Sycope może przesyłać wybrane alerty przez Syslog i kodować je w formacie Common Event Format (CEF). QRadar obsługuje zdarzenia w formacie CEF poprzez Universal CEF DSM, zapewniając standardową ścieżkę dołączania detekcji Sycope do strumienia zdarzeń SIEM.
Pozwala to analitykom QRadar uwzględniać detekcje sieciowe z Sycope w szerszym obrazie bezpieczeństwa, przy jednoczesnym zachowaniu Sycope jako środowiska do szczegółowej analizy flow data i analizy sieciowej.
Table of Contents
Od alertu Sycope do QRadar
Reguły Sycope definiują warunki sieciowe, wydajnościowe lub bezpieczeństwa, które powinny wygenerować alert. Poszczególne reguły mogą być również skonfigurowane z external actions określającymi, co powinno się wydarzyć po osiągnięciu określonych threshold levels.
W przypadku QRadar Sycope może wykorzystać Syslog External Destination do przesyłania wybranych alertów do QRadar Console, Event Collector lub Event Processor. Sycope obsługuje zarówno TCP, jak i UDP dla destinationów Syslog.
Przy użyciu CEF encoder alert może zostać sformatowany zgodnie ze standardem Common Event Format przed jego przesłaniem. Universal CEF DSM w QRadar przyjmuje zdarzenia w formacie CEF przez Syslog i udostępnia je do dalszego mapowania i przetwarzania zdarzeń na platformie.
Po odebraniu przez QRadar alerty Sycope mogą stać się częścią tego samego workflow analizy zdarzeń, który jest wykorzystywany dla innych źródeł bezpieczeństwa.
Różne role w security workflow
Sycope i QRadar pozostają niezależnymi systemami i dostarczają różne warstwy informacji.
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Widoczność komunikacji host-to-host
- Monitoring wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Predefiniowane i niestandardowe reguły detekcji
- Kontekst MITRE ATT&CK dla alertów
- Historyczne dane o komunikacji sieciowej
- Szczegółowy kontekst ruchu do analizy
IBM QRadar zapewnia:
- Scentralizowane zbieranie zdarzeń bezpieczeństwa
- Normalizację zdarzeń poprzez DSM
- Korelację pomiędzy wieloma źródłami logów i danych bezpieczeństwa
- Wyszukiwanie i analizę zebranych zdarzeń
- Dashboardy i raportowanie SIEM
- Istniejące workflow SOC do analizy i obsługi incydentów
Sycope dostarcza detekcje oparte na komunikacji widocznej bezpośrednio w ruchu sieciowym. QRadar może łączyć te detekcje z informacjami zbieranymi z innych systemów w całej organizacji.
Detekcje sieciowe jako część widoku SIEM
Głównym celem integracji jest udostępnienie istotnych zdarzeń sieciowych w ramach szerszego procesu monitoringu bezpieczeństwa.
Korelacja z innymi źródłami bezpieczeństwa
Alert wygenerowany przez Sycope może identyfikować takie zachowania jak nieoczekiwana komunikacja, aktywność skanująca, anomalie sieciowe lub inne warunki wykryte w flow data.
Po udostępnieniu zdarzenia w QRadar analityk może przeanalizować je razem z informacjami bezpieczeństwa z innych źródeł dotyczącymi tych samych hostów lub tego samego okresu.
Łączy to perspektywę sieciową dostarczaną przez Sycope z szerszym kontekstem zdarzeń utrzymywanym w SIEM.
Wybrane alerty zamiast wszystkich danych sieciowych
Integracja nie wymaga ciągłego przesyłania do QRadar pełnej historii ruchu sieciowego gromadzonej przez Sycope.
Reguły Sycope określają, jakie warunki generują alerty, a akcje Syslog mogą być przypisywane do reguł i threshold levels, które powinny być przesyłane do systemów zewnętrznych.
Pozwala to zespołom wysyłać do QRadar istotne sygnały bezpieczeństwa, pozostawiając szczegółowe flow data i historyczną komunikację sieciową w Sycope.
Dodatkowy kontekst dostępny z każdym zdarzeniem
Alerty Sycope zawierają informacje, które mogą pomóc w identyfikacji i ocenie wykrytej aktywności, w tym takie pola jak nazwa alertu, severity, timestamp, Client IP, Server IP oraz informacje o protokole. W przypadku alertów bezpieczeństwa opartych na regułach z mapowaniem MITRE ATT&CK dodatkowe pola mogą obejmować przypisaną tactic, technique oraz sub-technique.
Istotne pola mogą zostać uwzględnione w zdarzeniu CEF i zmapowane w QRadar zgodnie z wymaganiami SOC.
SIEM otrzymuje informacje wymagane do korelacji i triage, natomiast analitycy mogą kontynuować głębszą analizę sieciową w Sycope, gdy potrzebna jest dodatkowa historia komunikacji lub kontekst ruchu.
Istniejące workflow QRadar pozostają bez zmian
Po ingestowaniu i zmapowaniu zdarzeń Sycope stają się one częścią środowiska zdarzeń QRadar, bez konieczności tworzenia osobnego procesu monitoringu.
Mogą być przeszukiwane i analizowane razem ze zdarzeniami z innych źródeł logów, dzięki czemu organizacje, które już wykorzystują QRadar jako centralny SIEM, mogą dodać kolejne źródło danych bezpieczeństwa opartych na aktywności sieciowej.
Integracja CEF i Syslog
Sycope obsługuje Syslog jako natywny External Destination. Konfiguracja określa host docelowy, port oraz to, czy do komunikacji powinien być używany TCP czy UDP.
Sycope 3.2 wprowadził również CEF encoder dla outputu Syslog, co pozwala generować zdarzenia w standaryzowanym formacie powszechnie stosowanym przez platformy SIEM.
Po stronie QRadar IBM udostępnia Universal CEF DSM dla systemów generujących zdarzenia w formacie Common Event Format. DSM obsługuje CEF:0 i może odbierać zdarzenia przez Syslog.
Ponieważ zdarzenia Universal CEF nie zawierają predefiniowanego mapowania QRadar Identifier dla każdego produktu zewnętrznego, event mapping może wymagać konfiguracji po stronie QRadar zgodnie z typami zdarzeń Sycope i wymaganiami organizacji dotyczącymi kategoryzacji.
Jak działa integracja
Integracja składa się z czterech głównych elementów.
1. Generowanie alertu w Sycope
Sycope analizuje dane sieciowe przy użyciu predefiniowanych lub niestandardowych reguł.
Po spełnieniu warunków zdefiniowanych w regule generowany jest alert zawierający informacje opisujące wykrytą aktywność, jej severity oraz systemy biorące udział w zdarzeniu.
2. Syslog destination i kodowanie CEF
QRadar jest konfigurowany w Sycope jako Syslog External Destination.
Wybrane informacje z alertu są kodowane w CEF i wysyłane do skonfigurowanego endpointu Syslog QRadar przy użyciu TCP lub UDP.
Akcja forwardowania może być powiązana z konkretnymi regułami Sycope i threshold levels, co pozwala administratorom kontrolować, które detekcje są przesyłane do SIEM.
3. Universal CEF log source w QRadar
QRadar odbiera zdarzenia przy użyciu Universal CEF log source.
Universal CEF DSM parsuje zdarzenia sformatowane w CEF i udostępnia je w QRadar event pipeline. Następnie można skonfigurować event mappings, aby powiązać typy zdarzeń Sycope z odpowiednimi kategoriami QRadar.
4. Analiza SIEM i analiza sieciowa
Po ingestowaniu zdarzenia Sycope mogą być analizowane w QRadar razem z innymi informacjami bezpieczeństwa.
Gdy zdarzenie wymaga dodatkowych danych sieciowych, analitycy mogą wykorzystać Sycope do przeanalizowania historycznej komunikacji, wzorców ruchu i innych informacji opartych na flow data związanych z systemami objętymi zdarzeniem oraz odpowiednim okresem.
Od detekcji sieciowej do korelacji SIEM
Rozważmy regułę Sycope, która wykrywa podejrzaną komunikację z udziałem systemu wewnętrznego.
Sycope generuje alert zawierający informacje o zdarzeniu i hostach biorących w nim udział. Ponieważ reguła jest skonfigurowana z akcją QRadar Syslog, alert jest kodowany w CEF i przesyłany do QRadar.
QRadar odbiera i przetwarza zdarzenie poprzez Universal CEF log source. Detekcja Sycope może następnie zostać przeanalizowana razem ze zdarzeniami z innych źródeł powiązanych z tym samym systemem lub okresem.
Jeśli analiza wymaga dodatkowych informacji o tym, co wydarzyło się w sieci przed lub po detekcji, analityk może kontynuować analizę w Sycope, korzystając z historycznych flow data i kontekstu komunikacji.
Integracja łączy więc detekcję opartą na sieci ze scentralizowaną korelacją SIEM bez konieczności duplikowania w QRadar pełnej historii ruchu sieciowego.
Integracja Sycope i IBM QRadar
Integracja pozwala organizacjom uwzględniać wybrane alerty sieciowe i bezpieczeństwa z Sycope w istniejącym środowisku monitoringu QRadar z wykorzystaniem standardowych mechanizmów CEF i Syslog.
QRadar otrzymuje zdarzenia wymagane do scentralizowanej korelacji i analizy, natomiast Sycope zachowuje szczegółowe dane sieciowe wykorzystywane do głębszej analizy ruchu.
Aby omówić integrację Sycope z Twoim środowiskiem IBM QRadar, skontaktuj się z naszym zespołem.
