في عام 2012، عملتُ لدى إحدى أوائل الشركات التي قدمت خدمات الأمن السحابي. في ذلك الوقت، كان تأمين بيئة العمل من السحابة تقنية متطورة، وكانت العديد من فرق الأمن متخوفة من إدخال ما اعتبرته نقطة ضعف أخرى في إطار عملها الأمني. أما اليوم، فإن نشر... SIEM, XDRأو منصة SecOps على الأجهزة المادية تبدو قديمة الطراز بالنسبة للعديد من قادة الأمن اليوم.
في الواقع، هناك أسباب وجيهة تجعل فرق الأمان تنظر إلى السحابة باعتبارها خيار النشر المفضل لديهم لمنتجات الأمان، بدءًا من النشر السريع وحتى تقليل التكاليف ومرونة الوصول إلى المنتج من أي متصفح ويب آمن. ومع ذلك، فإن لدى فريق الأمان أسبابًا وجيهة أيضًا لاختيار نهج منصة العمليات الأمنية المحلية. فيما يلي أربعة أسباب تجعل النشر المحلي هو الخيار الصحيح لمؤسستك.
أربعة أسباب للنشر محليًا
1. البيانات شديدة الحساسية
يعطي كل فريق أمني الأولوية لسرية بيانات شركته. ومع ذلك، إذا كانت مؤسستك تتعامل مع معلومات سرية، فقد يُطلب منك التأكد من عدم مغادرة البيانات بيئتك أبدًا. في مثل هذه الحالات، يعد استخدام أي منتجات أمنية مستندة إلى السحابة أمرًا غير موفق. من خلال نشر منصة SecOps الخاصة بك محليًا، يمكنك الاطمئنان إلى أن سجلاتك الحساسة ومعلومات الأمان الأخرى تظل آمنة داخل جدران بيئتك، مما يوفر طبقة إضافية من الحماية.
2. قوانين
يمكن أن تختلف الدرجة التي تقوم بها الهيئات التنظيمية بفحص الصناعة بشكل كبير اعتمادًا على نوع البيانات التي تتعامل معها المنظمة واحتمال أن تتسبب تلك البيانات، في حالة اختراقها، في إلحاق ضرر كبير بالعملاء. على سبيل المثال، يجب أن تلتزم مؤسسات الرعاية الصحية والمالية والحكومية بالمتطلبات التنظيمية الصارمة، مثل اللائحة العامة لحماية البيانات (GDPR) وقانون نقل التأمين الصحي والمسؤولية (HIPAA) وغيرها من قوانين حماية البيانات الإقليمية. لنفترض أن مؤسستك جزء من إحدى هذه الصناعات شديدة التنظيم. في هذه الحالة، قد لا يكون لديك خيار سوى نشر منصة SecOps الخاصة بك محليًا للقضاء على الانتهاكات التنظيمية المحتملة.
3. التخصيص والتحكم في الإصدار
اعتمادًا على قدرات فريق الأمان الخاص بك وحالات الاستخدام المستهدفة، قد تحتاج إلى نشر بعض التكوينات و/أو التعليمات البرمجية المخصصة أعلى نظام SecOps الأساسي الجاهز. عند العمل مع منصة SecOps المستندة إلى السحابة، قد يقوم البائع بتقييد قدرتك على إجراء هذه الأنواع من التخصيصات على النظام الأساسي. بالإضافة إلى ذلك، قد يقوم البائع بتطبيق تحديثات على نظام SecOps الأساسي دون إشعار مسبق أو بدون إشعار مسبق، مما قد يسبب بعض الإرهاق لفريق الأمان لديك. من خلال النشر المحلي، يمكن لفريق الأمان الخاص بك تنفيذ سياسات أمان مخصصة و/أو أتمتة قد يكون من الصعب تنفيذها على نظام أساسي قائم على السحابة. يمكن لهذا المستوى من المرونة والتحكم أن يمكّن فريقك، مما يسمح لهم بتخصيص النظام الأساسي وفقًا لاحتياجاتهم المحددة والحفاظ على التحكم في الإصدار دون أي قيود خارجية.
4. اعتبارات الأداء
في حين أن معظم المؤسسات تعمل مع شبكات عالية السرعة قادرة على تقليل زمن الوصول، حتى عند تحميل مجموعات كبيرة من البيانات أو تنزيلها، فقد يواجه البعض صعوبة في موثوقية/استقرار الشبكة بسبب موقع مكاتبهم. بالإضافة إلى ذلك، هناك حالات لا يكون لدى مؤسسة أو جزء منها اتصال بالإنترنت للامتثال للسياسات الداخلية أو الخارجية. إذا كنت في موقف مماثل، فإن نموذج النشر المحلي هو خيارك الحقيقي الوحيد.
اختيار منصة SecOps المحلية التالية
بينما أوضحت أربعة أسباب تجعل نشر نظام محلي لـ SIEM قد تكون هناك حاجة إلى منصة عمليات أمنية، أو غيرها الكثير. وبغض النظر عن سبب ضرورة النشر محليًا، فإن السؤال المنطقي التالي قد يكون: "كيف أختار..." SIEMمنصة عمليات الأمن السيبراني التي تلبي احتياجات النشر الخاصة بي؟
فيما يلي ثلاث توصيات عند اختيار النظام الأساسي المحلي الخاص بك.
1. القدرات
في حين أن هذا أمر بديهي، فإن منصات العمليات الأمنية التي تدعم إمكانات النشر المحلية تختلف بشكل كبير. في الطرف الأدنى من نطاق الإمكانات، قد يكون لديك بائعون يروجون لنظام أساسي محلي قابل للنشر يمكّنك من استيعاب بيانات السجل من العديد من المصادر المختلفة ولكنه يتطلب منك إنشاء جميع قواعد الكشف والارتباط وإدارتها والحفاظ عليها. هذا المنتج عبارة عن أداة رائعة لإدارة السجلات ستجعل فريقك بلا شك أقل فعالية على المدى الطويل.
على النقيض تمامًا، توجد منتجات تتميز بسهولة تكوين عمليات التكامل، وقادرة على رصد تنبيهات الأمان من جهات خارجية، وبيانات السجلات، وحركة مرور الشبكة، وتدفقات أنشطة المستخدمين والأصول. بعد ذلك، تعمل نماذج التعلم الآلي والذكاء الاصطناعي، جنبًا إلى جنب مع قواعد الكشف التي يحددها المورد، على كشف التهديدات المتقدمة تلقائيًا دون أي تدخل بشري. هذا هو نظام Stellar Cyber. Open XDR تعمل المنصة بهذه الطريقة.
عند تقييم خياراتك، اطرح أسئلة استقصائية بخصوص القدرات وأصر على إثبات المفهوم (PoC) في بيئتك للتحقق من صحة ادعاءات البائع.
2. عمليات التكامل
كما هو مشار إليه في توصيتي الأولى، تعد عمليات التكامل أمرًا بالغ الأهمية للحصول على قيمة من أي نظام أساسي للعمليات الأمنية. أي شخص عمل مع منتج يتطلب عمليات تكامل يدوية كبيرة ومصممة خصيصًا يعرف الكابوس الذي يمكن أن يتحول إليه هذا الأمر بسرعة. أولاً، لا تتمتع جميع فرق الأمان بالمهارات الفنية اللازمة لصياغة عمليات التكامل الخاصة بها، لذلك يجب عليهم إما التعاقد مع مورد خارجي لإنشاء عمليات التكامل والحفاظ عليها، أو دفع رسوم إضافية للبائع لبناء عمليات التكامل، أو استئجار مورد مخصص لامتلاك عمليات التكامل . في أي من هذه الحالات، تكون النتيجة منصة تكلف أكثر بكثير من المتوقع مع مرور الوقت.
الخيار الأفضل هو تحديد نظام أساسي حيث يستثمر البائع جهوده وموارده في إنشاء عمليات تكامل يمكن لفريق الأمان لديك تكوينها بسهولة. على سبيل المثال، تتضمن منصتنا مئات من عمليات التكامل المعدة مسبقًا والمتاحة لجميع المستخدمين دون أي تكلفة إضافية. علاوة على ذلك، إذا كان العميل يحتاج إلى عمليات تكامل إضافية، فإننا نقوم بتطويرها دون أي تكلفة إضافية.
عند التحدث مع البائعين، تأكد من أنهم يفهمون المنتجات التي تنوي دمجها وما إذا كانت منصاتهم تدعمها. تحقق من صحة ما يقولونه أثناء عملية إثبات المفهوم (PoC).
3. خارطة الطريق
اكتشاف أن المنتج الذي استثمرت فيه وأدمجته كمركز لسير العمل الأمني لديك ليس له مستقبل بشكل غير متوقع يمكن أن يحبط حتى أكثر قادة الأمان خبرة.
على سبيل المثال، استحواذ شركة بالو ألتو نتوركس مؤخراً على شركة آي بي إم كيو رادار SIEM لم يترك السحاب أي شيء IBM QRadar المحلي العملاء في البرد. إذا كان يجب على هؤلاء العملاء البقاء في أماكن العمل، فهم بحاجة إلى مورد آخر لتلبية احتياجات النشر الخاصة بهم ومساعدتهم على ترحيل بيانات QRadar الحالية وتكوينها وقواعدها إلى النظام الأساسي الجديد بسرعة.
في حين أن المنتجات التي تحتوي على خرائط طريق يمكن اجتياحها في الإجراءات المتعلقة بالمساهمين، مثل عمليات الدمج أو الاستحواذ، فإن رؤية أن البائع لديه خطط تتجاوز الإصدار الحالي من النظام الأساسي على الأقل يتيح لك معرفة أن النظام الأساسي سيستمر في التطور بناءً على التغييرات في مشهد التهديد واحتياجات المستخدم.
على سبيل المثال، هنا في Stellar Cyber، نقوم بانتظام بمراجعة خارطة الطريق الخاصة بنا مع العملاء والمحتملين لمنصتنا، والتي يمكن نشرها محليًا، في السحابة، أو إدارتها بشكل مشترك بواسطة MSSP من اختيارك. نحن نتحلى بالشفافية مع عملائنا لإعلامهم بأننا ملتزمون بدعم عمليات النشر السحابية والمحلية بنفس الإمكانات في المستقبل. كما يسمح هذا الالتزام لعملائنا بتكييف نهجهم الأمني مع تغير الأمور بالنسبة لهم. على سبيل المثال، إذا كان بإمكان المؤسسة الانتقال من النشر المحلي إلى السحابة في المستقبل، فيمكنها إجراء هذا الترحيل بسلاسة باستخدام Stellar Cyber دون تعلم منتج مختلف تمامًا.
إغلاق خاطرة
الأمن ليس اقتراحًا واحدًا يناسب الجميع.
على الرغم من أن الحوسبة السحابية توفر القدرة على توسيع نطاق الأعمال بسرعة وتساعد فريق الأمن على إدارة تكاليفه وموارده، إلا أن هناك أسبابًا وجيهة لنشر SIEM/XDRمنصة عمليات الأمن السيبراني (SecOps) المحلية. يُعدّ اتباع التوصيات البسيطة التي ذكرتها نقطة انطلاق جيدة في بحثك عن منصتك التالية. لمعرفة المزيد حول منصة Stellar Cyber Open XDR بإمكان منصة عمليات الأمن تلبية احتياجاتك في النشر المحلي، اتصل بنا اليوم لإعداد استشارة شخصية. بالإضافة إلى ذلك، إذا كنت أحد عملاء IBM QRadar المحليين النشطين وتتطلع إلى التحرك بسرعة، فلدينا عرض ترويجي خاص لك فقط.
