
Saugos duomenų telkinys yra centralizuota saugykla, kurioje saugomi visi bet kokio formato saugos duomenys iš visos jūsų organizacijos skaitmeninės aplinkos. Jis sukurtas ilgalaikiam saugojimui, pažangiai analizei ir kibernetinių grėsmių aptikimui reikiamu mastu.
Skirtingai nei bendros paskirties duomenų telkiniai, saugos duomenų telkinys yra optimizuotas būtent saugos naudojimo atvejams. Jis sukurtas įtraukti ir normalizuoti duomenis iš galinių punktų, debesies paslaugų, tinklo žurnalų ir tapatybės sistemų – taip lengviau aptikti grėsmes, tirti incidentus ir laikytis atitikties reikalavimų.
Saugos duomenų telkiniai suteikia atvirą prieigą prie duomenų naudodami tokius formatus kaip „Delta Parquet“, kurie palaiko „schema-on-read“ lankstumą. Tai reiškia, kad galite teikti duomenų užklausas neprivalėdami iš anksto apibrėžti griežtos schemos.
Palaikydami atskirtus skaičiavimus ir saugyklą, saugos duomenų telkiniai leidžia atskirai didinti apdorojimo galią ir saugyklą. Toks atskyrimas pagerina našumą, sumažina išlaidas ir suteikia daugiau kontrolės, kaip paskirstomi ištekliai.
Turėdami integruotą DI pagrįstos analizės palaikymą, saugos duomenų telkiniai padeda organizacijoms pasirengti naujoms grėsmėms ir suteikia prognozuojamų įžvalgų, stiprinančių kibernetinį atsparumą.
Saugos duomenų telkinio architektūra
Gerai sukurta saugos duomenų telkinio architektūra apima kelias pagrindines funkcijas, kurios kartu padeda greitai ieškoti, susieti ir tirti saugos duomenis:
- Priėmimas: renka duomenis naudodamas API, jungtis ir agentus iš įvairių šaltinių kelių debesų ir kelių platformų aplinkose, pvz., užkardų, debesies platformų, tapatybės teikėjų ir galinių punktų aptikimo įrankių.
- Saugykla: rentabiliai saugo duomenis debesyje veikiančioje, keičiamo dydžio aplinkoje naudodama atvirus formatus, pvz., „Delta Parquet“, kad palaikytų „schema-on-read“ lankstumą ir veikimo suderinamumą.
- Apdorojimas: palaiko kelis analizės variklius, įskaitant „Spark“, „Kusto Query Language“ (KQL) ir mašininį mokymą, kad būtų galima atlikti ir realiojo laiko, ir paketinę analizę iš vienos duomenų kopijos.
- Prieiga: taiko vaidmenimis pagrįstą prieigos valdymą (RBAC), šifravimą ir audito žurnalus, kad apsaugotų slaptus duomenis ir padėtų užtikrinti atitiktį.
- Analizė: taikoma DI, vartotojui ir objektų elgesio analizei (UEBA), kibernetinių grėsmių paieškai ir pasirinktinėms ataskaitų sritims atskleisti grėsmes ir vizualizuoti tendencijas.
- Agentų gynyba: įgalina DI agentus ir automatizavimą centralizuodama išsamius istorinius ir realiojo laiko duomenis, reikalingus išplėstinei analizei, anomalijų aptikimui ir autonominiam reagavimui į grėsmes.
„Microsoft Sentinel“ duomenų telkinys sukurtas optimizuoti išlaidas, supaprastinti duomenų valdymą ir pagreitinti DI priėmimą saugos operacijose. Kaip „Microsoft Sentinel“ platforma pasižymi debesyje veikiančia architektūra ir yra specialiai sukurta saugai „Microsoft Sentinel“ platformospagrindas, ji turi debesų technologijos architektūrą ir yra skirta saugai; ji sujungia visus saugos duomenis, kad būtų galima geriau matyti, išsamiau analizuoti saugą ir geriau suprasti kontekstą. Suteikdama nebrangų ilgalaikį saugojimą, ji padeda organizacijoms stiprinti saugą veiksmingai valdydama biudžetą.
Saugos duomenų valdymas: SIEM ir duomenų telkinio metodai
Tradicinės saugos informacijos ir įvykių valdymo (SIEM) sistemos daugiausia dėmesio skiria perspėjimams realiuoju laiku, žurnalų agregavimui ir atitikties ataskaitoms. Jos veiksmingos greitam grėsmių aptikimui ir reagavimui į incidentus, ypač aplinkose, kuriose svarbus greitas aktyvių grėsmių matomumas. Tačiau SIEM dažnai sunkiai susidoroja su išplečiamumu, sąnaudų efektyvumu ir ilgalaikiu duomenų saugojimu. Didėjant saugos duomenų kiekiui – ypač hibridinėse ir kelių debesų aplinkose – daugeliui SIEM platformų tampa brangu išlaikyti veikimą ir jos tampa ribotos, kai reikia palaikyti išsamų skaitmeninį tyrimą ar pažangią analizę.
Saugos duomenų telkiniai siūlo lankstesnį ir labiau išplečiamą metodą. Jie palaiko „schema-on-read“ prieigą, atvirus duomenų formatus ir atskirtus skaičiavimus bei saugyklą. Dėl to jie idealiai tinka didžiuliams kiekiams neapdorotų, struktūrizuotų ir nestruktūrizuotų saugos duomenų saugoti ir analizuoti. Saugos duomenų telkiniai taip pat puikiai tinka dirbtinio intelekto pagrindu veikiančiai kibernetinės saugos analizei, kibernetinių grėsmių paieškai ir pasirengimui laikytis ilgalaikės atitikties, taip pat sumažina saugyklos gigabaito savikainą.
Pripažindamos abiejų metodų stiprybes, daugelis organizacijų dabar taiko hibridinius modelius, kurie sujungia SIEM ir duomenų telkinio galimybes. Tokiose sąrankose SIEM valdo perspėjimus realiuoju laiku ir veiklos eigas, o saugos duomenų telkinys tarnauja kaip pagrindas giliai analizei, istoriniams tyrimams ir keičiamo dydžio duomenų saugojimui. Tokia hibridinė strategija leidžia saugos komandoms greitai reaguoti į grėsmes ir kartu išlaikyti lankstumą tyrinėti ir analizuoti duomenis laikui bėgant.
Saugos duomenų telkinys, duomenų telkinys ar duomenų bazė: koks skirtumas?
Ne visos duomenų platformos pritaikytos saugai. Žinojimas apie skirtumus tarp saugos duomenų telkinio, bendros paskirties duomenų telkinio ir tradicinės duomenų bazės padeda pasirinkti tinkamą pagrindą savo saugos operacijoms.
- Bendros paskirties duomenų telkinys: saugo visų tipų verslo duomenis – struktūrizuotus, pusiau struktūrizuotus ir nestruktūrizuotus. Šis centralizuotas saugojimo sprendimas paprastai naudojamas analizei, ataskaitoms ir duomenų mokslui. Jis nėra optimizuotas saugai skirtoms reikmėms, pvz., grėsmių aptikimui ar skaitmeniniams tyrimams.
- Saugos duomenų telkinys: specialiai sukurtas rinkti, normalizuoti ir analizuoti su sauga susijusius duomenis, pvz., žurnalus, įspėjimus ir telemetriją iš debesies, vietinių ir hibridinių aplinkų. Skirtingai nei bendros paskirties duomenų telkinys, jis palaiko grėsmių aptikimą realiuoju laiku, ilgalaikius tyrimus ir pažangią DI pagrįstą analizę. Jis taip pat suteikia „schema-on-read“ lankstumą, kuris idealiai tinka dinamiškiems, besikeičiantiems saugos naudojimo atvejams.
- Tradicinė duomenų bazė: optimizuota struktūrizuotiems, operaciniams duomenims ir apribota iš anksto apibrėžtomis schemomis. Nors tai veiksminga struktūrizuotoms verslo programoms, tradicinė duomenų bazė nėra sukurta didelės apimties nestruktūrizuotiems saugos duomenims apdoroti ar sudėtingiems analizės procesams, kurių reikia šiuolaikiniam kibernetinių grėsmių aptikimui ir tyrimui, palaikyti.
Saugos duomenų telkiniai užpildo spragą tarp duomenų telkinių ir duomenų bazių, nes siūlo keičiamo mastelio, lankstų infrastruktūros sprendimą, pritaikytą šiuolaikiniams saugos iššūkiams, todėl geriau tinka organizacijoms, kurioms reikia analizuoti įvairius duomenų šaltinius ir greitai reaguoti į kibernetines grėsmes.
Saugos duomenų telkinio geriausia praktika atitikties ir apsaugos užtikrinimui
Laikantis šios geriausios praktikos galima lengviau išsaugoti verslo reputaciją, palaikyti augimą ir užtikrinti atitiktį, kai valdote saugos duomenų telkinį. Rekomenduojami veiksmai:
- Neaktyvių ir perduodamų duomenų šifravimas naudojant sektoriaus standartų protokolus. Taip užtikrinama, kad net jei duomenys būtų perimti arba pasiekti be leidimo, jie liktų neįskaitomi ir saugūs.
- Detalių prieigos valdymo priemonių naudojimas, pvz., vaidmenimis pagrįstas prieigos valdymas, prieigos valdymo sąrašai (ACL) ir kelių dalių autentifikavimas (MFA). Šios valdymo priemonės padeda užtikrinti mažiausių privilegijų prieigą ir sumažinti vidinių grėsmių ar netyčinio atskleidimo riziką.
- Neįprastų prieigos modelių ir neleistinų pakeitimų stebėjimas. Nuolatinis stebėjimas padeda anksti aptikti įtartiną elgseną ir palaiko greitą reagavimą į incidentus.
- Duomenų klasifikavimo ir žymėjimo taikymas, kad būtų galima identifikuoti slaptą informaciją. Tinkamas žymėjimas leidžia taikyti tikslinę apsaugą ir padeda laikytis reguliavimo reikalavimų tvarkant asmens ar konfidencialius duomenis.
- Audito žurnalų ir versijų valdymo užtikrinimas. Šios funkcijos padeda užtikrinti atsekamumą ir atsakomybę, todėl lengviau tirti incidentus ir išlaikyti duomenų vientisumą.
- Reguliarus duomenų atsarginių kopijų kūrimas ir avarinio atkūrimo procesų testavimas. Atsarginės kopijos užtikrina verslo tęstinumą praradus duomenis, o atkūrimo planų testavimas patvirtina pasirengimą realioms situacijoms.
Suderinamumas su atitikties sistemomis. Tai apima Tarptautinę standartizacijos organizaciją (ISO) 27001, Sveikatos draudimo mobilumo ir atskaitomybės aktą (HIPAA) ir Bendrąjį duomenų apsaugos reglamentą (BDAR). Laikantis nustatytų standartų galima stiprinti suinteresuotųjų šalių pasitikėjimą ir išvengti teisinių ar finansinių nuobaudų.
Saugos duomenų telkinio diegimo pranašumai
Vieningas matomumas hibridinėse ir kelių debesų aplinkose
Saugos komandoms dažnai sunku matyti visą veiklos vaizdą visose debesų, vietinėse ir hibridinėse aplinkose. Saugos duomenų telkinys centralizuoja duomenis iš visų šių šaltinių, kad būtų galima matyti visą infrastruktūrą vienoje vietoje. Taip analitikams lengviau susieti įvykius, aptikti dėsningumus ir veiksmingiau tirti incidentus.
Rentabilus ilgalaikis duomenų saugojimas
Saugos duomenų saugojimas mėnesius ar metus gali būti brangus naudojant tradicines SIEM sistemas. Saugos duomenų telkiniai naudoja debesies pagrindu veikiančią saugyklą ir atvirus formatus, kad sumažintų išlaidas ir sudarytų sąlygas ilgalaikiam saugojimui. Tai ypač naudinga atliekant skaitmeninius tyrimus, atitikties auditus ir istorinių tendencijų analizę.
Patobulintas kibernetinių grėsmių aptikimas ir reagavimas
Saugos duomenų telkiniai palaiko išplėstinę analizę, kad būtų galima aptikti anomalijas ir kibernetines grėsmes, kurių tradiciniai įrankiai gali nepastebėti. Pasirinktiniai modeliai identifikuoja įtartiną veikimą, automatizuoja kibernetinių grėsmių paiešką, pagreitina reagavimą į incidentus ir sustiprina kibernetinės saugos būseną bei duomenų apsaugą.
Atitikties ir pasirengimo auditui palaikymas
Tokios reguliavimo sistemos kaip BDAR, HIPAA ir ISO 27001 reikalauja, kad organizacijos saugotų ir apsaugotų saugos duomenis. Saugos duomenų telkinys padeda tenkinti šiuos reikalavimus, nes užtikrina saugų, audituojamą saugojimą ir išsamius prieigos žurnalus, taip palaikydamas tvirtą duomenų saugos praktiką ir atitiktį.
Išplečiamumas ir lankstumas besikeičiantiems saugos poreikiams
Saugos duomenų telkiniai sukurti taip, kad juos būtų galima plėsti. Jie gauna ir analizuoja duomenis iš naujų šaltinių be būtinybės pertvarkyti sprendimą. Jie taip pat palaiko „schema-on-read“ lankstumą ir prisitaiko prie kintančių duomenų formatų bei naudojimo atvejų.
Dažniausi saugos duomenų telkinio naudojimo atvejai
Saugos duomenų telkiniai neapsiriboja saugojimu ir padeda vykdyti svarbias operacijas, pvz., grėsmių paiešką, vidinės rizikos aptikimą ir atitikties ataskaitų rengimą.
Kibernetinių grėsmių paieška ir teismo ekspertizės tyrimai
Analitikai užklausia istorinius duomenis visose sistemose ir iš visų laikotarpių, kad atskleistų paslėptas kibernetines grėsmes, atsektų atakų kelius ir suprastų visą saugos incidentų mastą. Šis išsamus matomumas būtinas norint identifikuoti pažangias ilgalaikes grėsmes (APT) ir atlikti analizę po incidento.
Vidinių grėsmių aptikimas
Analizuodami naudotojų ir objektų elgseną galiniuose punktuose, programose ir tinkluose, saugos duomenų telkiniai padeda aptikti anomalijas, kurios gali rodyti vidines grėsmes, pvz., neteisėtą prieigą, piktnaudžiavimą teisėmis ar duomenų nutekinimą. Tai padeda aktyviai mažinti riziką ir stiprina bendrą saugą.
Atitikties ataskaitų teikimas ir audito sekos
Saugos duomenų telkiniai išsaugo išsamius žurnalus ir prieigos įrašus, todėl lengviau rengti atitikties ataskaitas, įrodyti reguliavimo laikymąsi ir palaikyti auditus. Jie suteikia skaidrumą ir atsekamumą, kurių reikia norint atitikti tokius standartus kaip ISO 27001, HIPAA ir BDAR.
DI pagrįstas anomalijų aptikimas
Palaikydami mašininį mokymą ir elgsenos analizę, saugos duomenų telkiniai gali identifikuoti neįprastus modelius ar nukrypimus nuo bazinės veiklos. Tai padeda anksti aptikti kylančias grėsmes ir pagreitina reagavimą į galimus incidentus.
Integracija su XDR ir SOAR platformomis
Saugos duomenų telkiniai gali perduoti praturtintus duomenis į XDR ir SOAR platformas. Tai padeda automatizuoti aptikimo ir reagavimo procesus, sumažinti įspėjimų perteklių ir pagreitinti incidentų sprendimą sudėtingose aplinkose.
Saugos duomenų telkinio iššūkiai ir aspektai
Kurdamos ar valdydamos saugos duomenų telkinį, organizacijos dažnai susiduria su iššūkiais, kuriems reikia strateginio planavimo, įskaitant šiuos dalykus:
- Didelių kiekių neapdorotų, struktūrizuotų ir nestruktūrizuotų duomenų valdymas. Saugos duomenų telkiniai renka duomenis iš dešimčių šaltinių, todėl jie gali greitai išaugti iki petabaitų. Neturint aiškios duomenų gyvavimo ciklo strategijos, lengva prarasti matomumą arba perkrauti analizės įrankius.
- Debesies saugyklos ir skaičiavimo išlaidų valdymas laikui bėgant. Saugojant viską neribotai, išlaidos gali tapti didelės. Svarbu suderinti saugojimo taisykles su biudžeto ribomis ir priimti protingus sprendimus dėl to, kokius duomenis saugoti ir kaip juos apdoroti.
- Tinkamo valdymo, prieigos valdymo ir reguliuojamosios atitiktiesužtikrinimas. Saugos duomenyse dažnai yra slaptos informacijos. Neturėdamos tvirtų valdymo ir prieigos kontrolės priemonių, organizacijos rizikuoja pažeisti privatumo reglamentus, tokius kaip BDAR ar HIPAA.
- Netinkamų konfigūracijų ir neteisėtos prieigos išvengimas. Neteisingai sukonfigūruoti leidimai arba atviros prieigos nustatymai gali atskleisti kritinius duomenis. Reguliarūs auditai ir automatiniai patikrinimai padeda sumažinti atsitiktinio duomenų atskleidimo tikimybę.
- Įgūdžių spragų valdant atviras duomenų aplinkas ir užklausų kalbas, tokias kaip KQL ir „Spark“, sprendimas. Saugos komandos gali neturėti gilios darbo su didžiųjų duomenų įrankiais patirties. Mokymas ir dokumentacija yra labai svarbūs, kad analitikai galėtų veiksmingai naudotis platforma.
- Tiekėjo užrakinimo rizikos valdymas ir veikimo suderinamumo su esamais įrankiais užtikrinimas. Kai kurios platformos apsunkina duomenų perkėlimą arba integravimą su kitomis sistemomis. Atvirų formatų ir modulinės architektūros pasirinkimas padeda išlaikyti organizacijos pasirinkimo laisvę.
Kaip „Microsoft“ suteikia galimybių saugos duomenų telkiniams
„Microsoft“ siūlo išsamų požiūrį į saugos duomenų telkinius, integruodama debesų gimtąsias paslaugas, kurios kartu padeda užtikrinti išplečiamas ir intelektualias saugos operacijas. Pagrindas yra „Microsoft Sentinel“, kuris išplečia tradicines SIEM galimybes, naudodamas vieningą, specialiai sukurtą saugos duomenų telkinį, suteikiantį gilų matomumą, pažangią analizę ir DI parengtas operacijas.
„Microsoft Sentinel“ užtikrina greitą įspėjimų pateikimą, incidentų tyrimą ir automatizuotą reagavimą bei suteikia ilgalaikį saugojimą ir pažangią analizę. Naudodamos integruotą saugos duomenų telkinį, organizacijos gali įkelti ir saugoti milžiniškus saugos duomenų kiekius atvirais formatais, tokiais kaip „Delta Parquet“.
Saugos komandos taip pat gali vykdyti kelių formų analizę pagal vieną duomenų kopiją, taip panaikindamos dubliavimą ir suteikdamos galimybę naudoti galingus scenarijus, tokius kaip ilgalaikė grėsmių paieška, bazinių rodiklių nustatymas ir objektų praturtinimas.
Šis modelis atitinka tiek operacinius, tiek strateginius saugos poreikius, sujungdamas SIEM veikimo realiuoju laiku spartą su šiuolaikinio saugos duomenų telkinio gyliu, lankstumu ir ekonomiškumu.
IŠTEKLIAI
Sužinokite daugiau apie „Microsoft“ saugą
Dažnai užduodami klausimai
- Saugos duomenų telkinys yra centralizuota saugykla, kurioje saugomi ir analizuojami su sauga susiję duomenys iš visos organizacijos skaitmeninės aplinkos. Jis palaiko ilgalaikį saugojimą, išplėstinę analizę ir išplečiamą kibernetinių grėsmių aptikimą.
- SIEM daugiausia dėmesio skiria įspėjimams realiuoju laiku ir atitikčiai, o saugos duomenų telkiniai suteikia išplečiamą saugyklą ir išplėstinę analizę. Daugelis organizacijų naudoja abu kartu, kad užtikrintų visapusę aprėptį.
- Saugos duomenų telkinio architektūra apima priėmimo, saugojimo, apdorojimo, prieigos ir analizės sluoksnius. Šie sluoksniai veikia kartu ir leidžia greitai ieškoti, koreliuoti ir tirti saugos duomenis.
- Bendros paskirties duomenų telkinys saugo visų tipų verslo duomenis. Saugos duomenų telkinys yra optimizuotas rinkti ir analizuoti tik saugai skirtus duomenis, tokius kaip žurnalai ir įspėjimai.
- Tradicinės duomenų bazės optimizuotos struktūrizuotiems, operaciniams duomenims ir iš anksto apibrėžtoms schemoms. Tuo tarpu duomenų telkiniai sukurti tvarkyti didelius neapdorotų, struktūrizuotų, pusiau struktūrizuotų ir nestruktūrizuotų duomenų kiekius. Jie palaiko „schema-on-read“ lankstumą, todėl puikiai tinka besikeičiantiems scenarijams, tokiems kaip išplėstinė analizė, mašininis mokymas ir saugos operacijos.
- Taip. Daugelis organizacijų naudoja hibridinį modelį, kuris sujungia SIEM įspėjimams realiuoju laiku su saugos duomenų telkiniu ilgalaikiam saugojimui ir išplėstinei analizei.
Stebėkite „Microsoft“ saugą