لمقدّمي خدمات الأمن المُدارة ومراكز عمليات الأمن
Zedmos ليس SIEM ولا يطلب منك استبدال الذي تشغّله. هو نقطة الإنفاذ عند حافة العميل، والمصدر الذي يغذّي منصتك بسجل يستحق الربط، و— خلافًا لمعظم المستشعرات — المكان الذي يمكن أن تحدث فيه الاستجابة أيضًا. تغطي وحدة تحكم واحدة كل عميل، ولا يرى المحلل أبدًا سوى العميل المعيّن له.
كل ما في هذه الصفحة شاشة واحدة على جدار الحماية. لا موصّل يُبنى، ولا مجمّع يُستضاف بينهما.
يأخذ Splunk وArcSight صيغة CEF عبر TCP، ويأخذ QRadar صيغة LEEF، ويأخذ syslog الآمن JSON عبر TLS. واختيار الملف يضبط النقل والتأطير والمنفذ معًا.
أعد توجيه إجراءات الإنفاذ فقط، وضع سقفًا للأحداث في الثانية. هنا يقرر مقدّم خدمات الأمن المُدارة ما يُحاسب عليه ترخيص العميل — قبل أن تغادر الأحداث الصندوق.
الاستخبارات التهديدية وIDS/IPS وDNS وفحص الملفات وTLS والهوية وحركة التطبيقات مفاتيح منفصلة، كلٌّ يسمّي الحقول التي يحملها. والحركة العادية المسموح بها معطَّلة افتراضيًا.
يُعدّ المسلَّم والأخطاء وإعادة الاتصال والإسقاطات بسبب حد المعدل كلٌّ على حدة، فلا يُقرأ سقف وضعته أبدًا كانقطاع لم تضعه. ويعرض التقاط لخمس ثوانٍ الأحداث التالية على الخط.
التخزين والربط عبر المصادر والصيد وإدارة الحالات مهمة منصتك، وقد دفعت ثمنها بالفعل. ومهمتنا أن نكون المصدر الأحسن سلوكًا فيها: CEF لـ Splunk وArcSight، وLEEF 2.0 لـ QRadar، وJSON منظّم، وRFC 5424 أو 3164، عبر UDP أو TCP أو TLS على 6514 — أو مباشرة إلى نقطة نهاية Elasticsearch bulk حيث لا تُرغب قفزة syslog.
يحمل الحدث القرار والقاعدة وراءه — السياسة والمجموعة المطابقتين، ومعرّف القاعدة، والتطبيق والفئة، وSNI، وسؤال DNS المطروح، وURI، والواجهة، وعدد البايتات — والمستخدم والجهاز اللذين ينتمي إليهما التدفق، محلولَين على الصندوق من هوية الدليل وVPN. السؤال الأول بعد تنبيه هو من، وهو مُجاب بالفعل في السجل.
يجري الترشيح قبل أن يغادر الحدث جدار الحماية: حسب نوع الحدث، أو فئة التدفق، أو الحد الأدنى للخطورة، أو الحد الأدنى للحجم، أو الشبكة الفرعية المصدرية، أو الواجهة، أو التدفقات المحظورة فقط — مع سقف بدلو الرموز للأحداث في الثانية فوق كل ذلك. ويصبح حجم الاستيعاب قرصًا تضبطه لكل عميل بدلاً من ثمن تشغيل الفحص.
عندما يتوقف الهدف عن الاستجابة يكتب المصرف مسبقًا إلى القرص ويعيد تشغيل المتراكم حين يعود، ضمن حد حجم تضبطه. والحدث المُسقط بالسقف الذي اخترته يُعدّ منفصلاً عن الذي فشل إرساله، فلا يُقرأ سقف متعمَّد أبدًا كانقطاع.
هدف التصدير لكل جدار حماية. العميل الذي يشغّل SIEM خاصًا به يحتفظ به؛ والعميل الذي تراقبه مركزيًا يشحن إلى SIEM لديك؛ والمنشأة المُدارة بالاشتراك ترسل إلى كليهما. ولا يُمرَّر شيء عبر مستأجر مورّد في الطريق، لأنه لا يوجد مستأجر مورّد في المسار.
الوصول دور — مالك أو مسؤول أو مشاهد — يُمنح على مستوى المستأجر أو الفرع أو البوابة الواحدة. ويمكن قصر نطاق محلل الخط الأول على عميل واحد، أو على موقع واحد داخله، ولا تعرض وحدة التحكم شيئًا بجانبه. ويقع الحد في نموذج البيانات، لا في مرشّح على أحدهم أن يتذكره.
يُصدر مسؤول رمز تثبيت لمرة واحدة مرتبطًا بالعميل وبتاريخ انتهاء. يقدّمه جدار الحماية عند تسجيله الأول، ويُستهلك الرمز، ويُربط الصندوق بذلك العميل من ذلك الحين. ويُخزَّن الرمز مجزَّأً ويُعرض مرة واحدة، فلا تمنح صفحة وحدة تحكم مسرَّبة أحدًا تسجيلاً.
معظم المستشعرات لا تستطيع سوى إخبارك. أما هذا فيتجاوز السماح والإسقاط إلى عزل الجهاز، أو إبطاء المصدر، أو التصعيد، أو إعادة الكتابة، أو POST إلى خطاف ويب SOAR لديك — يُرسَل على خيط عامل، فلا ينتظر المسار المضمّن أتمتتك أبدًا ولا يستطيع خطاف ويب بطيء أن يصبح مشكلة شبكة.
إذا تعذّر الوصول إلى وحدة التحكم، أو انقضى ترخيص، يستمر كل جدار حماية في إنفاذ السياسة التي يحملها بالفعل ويستمر في كتابة سجلاته. لا شيء في مسار الكشف يعتمد على بقاء مستأجر سحابي قائمًا، ولا شيء يتوقف لأن الفوترة توقفت.
العرض التوضيحي والأسعار: info@zedmos.com
اطلب عرضًا توضيحيًا