لبائعي الأمن والموجودين في XDR السوق على وجه التحديد، هناك محور معماري للبناء مقابل التكامل. من جهة ، لديك "بناء / الحصول على كل شيء" - البائعون الذين تم دمجهم رأسياً ويريدون أن يكونوا مكدس أمان كامل للمؤسسة. على الطرف الآخر ، لديك "التكامل مع كل شيء" - البائعون الذين ينشئون مكونًا واحدًا أو واجهة برمجة تطبيقات من المفترض أن يتم تجميعها في بنية أكبر. هناك إيجابيات وسلبيات لكلا النهجين. يمكن لمعسكر "بناء / الحصول على كل شيء" ربط جميع المكونات معًا بإحكام لخلق تجربة أمنية متماسكة ، لكنهم يفعلون ذلك على حساب التركيز ومن المحتمل ألا يكون الأفضل من نوعه. يحتفل معسكر "التكامل مع كل شيء" بتركيزه الممنوح ويمكنه بناء منتج رائع مع الحد الأدنى من النطاق ، ولكنه يتطلب من مشترٍ معين وضعه في محفظة الأمان الأوسع الخاصة به.
في Stellar Cyber ، نتبع نهج التواجد في مكان ما في منتصف هذا المحور المعماري - التوازن بين القدرات المدمجة (لا سيما NDR, SIEM, TIP، و XDR محرك الذكاء الاصطناعي) والإمكانيات التي نتكامل معها. واحدة من أهم فئات المنتجات التي ندمج معها هي EDR. أعلنا مؤخرًا عن ملف أول EDR عالمي في الصناعة، وهي القدرة على جلب أي EDR أو EDR إلى منصتنا ، ونحن لا ندعمها فحسب ، بل نجعلها أفضل مع ضمان مستوى من الدقة بغض النظر عن خيار EDR. بمعنى آخر ، إنه يمكّن المستخدمين من الحصول على أفضل الأساليب المضمنة ودمجها - فهو يوفر ملف تكامل EDR العالمي حيث يتم دمج المنتج بإحكام بحيث يتصرف كما لو كان جزءًا أصليًا من النظام الأساسي ، ومع ذلك تظل المنصة مفتوحة.
كان أحد أكبر التحديات التقنية التي واجهناها أثناء تطوير هذه الإمكانية هو كيفية توليد تنبيهات عالية الدقة باستمرار بغض النظر عن مُورّد نظام الكشف والاستجابة لنقاط النهاية (EDR). نُعرّف منهجنا التقني بـ "مسارات التنبيه"، أو تقنيات المعالجة اللازمة للانتقال من بيانات EDR المصدرية إلى تنبيه عالي الدقة في نظام Stellar Cyber. يختلف كل نظام EDR عن الآخر، وهو ما استدعى تطوير إطار عمل للتعامل مع كل نظام EDR بكفاءة.
إطار العمل ومسارات التنبيه الموضحة أدناه هي ميزات خلفية متاحة بسهولة في ملف ستيلر سايبر Open XDR المنظومة.
مسار التنبيه 1 - "إثراء العبور"
تعتمد تقنية "الإثراء المباشر" على أخذ التنبيهات من أنظمة الكشف والاستجابة لنقاط النهاية (EDR) المصدرية ، ثم إثرائها بمعلومات إضافية حول التهديدات ومواءمتها مع إطار عمل MITRE ATT&CK . يشبه هذا إلى حد ما إضافة سياق إضافي بعد إعادة نشر الخبر، ولكنه قد يكون فعالاً للغاية إذا كانت بعض التنبيهات في نظام EDR المصدري ذات دقة عالية. مع ذلك، أظهرت أبحاثنا أن هذا النهج قابل للتطبيق جزئيًا فقط على أي نظام EDR محدد.
مسار التنبيه 2 - "إلغاء البيانات المكررة"
تعتمد تقنية "إزالة التكرار" على التعلم الآلي لتحديد تنبيهات EDR المصدرية المكررة والتي من المحتمل أن تكون جزءًا من نفس النشاط، وتولد تنبيهًا واحدًا داخل Stellar Cyber لتحسين الأتمتة وأداء المحللين.
مسار التنبيه 3 - "التعلم الآلي المستند إلى حدث"
تُعدّ تقنية "التعلم الآلي القائم على الأحداث" الأكثر تحديًا من الناحية التقنية، إذ تُعالَج جميع أحداث وتنبيهات أنظمة الكشف والاستجابة لنقاط النهاية (EDR) المصدرية عبر نماذج تنبيهات مختلفة تعتمد على التعلم الآلي، ما يُولّد تنبيهات جديدة ضمن نظام Stellar Cyber. ويتطلب ذلك دراسة معمقة للبيانات وعملية توحيد قوية لتطبيقها على مختلف مزودي أنظمة EDR.
منهجنا في تحقيق معدل نقل البيانات العالمي (EDR)
مبدأنا التوجيهي لتصميم هذا الإطار هو النتيجة الأمنية للمستخدم النهائي. نظرًا لعدم وجود EDR هو نفسه ، فهذا يعني أننا نطبق مسارات تنبيه مختلفة على مجموعات فرعية مختلفة من التنبيهات والأحداث عبر منتجات EDR المختلفة. على سبيل المثال ، قد تحتوي EDR 1 على 10٪ عبور ، و 50٪ إلغاء تكرار ، و 40٪ تعتمد على حدث التعلم الآلي ، بينما بالنسبة لـ EDR 2 ، يمكن أن تكون هذه النسب 0٪ و 80٪ و 20٪ على التوالي.
بالنسبة لشركة لا تُطوّر نظام كشف واستجابة نقاط النهاية داخليًا، نجد أنفسنا في طليعة أبحاث أمن نقاط النهاية. هذا الأمر مثيرٌ للاهتمام داخليًا، ليس فقط لحداثته، بل والأهم لما يعنيه لعملائنا. لا يزال أمامنا الكثير لننجزه، وإذا كنت مهتمًا بالانضمام إلى فريقنا المتميز في مجال الأمن أو الهندسة، يُرجى الاطلاع على الوظائف الشاغرة لدينا.
