Sycope i SecureVisio łączą siły, wprowadzając kontekst sieciowy do operacji SIEM

Od alertu Sycope do incydentu z pełnym kontekstem

Alerty generowane przez Sycope są automatycznie przekazywane do SecureVisio za pośrednictwem dedykowanego konektora. Następnie są normalizowane, przetwarzane i korelowane z informacjami już dostępnymi w systemie SIEM, takimi jak krytyczność zasobu, zachowanie użytkownika, poziom ryzyka czy kontekst biznesowy.

Jeżeli incydent wymaga pogłębionej analizy, analityk może bezpośrednio z poziomu SecureVisio uruchomić akcję pobierającą odpowiednie metadane sieciowe z Sycope. Zapytanie dotyczy konkretnej pary adresów IP klient–serwer i obejmuje przedział pięciu minut przed oraz pięciu minut po wystąpieniu alertu.

Uzyskane dane są dołączane do incydentu w postaci pliku CSV. Dzięki temu analityk otrzymuje dostęp do dodatkowych danych sieciowych bez konieczności ręcznego przełączania się pomiędzy platformami czy porównywania znaczników czasu w oddzielnych konsolach.

Widoczność sieci przestaje więc być jedynie kolejnym źródłem alertów. Staje się dodatkowym źródłem danych dochodzeniowych, z którego analitycy mogą korzystać dokładnie wtedy, gdy wymaga tego konkretny przypadek.

„Cieszę się, że dwóch polskich producentów integruje swoje platformy, uzupełniając wzajemnie możliwości w zakresie widoczności danych związanych z bezpieczeństwem. Integracja rozszerza operacje SIEM i SOAR o widoczność ruchu sieciowego zapewnianą przez Sycope. Pozwala zobaczyć aktywność, która może pozostawać poza zasięgiem tradycyjnych logów, w tym komunikację host-to-host, kontekst aplikacyjny czy historię ruchu. Szczególnie wartościowa jest możliwość pobrania przez analityka metadanych sieciowych związanych z konkretnym alertem bezpośrednio z poziomu incydentu. Dla klientów to również możliwość budowania suwerennych architektur bezpieczeństwa opartych na zintegrowanych europejskich technologiach.” — Piotr Kawa, VP of Sales, Sycope

Dlaczego to partnerstwo ma znaczenie dla europejskich organizacji

Europejskie firmy i instytucje publiczne stoją przed rosnącą potrzebą zwiększania cyberodporności przy jednoczesnym zachowaniu kontroli nad własną infrastrukturą, danymi dotyczącymi bezpieczeństwa oraz wykorzystywanymi technologiami.

Partnerstwo Sycope i SecureVisio odpowiada na te potrzeby, łącząc możliwości NDR i zaawansowaną widoczność sieci z funkcjami SIEM i SOAR w ramach zintegrowanej europejskiej architektury bezpieczeństwa.

Partnerstwo wspiera organizacje, którym zależy na:

• większej kontroli nad wrażliwymi danymi dotyczącymi bezpieczeństwa,
• możliwości wdrożenia on-premises lub wykorzystania infrastruktury zlokalizowanej w Unii Europejskiej,
• lepszym dostosowaniu do wymagań NIS2, DORA oraz wewnętrznych zasad governance,
• szybszym wykrywaniu i analizowaniu incydentów,
• bardziej przewidywalnych kosztach monitorowania bezpieczeństwa,
• ograniczeniu zależności od pozaeuropejskich dostawców technologii.

Uzupełniające się możliwości i jasno określony podział ról

Sycope i SecureVisio pozostają niezależnymi produktami. Integracja nie tworzy nowej platformy — łączy dwa wyspecjalizowane systemy w taki sposób, aby każdy z nich realizował zadania, w których się specjalizuje.

Sycope zapewnia:

• analizę sieci opartą na danych przepływowych,
• Network Detection and Response,
• widoczność komunikacji host-to-host,
• kontekst aplikacji i protokołów,
• wykrywanie anomalii i zagrożeń w sieci,
• historyczne metadane dotyczące ruchu sieciowego,
• monitorowanie wydajności sieci.

SecureVisio zapewnia:

• korelację SIEM,
• workflow i automatyzację SOAR,
• CMDB oraz kontekst zasobów,
• analizę ryzyka,
• UEBA,
• kontekst procesów biznesowych,
• scentralizowane zarządzanie incydentami.

Sycope pokazuje, co dzieje się w sieci. SecureVisio łączy tę aktywność z informacjami o zasobach, użytkownikach, ryzyku i procesach biznesowych, a następnie uwzględnia ją w szerszym procesie reagowania na incydenty.

Dlaczego NDR i SIEM działają lepiej razem

SIEM może korelować wyłącznie dane, które otrzymuje. Jeżeli istotna aktywność sieciowa nie znajduje odzwierciedlenia w logach lub informacje zawarte w logach są niewystarczająco szczegółowe, część zdarzeń może pozostawać poza polem widzenia analityka.

NDR uzupełnia tę lukę, analizując zachowania widoczne bezpośrednio w ruchu sieciowym.

Widoczność wykraczająca poza tradycyjne logi

Sycope może identyfikować takie zachowania jak ruch lateralny, komunikacja command-and-control, beaconing, tunelowanie DNS czy nietypowe połączenia host-to-host. Tego rodzaju aktywność jest widoczna przede wszystkim we wzorcach komunikacji i zachowaniu urządzeń w sieci, a nie zawsze w postaci jednoznacznego wpisu w logach.

Kontekst dostępny podczas analizy incydentu

Gdy alert zostaje zakwalifikowany jako incydent, analityk może pobrać powiązane z nim metadane sieciowe bez opuszczania workflow SecureVisio. Informacje są filtrowane do odpowiedniej pary adresów IP oraz konkretnego przedziału czasowego, dzięki czemu analityk otrzymuje precyzyjnie dobrany materiał do analizy zamiast dużego wolumenu nieprzetworzonych danych o ruchu.

Jeden, skorelowany obraz incydentu

Alert Sycope nie pozostaje odizolowany w osobnej konsoli NDR. SecureVisio może skorelować go z innymi zdarzeniami bezpieczeństwa, informacjami z CMDB, krytycznością zasobów, profilami bazowymi UEBA oraz oceną ryzyka.

Dzięki temu analitycy mogą zrozumieć nie tylko, co wydarzyło się w sieci, ale również jaką funkcję pełni objęty incydentem system oraz jakie znaczenie dane zdarzenie może mieć dla organizacji.

Gotowa i udokumentowana integracja

Konektor, parser, reguła bezpieczeństwa oraz akcja wzbogacania danych są dostarczane jako zdefiniowane komponenty integracji. Organizacje mogą uruchomić przepływ informacji pomiędzy systemami bez konieczności projektowania od podstaw własnego rozwiązania integracyjnego.

Jak działa integracja

Integracja składa się z czterech głównych elementów:

Konektor

SecureVisio pobiera nowe alerty przyrostowo za pośrednictwem API Sycope. Znacznik czasu pełni funkcję markera stanu, dzięki czemu przy każdym kolejnym zapytaniu pobierane są wyłącznie alerty wygenerowane od momentu poprzedniego odczytu.

Parser 

Parser mapuje alerty Sycope do modelu danych SecureVisio. Dzięki temu informacje mogą być przetwarzane i korelowane w taki sam sposób jak zdarzenia pochodzące z innych źródeł bezpieczeństwa.

Reguła bezpieczeństwa

Dedykowana reguła identyfikuje nowe alerty Sycope i przekształca je w zdarzenia, które mogą być dalej przetwarzane w ramach workflow SIEM i SOAR.

Metadane na żądanie

Z poziomu incydentu w SecureVisio analityk może zażądać metadanych sieciowych dotyczących wybranej pary adresów IP, obejmujących okres pięciu minut przed oraz pięciu minut po wystąpieniu alertu. Wyniki są następnie dołączane do incydentu w postaci pliku CSV.

Ten ostatni etap jest celowo inicjowany przez analityka. Metadane sieciowe są pobierane wtedy, gdy są rzeczywiście potrzebne w prowadzonym dochodzeniu, zamiast być automatycznie przesyłane dla każdego alertu.

Analiza incydentu bez przełączania się między narzędziami

Rozważmy przykład anomalii sieciowej wykrytej przez Sycope.

Alert zostaje przekazany do SecureVisio i skorelowany z pozostałymi informacjami dostępnymi na platformie. Kiedy analityk otwiera incydent, może już zobaczyć objęty nim zasób, jego rolę biznesową, powiązanych użytkowników, poziom ryzyka oraz związane z nim zdarzenia bezpieczeństwa.

Jeżeli potrzebny jest dodatkowy kontekst sieciowy, analityk uruchamia akcję wzbogacania danych. Sycope zwraca metadane komunikacji związane z odpowiednią parą klient–serwer oraz wskazanym przedziałem czasowym.

Analityk może następnie sprawdzić, kto komunikował się z kim, kiedy doszło do komunikacji, jaka aplikacja lub usługa była wykorzystywana oraz ile danych zostało przesłanych — wszystko w ramach istniejącego procesu obsługi incydentu.

Nie ma potrzeby otwierania oddzielnej konsoli, ponawiania wyszukiwania ani ręcznego dopasowywania znaczników czasu pomiędzy systemami.

Głębszy kontekst sieciowy bez niekontrolowanego wzrostu kosztów SIEM

Przesyłanie każdego rekordu sieciowego do systemu SIEM może znacząco zwiększać wolumen przetwarzanych danych, wymagania infrastrukturalne oraz koszty licencjonowania. Integracja Sycope–SecureVisio wykorzystuje bardziej selektywne podejście.

Filtrowanie rozpoczyna się w Sycope

Sycope analizuje i filtruje dane na poziomie sieci. Zamiast przesyłać do SIEM wszystkie dostępne metadane dotyczące ruchu, przekazuje alerty bezpieczeństwa reprezentujące aktywność wymagającą uwagi.

Szczegółowe dane sieciowe są pobierane tylko wtedy, gdy są potrzebne

SecureVisio domyślnie otrzymuje alerty Sycope, a nie ciągły strumień wszystkich rekordów sieciowych. Szczegółowe metadane są pobierane dla konkretnej pary adresów IP oraz określonego przedziału czasowego dopiero wtedy, gdy analityk uzna, że są potrzebne do dalszej analizy.

Pozwala to zachować odpowiednią głębokość dochodzenia bez konieczności ciągłego przesyłania i przetwarzania całej historii ruchu sieciowego w systemie SIEM.

Elastyczna retencja i przetwarzanie danych w SecureVisio

SecureVisio oddziela zarządzanie logami od korelacji SIEM. Dzięki temu organizacje mogą przechowywać większą ilość informacji w warstwie o niższym koszcie, a jednocześnie samodzielnie decydować, które dane powinny podlegać pełnemu przetwarzaniu i korelacji w SIEM.

Licencjonowanie SecureVisio oparte na zasobach

Model licencjonowania SecureVisio opiera się na wielkości monitorowanego środowiska lub liczbie zasobów, a nie na liczbie EPS czy całkowitym wolumenie logów. Ułatwia to bardziej przewidywalne planowanie kosztów wraz ze wzrostem ilości danych związanych z bezpieczeństwem.

Połączenie tych mechanizmów pozwala organizacjom uzyskać dostęp do wartościowych danych sieciowych potrzebnych podczas analizy incydentów, jednocześnie ograniczając niepotrzebne ingestowanie, przechowywanie i przetwarzanie informacji.

Dane bezpieczeństwa pozostają pod kontrolą organizacji

Zarówno Sycope, jak i SecureVisio mogą być wdrażane on-premises. Alerty sieciowe, metadane dotyczące ruchu oraz informacje o incydentach mogą pozostawać w infrastrukturze kontrolowanej przez klienta.

Ma to szczególne znaczenie dla organizacji sektora publicznego, operatorów infrastruktury krytycznej, instytucji finansowych oraz innych podmiotów działających w regulowanych środowiskach, w których lokalizacja danych, governance oraz suwerenność operacyjna stanowią istotne wymagania.

SecureVisio może być również uruchamiane w modelu prywatnej chmury zlokalizowanej w Unii Europejskiej. Zapewnia to organizacjom dodatkową elastyczność wdrożeniową, jednocześnie umożliwiając utrzymanie architektury bezpieczeństwa w ramach europejskiego ekosystemu technologicznego.

Zobacz integrację w swoim środowisku

Integracja Sycope–SecureVisio wprowadza możliwości wykrywania zagrożeń w sieci, dostęp do historii ruchu oraz metadane pobierane na żądanie bezpośrednio do procesów analizy incydentów prowadzonych w SIEM i SOAR.

Efektem jest pełniejszy obraz incydentu, szybszy dostęp do danych potrzebnych podczas dochodzenia oraz głębszy kontekst sieciowy — bez konieczności ciągłego przesyłania wszystkich danych sieciowych do systemu SIEM.

Chcesz zobaczyć, jak integracja Sycope i SecureVisio mogłaby działać w Twoim środowisku? Umów rozmowę z naszym zespołem.