برای MSSPها و تیمهای SOC
Zedmos یک SIEM نیست و از شما نمیخواهد آنچه را اداره میکنید جایگزین کنید. نقطه اجرا در لبه مشتری است، منبعی که به پلتفرم شما رکوردی ارزشمند برای همبستگی میدهد، و — برخلاف بیشتر حسگرها — جایی که پاسخ هم میتواند رخ دهد. یک کنسول هر مشتری را پوشش میدهد، و یک تحلیلگر فقط همان مشتریای را میبیند که به او تخصیص داده شده.
همهچیز در این صفحه یک صفحه روی فایروال است. بدون کانکتوری برای ساختن، بدون جمعکنندهای برای میزبانی در میانه.
Splunk و ArcSight از CEF روی TCP استفاده میکنند، QRadar از LEEF، و syslog امن از JSON روی TLS. انتخاب پروفایل انتقال، قاببندی و پورت را با هم تنظیم میکند.
فقط اقدامهای اجرایی را ارسال کنید و سقفی برای رویداد در ثانیه بگذارید. اینجاست که یک MSSP تصمیم میگیرد مجوز مشتری برای چه چیزی صورتحساب شود — پیش از آنکه رویدادها از جعبه خارج شوند.
اطلاعات تهدید، IDS/IPS، DNS، اسکن فایل، TLS، هویت و ترافیک برنامه کلیدهای جداگانهاند که هر یک فیلدهایی را که حمل میکند نام میبرد. ترافیک مجاز عادی به صورت پیشفرض خاموش است.
تحویلشده، خطاها، اتصالهای مجدد و دورانداختههای محدودشده به نرخ جداگانه شمرده میشوند، تا سقفی که گذاشتید هرگز به صورت قطعیای که نگذاشتید خوانده نشود. یک ضبط پنجثانیهای رویدادهای بعدی روی سیم را نشان میدهد.
ذخیرهسازی، همبستگی میان منابع، شکار و مدیریت پرونده کار پلتفرم شماست، و از قبل پولش را دادهاید. کار ما این است که خوشرفتارترین منبع در آن باشیم: CEF برای Splunk و ArcSight، LEEF 2.0 برای QRadar، JSON ساختیافته، RFC 5424 یا 3164، روی UDP، TCP یا TLS روی 6514 — یا مستقیم به نقطه پایانی bulk در Elasticsearch جایی که پرش syslog نمیخواهید.
رویداد تصمیم و قاعده پشتش را حمل میکند — سیاست و گروه تطبیقشده، شناسه قاعده، برنامه و دسته، SNI، پرسش DNS پرسیدهشده، URI، رابط، شمار بایت — و کاربر و دستگاهی که جریان به آن تعلق داشت، روی جعبه از هویت دایرکتوری و VPN حلشده. اولین پرسش پس از یک هشدار «چه کسی» است، و از قبل در رکورد پاسخ داده شده.
فیلترینگ پیش از خروج رویداد از فایروال انجام میشود: بر اساس نوع رویداد، دسته جریان، حداقل شدت، حداقل اندازه، زیرشبکه مبدأ، رابط، یا فقط جریانهای مسدودشده — با سقف سطل توکن روی رویداد در ثانیه بالای همه آنها. حجم دریافت به جای قیمت روشن کردن بازرسی، دکمهای میشود که به ازای هر مشتری تنظیم میکنید.
وقتی هدف از پاسخ دادن بازمیایستد مقصد پیش از ارسال روی دیسک مینویسد و پس از بازگشت آن عقبافتادهها را دوباره پخش میکند، درون حد اندازهای که تنظیم میکنید. رویدادی که سقف انتخابی شما انداخته جدا از رویدادی که ارسالش ناموفق بوده شمرده میشود، پس سقفی عمدی هرگز به صورت قطعی خوانده نمیشود.
هدف صادرات به ازای هر فایروال است. مشتریای که SIEM خودش را اداره میکند آن را نگه میدارد؛ مشتریای که مرکزی پایش میکنید به مال شما میفرستد؛ شبکه مشترکمدیریتشده به هر دو میفرستد. هیچچیز در راه از مستأجر فروشنده عبور نمیکند، چون مستأجر فروشندهای در مسیر نیست.
دسترسی یک نقش است — مالک، مدیر یا بیننده — اعطاشده در مستأجر، شعبه یا تکگیتوی. تحلیلگر خط اول میتواند به یک مشتری، یا به یک سایت درون آن محدود شود، و کنسول چیزی کنار آن نشان نمیدهد. مرز در مدل داده مینشیند، نه در فیلتری که کسی باید به یاد داشته باشد.
یک مدیر توکن نصب یکبارمصرفی پیوندخورده به مشتری و به یک انقضا صادر میکند. فایروال آن را در اولین ثبتش ارائه میدهد، توکن مصرف میشود، و جعبه از آن پس به آن مشتری پیوند خورده است. توکن هششده ذخیره و یک بار نشان داده میشود، پس صفحه کنسول نشتکرده ثبتنامی به کسی نمیدهد.
بیشتر حسگرها فقط میتوانند به شما بگویند. این یکی فراتر از allow و drop میتواند دستگاه را قرنطینه کند، مبدأ را tarpit کند، تشدید کند، بازنویسی کند، یا به وبهوک SOAR شما POST کند — روی یک نخ کارگر اعزامشده، پس مسیر درونخط هرگز منتظر خودکارسازی شما نمیماند و وبهوک کند نمیتواند مشکل شبکه شود.
اگر کنسول در دسترس نباشد، یا مجوزی منقضی شود، هر فایروال به اجرای سیاستی که از قبل نگه میدارد ادامه میدهد و به نوشتن رکوردهایش ادامه میدهد. هیچچیز در مسیر تشخیص به بالا ماندن یک مستأجر ابری وابسته نیست، و هیچچیز به خاطر صورتحساب متوقف نمیشود.
دمو و قیمت: info@zedmos.com
درخواست دمو