SIEM и анализ на сигурността
Splunk Enterprise Security в SOC процеса.
Управление на източниците на данни, правила за откриване и работни процеси за разследване. Включваме наличната ви среда в договорен процес за наблюдение, проверка и ескалация.
ЗА ПЛАТФОРМАТА
Какво е Splunk Enterprise Security?
Splunk Enterprise Security използва данните в Splunk за откриване и разследване на заплахи. Корелационните търсения и риск-базираните подходи помагат да се съпоставят отделни действия в по-значим сигнал.
Как я използваме в SOC
Работим с вашата Splunk среда и съществуващите knowledge objects. Проверяваме покритието на източниците, качеството на полетата и шума от правилата, след което изграждаме предвидим процес за триаж и реакция.
ПРАКТИЧЕСКИ СЦЕНАРИИ
Какво можем да проверяваме?
Примерите показват как платформата допринася към анализ от човек. Конкретните правила се избират за вашата среда.
Сигнали от мрежа и endpoint, отнасящи се до един и същ актив.
Приоритизиране на рискови събития за критични системи.
ПОДХОД КЪМ ИНТЕГРАЦИЯТА
Как включваме Splunk?
Започваме с наличните данни и права. Изграждаме проверим поток от източника до анализатора и определяме кой решава следващата стъпка.
- 01
Картографираме индекси, data models и критични източници.
- 02
Преглеждаме корелационните търсения и повтарящите се фалшиви положителни сигнали.
- 03
Съгласуваме incident review, собственост и извеждане към дежурния канал.
ПРОВЕРИМИ ИЗТОЧНИЦИ
Официални източници
Подробностите за функции, права и версии се проверяват по материалите на доставчика при планиране на интеграцията.
ВАШАТА СРЕДА Е ОТПРАВНАТА ТОЧКА