Para los proveedores de seguridad y aquellos en el XDR mercado específicamente, hay un eje arquitectónico de construir vs. integrar. En un extremo tienes "Construir / Adquirir todo" – proveedores que están integrados verticalmente y desean ser la pila de seguridad completa de una empresa. En el otro extremo, tienes “Integrar con Todo” – proveedores que construyen un solo componente o API destinado a ser integrado en una arquitectura más grande. Hay ventajas y desventajas para ambos enfoques. El campo "Construir/Adquirir todo" puede unir todos los componentes para crear una experiencia de seguridad cohesiva, pero lo hacen a expensas de estar enfocados y probablemente no serán los mejores de su clase. El campo "Integrar con todo" se deleita en su enfoque proporcionado y puede crear un producto fantástico con un alcance mínimo, pero requiere que un cierto comprador los incluya en su cartera de seguridad más amplia.
En Stellar Cyber, adoptamos el enfoque de estar en algún lugar en medio de este eje arquitectónico: un equilibrio entre las capacidades integradas (en particular NDR, SIEM, TIP, y XDR Motor de IA) y capacidades con las que nos integramos. Una de las clases de productos más importantes con las que nos integramos es EDR. Recientemente anunciamos la El primer EDR universal de la industria, que es la capacidad de traer cualquier EDR o EDR a nuestra plataforma, y no solo los respaldamos, sino que los mejoramos al tiempo que garantizamos un nivel de fidelidad independientemente de la elección de EDR. En otras palabras, permite a los usuarios obtener lo mejor de los enfoques incorporados e integrados: ofrece una Integración EDR universal donde el producto que se está integrando está tan estrechamente integrado que se comporta como si fuera una parte nativa de la plataforma, pero la plataforma permanece abierta.
Uno de los mayores desafíos técnicos que encontramos al desarrollar esta funcionalidad fue cómo generar alertas de alta fidelidad de forma consistente, independientemente del proveedor del EDR. Describimos nuestro enfoque técnico como "Rutas de Alerta" o las técnicas de procesamiento necesarias para convertir los datos del EDR de origen en una alerta de alta fidelidad en Stellar Cyber. Cada EDR es diferente, lo que justificó la necesidad de desarrollar un marco para gestionar cada EDR de manera eficaz.
El marco y las rutas de alerta que se describen a continuación son funciones de back-end fácilmente disponibles en el Stellar Cyber Abrir XDR Plataforma.
Ruta de alerta 1: "Enriquecimiento de transferencia"
La técnica de "enriquecimiento por transferencia" toma las alertas de los sistemas EDR de origen , las enriquece con información adicional sobre amenazas y las alinea con MITRE ATT&CK . En cierto modo, es como añadir contexto adicional tras volver a informar sobre las noticias, pero puede ser muy eficaz si algunas alertas específicas del EDR de origen son de máxima fidelidad. Sin embargo, en nuestra investigación, este enfoque solo es parcialmente aplicable a cualquier EDR dado.
Ruta de alerta 2: "Deduplicación"
La técnica de "deduplicación" aplica el aprendizaje automático para identificar alertas EDR de origen que son duplicadas y probablemente forman parte de la misma actividad, y genera una única alerta dentro de Stellar Cyber para mejorar la automatización y el rendimiento de los analistas.
Ruta de alerta 3: "Aprendizaje automático basado en eventos"
La técnica de "Aprendizaje Automático Basado en Eventos" es la más compleja desde el punto de vista técnico, ya que todos los eventos y alertas de EDR de origen se procesan mediante diferentes modelos de alerta de aprendizaje automático que generan nuevas alertas dentro de Stellar Cyber. Esto requiere un análisis de datos exhaustivo y un proceso de normalización riguroso para su correcta aplicación en todos los proveedores de EDR.
Nuestro enfoque de EDR universal
Nuestro principio rector para diseñar este marco es el resultado de seguridad para el usuario final. Dado que ningún EDR es igual, esto significa que aplicamos diferentes rutas de alerta a diferentes subconjuntos de alertas y eventos en diferentes productos de EDR. Por ejemplo, EDR 1 podría tener 10 % de traspaso, 50 % de deduplicación y 40 % basado en eventos de aprendizaje automático, mientras que para EDR 2 esas proporciones podrían ser 0 %, 80 % y 20 % respectivamente.
Como empresa que no desarrolla su propio sistema EDR, nos encontramos a la vanguardia de la investigación en seguridad de endpoints. Esto es emocionante internamente por el avance tecnológico en sí, pero sobre todo por lo que significa para nuestros clientes. Aún queda mucho trabajo por hacer, y si te interesa unirte a nuestro talentoso equipo de seguridad o ingeniería, consulta nuestras ofertas de empleo.
