SIEM i bezpieczeństwo IT na Elastic Security
Wdrażamy i utrzymujemy SIEM na Elastic Security. Zbieramy logi z całego środowiska, wykrywamy podejrzane zdarzenia, łączymy je w incydenty, wysyłamy alerty i automatyzujemy reakcję. Relipoint jest oficjalnym partnerem Elastic, a zespół ma akredytacje w obszarze Security.
Z czym zgłaszają się do nas zespoły bezpieczeństwa
-
Nikt nie czyta logów bezpieczeństwa
Zdarzenia z firewalli, serwerów i chmury leżą osobno. SIEM zbiera je w jednym miejscu i wskazuje te, które wymagają reakcji.
-
Za dużo alarmów, za mało czasu
Zespół tonie w powiadomieniach i ignoruje także te ważne. Korelacja i dobrane reguły ograniczają szum do zdarzeń, którymi warto się zająć.
-
Reakcja na incydent trwa zbyt długo
Każdy incydent wymaga tych samych ręcznych kroków. Automatyzacja (SOAR) wykonuje powtarzalne czynności, np. blokowanie podejrzanego adresu IP.
-
Audyt wymaga dowodów
Trzeba pokazać, co się działo, kiedy i kto zareagował. SIEM przechowuje zdarzenia i generuje raporty zgodności.
SIEM ma sens wtedy, gdy ktoś przejmuje to, co wykryje. Dlatego wdrożenie obejmuje nie tylko platformę, ale też reguły, alerty i ustalenie, kto i jak reaguje na zdarzenia.
Fundamentem SIEM są dobrze zebrane logi, więc często zaczynamy od ich centralizacji. Platformę uruchamiamy jako wdrożenie Elastic, a wyniki pokazujemy na dashboardach.
Jak wyceniamy
Cenę ustalamy po poznaniu środowiska. Zależy od liczby źródeł logów i chronionych stacji, ilości danych, czasu przechowywania, zakresu reguł i automatyzacji, modelu wdrożenia oraz zakresu utrzymania i dyżuru.
Co robimy
- Zbieramy logi bezpieczeństwa z serwerów, stacji, urządzeń sieciowych, aplikacji i chmur
- Wdrażamy Elastic Security jako SIEM, razem z regułami wykrywania zagrożeń
- Korelujemy zdarzenia z wielu źródeł, żeby wykrywać złożone ataki
- Ustawiamy alerty i ich eskalację do właściwych osób
- Automatyzujemy reakcję na incydenty (SOAR), np. blokowanie podejrzanych adresów IP
- Wdrażamy ochronę stacji i serwerów (EDR) w Elastic Security
- Przygotowujemy raporty bezpieczeństwa i zgodności
- Utrzymujemy platformę, dostrajamy reguły i pełnimy dyżur w zakresie z umowy
Dla kogo
- Potrzebujesz SIEM i chcesz zbudować go na Elastic Stack
- Masz logi bezpieczeństwa, ale nikt ich nie analizuje
- Musisz wykazać zgodność z wymaganiami audytu lub regulacji
- Obecny SIEM jest zbyt drogi albo zbyt rozbudowany
Wykrywanie i korelacja
Reguły wykrywania szukają podejrzanych działań, na przykład prób włamania albo ataków typu brute force. Korelacja łączy zdarzenia z różnych źródeł, bo pojedynczy log rzadko wystarcza, żeby rozpoznać atak.
- Reguły wykrywania zagrożeń w Elastic Security
- Korelacja zdarzeń z serwerów, sieci i chmur
- Alerty z eskalacją do osób odpowiedzialnych
Reakcja, EDR i automatyzacja
Gdy zagrożenie zostanie wykryte, liczy się czas. Ochrona stacji i serwerów (EDR) zbiera dane z punktów końcowych, a automatyzacja SOAR wykonuje powtarzalne kroki, na przykład blokuje podejrzany adres IP.
- EDR na stacjach i serwerach
- Automatyzacja reakcji (SOAR)
- Dane do analizy incydentu w jednym miejscu
Raporty i zgodność
Przygotowujemy raporty, które pokazują stan bezpieczeństwa i zdarzenia w ustalonym okresie. Pomagają w audytach oraz w rozmowach z zarządem i klientami.
- Raporty z incydentów i trendów
- Dane do audytów i kontroli
Jak pracujemy
- 1
Przegląd środowiska
Ustalamy źródła logów, wymagania bezpieczeństwa i istniejące narzędzia.
- 2
Architektura
Dobieramy model wdrożenia Elastic, retencję i zakres reguł.
- 3
Wdrożenie
Uruchamiamy zbieranie danych, reguły wykrywania, alerty i automatyzację.
- 4
Dostrajanie
Przeglądamy alerty z pierwszych tygodni i ograniczamy fałszywe alarmy.
- 5
Utrzymanie i dyżur
Utrzymujemy platformę i reagujemy na zdarzenia w zakresie ustalonym w umowie.
Doświadczenie
- Relipoint jest oficjalnym partnerem Elastic, a zespół ma akredytacje producenta w obszarze Security (Sales Specialist i Sales Engineer).
Najczęstsze pytania
Czym jest SIEM?
SIEM to system, który zbiera logi z całego środowiska, łączy je ze sobą i alarmuje o zdarzeniach wskazujących na atak. Nazwa pochodzi od angielskiego security information and event management.
Czy SIEM zastępuje antywirusa lub firewall?
Nie. SIEM nie blokuje ruchu sam z siebie, tylko analizuje zdarzenia z innych zabezpieczeń i wskazuje, co wymaga reakcji. Razem z EDR może też reagować na stacjach i serwerach.
Czy reagujecie na alerty całą dobę?
Zakres dyżuru i godziny reakcji ustalamy w umowie, zależnie od tego, czego potrzebujesz.
Czy wdrażacie wspólnie z Conetso Group?
Tak. Wdrożenia Elastic w obszarze SIEM realizujemy razem z Conetso Group, która zajmuje się też zabezpieczeniami infrastruktury, takimi jak firewalle czy ochrona stacji.
Zobacz także
-
Zarządzanie logami w Elasticsearch i Kibanie
Logi aplikacji, chmur, sieci, maszyn wirtualnych i hypervisorów w jednym miejscu: zbieranie, wyszukiwanie, retencja i alerty.
-
Wdrożenia Elastic Stack: licencje, wdrożenie i utrzymanie
Oficjalny partner Elastic: licencje, wdrożenie, optymalizacja kosztów i wydajności klastrów, utrzymanie i dyżur.
-
Monitoring infrastruktury IT na Elastic
Serwery, sieć, serwerownia, sprzęt i chmury w jednym systemie monitoringu: dane, dashboardy i alerty na Elastic Stack.
-
Conetso Group
Cyberbezpieczeństwo w Conetso Group
Firewalle, ochrona komputerów, zabezpieczenia Microsoft 365 i SIEM realizowany wspólnie z Relipoint.
