Bitdefender GravityZone Security Data Lake

Dlaczego potrzebujesz data lake bezpieczeństwa?

Incydent zostawia ślady w pięciu miejscach, a zespół przegląda je w pięciu konsolach. Logi z zapory, z kontrolera domeny, z chmury i ze stacji istnieją, ale każdy w swoim formacie i z własną retencją; gdy trzeba ustalić, co działo się tydzień przed wykryciem, część danych już nie istnieje, a resztę trzeba ręcznie zestawiać po czasie. Klasyczny SIEM rozwiązuje to za cenę osobnej platformy, reguł do utrzymania i opłat za każdy gigabajt.

Bitdefender GravityZone Security Data Lake to dodatek do konsoli GravityZone, który łączy funkcje SIEM z magazynem typu data lake: zbiera logi z endpointów, sieci, chmury i narzędzi innych producentów, normalizuje je do wspólnego schematu, koreluje z telemetrią GravityZone i przechowuje w warstwach retencji tak, żeby dane pod dochodzenie i audyt były dostępne bez utrzymywania pełnego kosztu bieżącego przeszukiwania.

Jak to działa?

Zbieranie i normalizacja

Źródła przekazują logi do platformy: agent GravityZone dostarcza telemetrię stacji i serwerów, a narzędzia innych producentów, aplikacje i usługi chmurowe wysyłają swoje zdarzenia przez gotowe integracje albo kanały generyczne, takie jak Syslog. Każde zdarzenie jest parsowane do wspólnego schematu, więc wpis z zapory i wpis z EDR da się zestawić w jednym zapytaniu bez pisania translatorów.

Warstwy retencji i przywracanie

Dane trafiają do warstw hot, warm i archiwum. To, co bieżące, jest dostępne do natychmiastowego przeszukiwania; mniej krytyczne logi lądują w tańszej hurtowni zamiast obciążać warstwę bieżącą. Gdy dochodzenie albo audyt sięga wstecz, zarchiwizowane dane przywraca się wybiórczo - tylko zakres i źródła, które są potrzebne. Retencja przestaje być kompromisem między kosztem a tym, co zespół chciałby móc sprawdzić za pół roku.

Korelacja, priorytetyzacja i reakcja

Znormalizowane zdarzenia są korelowane z telemetrią GravityZone, a Asset Risk Model - oparty na integracjach z katalogiem tożsamości i oceną podatności - nadaje zasobom i incydentom wynik ryzyka. Nowe incydenty ustawiają się w kolejce według tego wyniku, więc analityk zaczyna od tego, co dotyczy najbardziej krytycznych zasobów. Pulpity i alerty pokazują stan środowiska, a jeśli organizacja korzysta z Bitdefender MDR, analitycy vendora pracują na tych samych danych.

Główne funkcje

Źródła danych

• Telemetria GravityZone ze stacji i serwerów
• Logi narzędzi innych producentów przez gotowe integracje
• Kanały generyczne (np. Syslog) dla źródeł spoza listy integracji
• Zapory sieciowe: Palo Alto, Check Point, Cisco ASA, Fortinet, Juniper, pfSense, SonicWall

Przechowywanie i wyszukiwanie

• Normalizacja do wspólnego schematu na wejściu
• Warstwy hot, warm i archiwum z osobnymi zasadami retencji
• Wybiórcze przywracanie zarchiwizowanych danych na potrzeby dochodzenia lub audytu
• Zautomatyzowane zarządzanie logami z elastyczną retencją pod wymagania zgodności

Analiza i priorytetyzacja

• Korelacja zdarzeń z wielu źródeł w jednym miejscu
• Asset Risk Model: wynik ryzyka zasobów i incydentów, redukcja szumu alertów
• Pulpity i alerty w konsoli GravityZone
• Wzbogacony kontekst dla analityków Bitdefender MDR: dane z narzędzi innych producentów w dochodzeniach i threat huntingu

Security Data Lake a XDR i EDR

Security Data Lake to warstwa nad GravityZone XDR, nie jego zamiennik. XDR koreluje telemetrię własnych sensorów Bitdefendera i buduje z niej incydenty; data lake dokłada logi wszystkiego, co nie ma agenta GravityZone - zapór, przełączników, aplikacji, usług chmurowych - i przechowuje je dłużej, niż wymaga sama detekcja. Porównanie EDR, XDR i SIEM w formie tabeli znajdziesz na stronie XDR; tutaj liczy się jedno: jeśli pytanie brzmi „co jeszcze widzimy poza endpointami i jak długo to trzymamy”, odpowiedzią jest data lake.

Wymagania i licencjonowanie

Model: osobny dodatek (add-on) do chmurowych licencji GravityZone. Vendor wymienia jako bazę Business Security Premium, Business Security Enterprise oraz usługi Bitdefender MDR, MDR Plus, MXDR i MXDR Plus (przy usługach wymagana jest bazowa licencja MDR).

Wykluczenie: dodatku nie da się dokupić do GravityZone EDR Cloud - to jedyne jawne wykluczenie na stronie vendora i warto je sprawdzić, zanim zaplanuje się budżet.

Źródła: lista gotowych integracji rośnie; dla źródeł spoza niej pozostaje kanał generyczny. Które z Twoich systemów mają integrację, a które pójdą przez Syslog, ustali handlowiec nFlo przed wyceną.

Dla kogo?

• Organizacje standaryzujące się na GravityZone - logi spoza endpointów w tej samej konsoli, bez osobnego SIEM do utrzymania
• Klienci Bitdefender MDR - analitycy vendora widzą zapory i chmurę, nie tylko stacje
• Podmioty kluczowe i ważne w rozumieniu uKSC - retencja i możliwość odtworzenia przebiegu zdarzeń na potrzeby zgłoszenia i audytu
• Firmy z ograniczonym zespołem SOC - priorytetyzacja wg ryzyka zasobów zamiast kolejki alertów; tam, gdzie potrzebny jest zespół 24/7 na heterogenicznym stosie, komplementarnie SOC nFlo

Jak GravityZone Security Data Lake wspiera NIS2 i uKSC?

Security Data Lake jest w mapie NIS2/uKSC warstwą danych: tym, na czym opiera się monitorowanie i z czego powstaje dokumentacja incydentu - dwa z dwunastu obszarów art. 8 uKSC i art. 21 NIS2, których pełne mapowanie opisujemy w artykule jak GravityZone wspiera NIS2 i uKSC:

• Ciągłe monitorowanie i wykrywanie zagrożeń - logi z zapór, chmury i aplikacji trafiają do jednego, znormalizowanego zbioru obok telemetrii GravityZone; korelacja i Asset Risk Model wskazują, które zdarzenia dotyczą krytycznych zasobów, a pulpity i alerty dają dowód, że środowisko jest obserwowane w całości, nie tylko na stacjach.
• Zarządzanie incydentami i reakcja - warstwowa retencja i wybiórcze przywracanie archiwum pozwalają odtworzyć przebieg zdarzenia także sprzed tygodni; z tego samego zbioru powstaje materiał do zgłoszenia i do przeglądu po incydencie.

Który z tych obszarów jest u Ciebie luką, sprawdzimy w ramach usługi NIS2 Readiness Check - Audyt zerowy.

Kto podlega ustawie, terminy i kary - zbiera nasz hub NIS2. GravityZone nie zastępuje SZBI, formalnego zarządzania ryzykiem, audytu ani odpowiedzialności organizacji za obowiązki z NIS2 i uKSC - wspiera ich techniczną część.

Dlaczego wdrożyć z nFlo?

• Sprawdzamy, czy Twoja licencja GravityZone dopuszcza dodatek, zanim ktokolwiek policzy budżet
• Inwentaryzujemy źródła logów i dobieramy integracje albo kanały Syslog dla każdego z nich
• Ustawiamy zasady retencji pod wymagania zgłoszeniowe i audytowe, nie pod domyślne wartości
• Łączymy data lake z SOC nFlo tam, gdzie potrzebny jest zespół analityków na całym stosie, nie tylko na GravityZone