Sycope obsługuje Syslog jako External Destination i udostępnia CEF encoder do standaryzowanego formatowania zdarzeń. Energy Logserver może odbierać dane w formacie CEF przez TCP, tworząc bezpośrednią ścieżkę do przesyłania wybranych alertów Sycope do centralnego środowiska zdarzeń.
Pozwala to analitykom Energy Logserver wykorzystywać detekcje Sycope jako kolejne źródło danych bezpieczeństwa, podczas gdy szczegółowa historia flow data i analiza sieciowa pozostają w Sycope.
Table of Contents
Od alertu Sycope do Energy Logserver
Reguły Sycope definiują warunki sieciowe, wydajnościowe lub bezpieczeństwa, które powinny wygenerować alert.
Gdy skonfigurowana reguła osiągnie wybrany threshold level, alert może zostać przesłany do zewnętrznego Syslog destination. Przy użyciu CEF encoder Sycope formatuje zdarzenie zgodnie ze standardem Common Event Format przed przesłaniem go do Energy Logserver.
Po stronie odbierającej Energy Logserver może wykorzystać CEF input pipeline do zdekodowania zdarzenia i udostępnienia jego pól do indeksowania i dalszego przetwarzania.
Po zapisaniu w Energy Logserver alert Sycope może być przeszukiwany i analizowany razem z informacjami pochodzącymi z innych źródeł bezpieczeństwa, infrastruktury i aplikacji.
Integracja łączy więc detekcję opartą na sieci z szerszym kontekstem zdarzeń już utrzymywanym w SIEM.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Sycope i Energy Logserver pozostają niezależnymi platformami i zapewniają różne perspektywy na monitorowane środowisko.
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Widoczność komunikacji host-to-host
- Monitoring wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Predefiniowane i niestandardowe reguły alertowania
- Historyczne dane o komunikacji sieciowej
- Szczegółowy kontekst ruchu do dalszej analizy
Energy Logserver zapewnia:
- Scentralizowane zbieranie i indeksowanie zdarzeń bezpieczeństwa i operacyjnych
- Wyszukiwanie w wielu źródłach danych
- Reguły korelacji SIEM
- Dashboardy i wizualizacje bezpieczeństwa
- Alerting i incident management
- Risk scoring i analizę bezpieczeństwa
- Data retention i lifecycle management
Sycope identyfikuje aktywność widoczną bezpośrednio w komunikacji sieciowej. Energy Logserver może łączyć wybrane zdarzenia Sycope z logami i informacjami bezpieczeństwa zbieranymi z innych systemów.
Detekcje sieciowe jako część szerszego kontekstu zdarzeń
Alert sieciowy jest często najbardziej użyteczny wtedy, gdy można powiązać go z informacjami pochodzącymi z innych obszarów infrastruktury.
Przesyłanie wybranych detekcji Sycope do Energy Logserver pozwala włączyć zachowanie sieciowe do szerszej analizy bezpieczeństwa, zamiast pozostawiać je jako odizolowaną informację w oddzielnej platformie monitoringowej.
Korelacja z logami z innych systemów
Alert Sycope może wskazywać aktywność taką jak skanowanie, nieoczekiwana komunikacja, nietypowe zachowanie ruchu lub inny warunek wykryty poprzez analizę flow data.
Gdy zdarzenie jest już dostępne w Energy Logserver, można porównać je z logami i zdarzeniami powiązanymi z tymi samymi systemami lub tym samym okresem.
Przykładowo detekcja sieciowa dotycząca serwera może być analizowana razem ze zdarzeniami z systemu operacyjnego, uwierzytelniania, aplikacji lub urządzeń bezpieczeństwa, które są już przechowywane w Energy Logserver.
Sycope dostarcza perspektywę sieciową, natomiast Energy Logserver zapewnia szerszy kontekst zdarzeń potrzebny do korelowania aktywności pomiędzy różnymi źródłami danych.
Wybrane sygnały bezpieczeństwa zamiast pełnego zbioru flow data
Integracja nie wymaga ciągłego przesyłania do SIEM wszystkich network flow data zbieranych przez Sycope.
Reguły Sycope określają, które warunki generują alerty, a external actions mogą być skonfigurowane dla reguł i threshold levels, które powinny być przesyłane poza platformę.
Pozwala to organizacjom przekazywać istotne detekcje sieciowe, pozostawiając szczegółowe flow records i historyczną komunikację w Sycope.
SIEM otrzymuje informacje potrzebne do korelacji i triage bez duplikowania pełnego zbioru danych sieciowych.
Ustrukturyzowane pola zdarzeń do dalszej analizy
CEF zapewnia standaryzowaną strukturę do przesyłania zdarzeń bezpieczeństwa pomiędzy systemami.
Istotne informacje z alertu Sycope mogą więc być reprezentowane jako ustrukturyzowane pola i dekodowane przez CEF input w Energy Logserver.
W zależności od reguły Sycope i konfiguracji encodera może to obejmować informacje opisujące alert, jego severity, timestamp oraz systemy sieciowe uczestniczące w zdarzeniu.
Po zaindeksowaniu pola te mogą być wykorzystywane w wyszukiwaniu, filtrach, dashboardach i regułach korelacji Energy Logserver.
Istniejące workflow SIEM pozostają bez zmian
W organizacjach, które już wykorzystują Energy Logserver jako centralną platformę bezpieczeństwa, zdarzenia Sycope mogą stać się kolejnym źródłem danych w ramach istniejącego workflow SOC.
Analitycy mogą pracować z alertem Sycope razem z innymi zaindeksowanymi zdarzeniami i wykorzystywać istniejące możliwości Energy Logserver w zakresie korelacji, wizualizacji i incident management.
Gdy analiza wymaga bardziej szczegółowych informacji o samej aktywności sieciowej, analityk może kontynuować ją w Sycope z wykorzystaniem dostępnej historii ruchu i kontekstu komunikacji.
Integracja CEF i Syslog
Integracja wykorzystuje standardowe mechanizmy dostępne w obu systemach.
Sycope udostępnia Syslog jako External Destination i pozwala powiązać akcje alertów z wybranymi regułami monitoringu.
Od wersji Sycope 3.2 output Syslog może również korzystać z CEF encoder zgodnego ze standardem Common Event Format.
Network Probe w Energy Logserver obsługuje CEF input przez TCP. Przychodząca wiadomość CEF jest dekodowana, a następnie może być przetwarzana zgodnie z konfiguracją pipeline i indexu w Energy Logserver.
Pozwala to połączyć oba systemy bez konieczności korzystania z dedykowanego proprietary connector.
Jak działa integracja
Integracja składa się z czterech głównych elementów.
1. Generowanie alertu w Sycope
Sycope analizuje dane sieciowe przy użyciu predefiniowanych lub niestandardowych reguł.
Po spełnieniu warunków zdefiniowanych przez regułę platforma generuje alert opisujący wykrytą aktywność i jej severity.
2. Konfiguracja Syslog i CEF
Energy Logserver jest konfigurowany w Sycope jako Syslog External Destination.
CEF encoder jest wykorzystywany do sformatowania alertu przed wysłaniem go do skonfigurowanego destination.
External action może zostać przypisana do wybranych reguł i threshold levels, dzięki czemu administratorzy mogą kontrolować, które detekcje Sycope są przesyłane dalej.
3. CEF input w Energy Logserver
Energy Logserver odbiera zdarzenie poprzez TCP input z obsługą CEF.
CEF codec dekoduje standardowy prefix oraz pola key-value z części extension, dzięki czemu zdarzenie staje się dostępne do indeksowania i dalszego przetwarzania na platformie.
Docelowy pipeline, field mapping oraz konfiguracja indexu mogą zostać dostosowane do środowiska Energy Logserver w danej organizacji.
4. Korelacja i dalsza analiza
Po zaindeksowaniu alerty Sycope mogą być przeszukiwane, wizualizowane i korelowane z informacjami z innych systemów dostępnych w Energy Logserver.
Jeśli wymagane są dodatkowe dane sieciowe, analiza może być kontynuowana w Sycope z wykorzystaniem historycznych flow data i szczegółowego kontekstu komunikacji powiązanego z systemami objętymi zdarzeniem.
Od detekcji sieciowej do analizy wieloźródłowej
Rozważmy regułę Sycope, która identyfikuje podejrzaną komunikację z udziałem wewnętrznego serwera.
Sycope generuje alert zawierający informacje o wykrytej aktywności. Ponieważ reguła jest skonfigurowana z akcją Syslog dla Energy Logserver, zdarzenie jest kodowane w CEF i przesyłane do skonfigurowanego CEF input.
Energy Logserver odbiera i indeksuje zdarzenie.
Analityk może następnie porównać detekcję Sycope z logami uwierzytelniania, zdarzeniami endpointów, zapisami firewalli lub innymi informacjami bezpieczeństwa powiązanymi z tym samym hostem i okresem.
Może to pomóc ustalić, czy zachowanie sieciowe jest odizolowaną obserwacją, czy znajduje potwierdzenie w danych pochodzących z innych systemów.
Jeśli analiza wymaga informacji o komunikacji przed lub po wystąpieniu alertu, analityk może wrócić do Sycope i przejrzeć historyczny ruch związany z hostami objętymi zdarzeniem.
Integracja łączy więc detekcję sieciową opartą na flow data ze scentralizowaną analizą logów i zdarzeń, jednocześnie zachowując wyspecjalizowaną rolę każdej z platform.
Integracja Sycope i Energy Logserver
Integracja pozwala włączyć wybrane alerty sieciowe i bezpieczeństwa Sycope do workflow SIEM Energy Logserver przy użyciu standardowych mechanizmów CEF i Syslog.
Energy Logserver zapewnia szerszy, wieloźródłowy kontekst zdarzeń, natomiast Sycope zachowuje szczegółową historię sieciową wymaganą do pogłębionej analizy ruchu.
Aby omówić integrację alertów Sycope z Twoim środowiskiem Energy Logserver, skontaktuj się z naszym zespołem.
