Como os MSSPs podem usar o Stellar Cyber para integrar insights de identidade em um serviço gerenciado oportuno e escalável, que gera novas receitas recorrentes e maior valor para o cliente.
A oportunidade: transformar a telemetria de identidade já gerada pelos clientes em um serviço gerenciado que detecta comportamentos anormais, os correlaciona com o ataque em geral, orienta a resposta e comprova seu valor com relatórios específicos para cada cliente.
Os MSSPs estão sempre em busca do próximo serviço pelo qual os clientes realmente pagarão. A segurança de identidade pode ser uma das oportunidades mais claras no momento. A maioria dos clientes já possui IAM. Eles têm Active Directory, Microsoft Entity Framework, Okta, MFA e políticas de acesso. Essas ferramentas ajudam a responder a uma pergunta essencial:
Quem deve ter acesso?
Mas os atacantes estão cada vez mais explorando identidades que já possuem acesso.
Uma senha é roubada. Uma sessão é sequestrada. Uma conta de serviço é usada indevidamente. Um usuário legítimo faz login repentinamente de um local inesperado, acessa um sistema que nunca utilizou antes ou começa a se comportar de maneira atípica.
Isso cria uma oportunidade para MSSPs Para responder a uma pergunta muito mais valiosa:
O que suas identidades estão fazendo agora – e com quais delas você deveria se preocupar?
Com o Stellar Cyber, os MSSPs podem transformar esses sinais em um serviço gerenciado recorrente.
Não é apenas mais uma ferramenta de identidade. É uma visão profunda da identidade.
Comece com os dados de identidade que os clientes já possuem.
A primeira vantagem é simples: os MSSPs não precisam criar uma nova pilha de identidades.
A Stellar Cyber pode coletar dados relacionados à identidade e usá-los juntamente com o restante da telemetria de segurança do cliente.
Para o Microsoft Entra ID, a Stellar Cyber pode coletar registros de login, eventos de auditoria, detecções de risco, informações sobre usuários de risco, perfis de usuário e logins de entidades de serviço. As informações do usuário provenientes do Entra enriquecem os registros do Interflow da Stellar Cyber e fornecem contexto de perfil para a Análise de Comportamento do Usuário.
Stellar Cyber KB: Conector Microsoft Entra ID
Isso é importante porque o MSSP pode ir além de:
“Ocorreu um evento de identidade.” para:
“Este usuário se comportou de maneira diferente, e aqui está o que aconteceu em relação a essa identidade.”
Essa é uma conversa de serviço muito mais valiosa.
Detectar comportamentos. O IAM não foi projetado para explicar.
| Signal | O que isso indica ao MSSP |
|---|---|
| Viagem Impossível | Um usuário parece estar se autenticando a partir de locais que não são realisticamente acessíveis no período observado. |
| Anomalia na localização de login do usuário | Um usuário se autentica a partir de um local incomum em relação ao seu comportamento anterior. |
| Contagem de locais de tentativas de login | Uma identidade surge de um número anormal de locais. |
| Anomalia no tempo de login | Um usuário faz login em um horário incomum para essa identidade. |
| Anomalia de acesso a ativos do usuário | Uma identidade acessa um recurso que difere de seu comportamento estabelecido. |
Muitas dessas detecções são explicitamente etiquetadas na plataforma como Análise de Comportamento do Usuário e Detecção de Identidade.
Stellar Cyber KB: Detecções de aprendizado de máquina usando dados de tráfego
Cibernético Estelar 6.6 Melhora a fidelidade desta camada. Esta versão adiciona supressão personalizável para
Anomalias de localização de login de usuários e viagens impossíveis priorizam registros que contenham nomes de usuário para
Impossible Travel e adiciona enriquecimento ASN a esses alertas.
Stellar Cyber KB: Notas de lançamento da versão 6.6
Você não está tentando monetizar mais alertas. Você está tentando monetizar respostas melhores.
Inclua a identidade na narrativa do ataque.
É aqui que o serviço se diferencia. Um alerta que identifica apenas a identidade pode informar a um analista que um login parece suspeito. No entanto, ele não explica necessariamente o que aconteceu em seguida.
A visualização de Análise de Casos do Stellar Cyber conecta usuários a hosts, processos, arquivos, serviços, URLs e outras entidades em uma representação gráfica do ataque. Desde a versão 6.3, o Stellar Cyber consegue conectar usuários a hosts relacionados mesmo quando o evento subjacente não é classificado como UBA (Ataque Baseado em Usuário). Base de Conhecimento do Stellar Cyber: Análise de Casos
- Login suspeito
- usuário afetado
- hospedeiro associado
- atividade de processo
- comportamento de rede
- outros alertas
- casas
Isso é muito mais convincente do que encaminhar um alerta da Impossible Travel para o cliente e perguntar...
para que eles investiguem.
O serviço passa a ser:
- Detectamos comportamento suspeito em relação à identidade.
- Correlacionamos isso com o restante do seu ambiente.
- Determinamos se isso representava um ataque.
Use a automação para fazer a economia funcionar.
Um novo serviço gerenciado só funciona se o MSSP (provedor de serviços gerenciados) conseguir entregá-lo sem precisar contratar analistas na mesma proporção em que contrata clientes.
O Alert Auto Triage do Stellar Cyber pode investigar alertas automaticamente e atribuir veredictos como Verdadeiro Positivo, Verdadeiro Positivo Benigno, Falso Positivo ou Inconclusivo. Na versão 6.6, os analistas podem filtrar esses veredictos diretamente nas visualizações da Tabela de Alertas e da Busca de Ameaças, além de acessar ações de resposta na página de triagem.
Stellar Cyber KB: Notas de versão 6.6
A investigação também pode incorporar consultas de identidade em tempo real a partir de integrações como Okta e Microsoft Entra ID, juntamente com telemetria de endpoints, inteligência de ameaças e outras evidências.
Stellar Cyber KB: Desempenho do Alerta de Triagem Automática
A máquina realiza o enriquecimento repetitivo e a investigação inicial. O analista concentra-se na atividade de identificação que merece atenção.
É isso que torna o serviço mais fácil de dimensionar para diferentes inquilinos.
Não pare na detecção
No final das contas, o que importa para os clientes é o que acontece depois que algo suspeito é encontrado.
Para o Microsoft Entra ID, a Stellar Cyber oferece suporte a ações de resposta, incluindo desabilitar um usuário, confirmar que um usuário foi comprometido, revogar sessões de login existentes, descartar o risco do usuário, remover um usuário de um grupo e adicionar um usuário a um grupo. Essas ações dependem do licenciamento e das permissões apropriadas da Microsoft.
Stellar Cyber KB: Conector Microsoft Entra ID e ações de resposta
Isso oferece aos MSSPs um caminho natural para os níveis de serviço:
| Nível de serviço potencial | Valor para o cliente |
|---|---|
| Monitoramento e insights de identidade | Detectar e reportar anomalias de identidade significativas. |
| Investigação de identidade gerenciada | Adicionar validação do analista, correlação e contexto do caso. |
| Resposta de identidade gerenciada | Adicione fluxos de resposta aprovados pelo cliente, como revogação de sessão ou desativação de conta. |
- Signal
- investigação
- decisão
- resposta
Apresente o valor de forma que os clientes o percebam.
Esta talvez seja a parte mais importante do modelo de negócios. Os clientes precisam ver o que o MSSP fez.
A Stellar Cyber pode criar relatórios recorrentes específicos para cada locatário e relatórios exportados para painéis de controle. Um MSSP pode gerar relatórios individuais para cada locatário, agendá-los diariamente, semanalmente ou mensalmente e garantir que cada locatário receba apenas suas próprias informações. A identidade visual do grupo de locatários também pode substituir a identidade visual da Stellar Cyber nos relatórios compatíveis.
Stellar Cyber KB: Relatórios
Isso possibilita a criação de um Relatório de Insights de Segurança de Identidade repetível, que mostra:
- Anomalias de identidade de alto risco
- Usuários investigaram
- Mudanças significativas no comportamento de identidade
- Casos envolvendo identidade
- Medidas de resposta tomadas
- Tendências de identidade ao longo do tempo
Eis as identidades que mudaram o comportamento. Eis o que investigamos. Eis o que importou. Eis o que fizemos a respeito.
Isso torna visível o trabalho de segurança invisível. E valor visível ajuda na retenção de clientes.
Projetado para atender a todos os clientes, não apenas um cliente por vez.
A peça final é a escala. A arquitetura multi-inquilino da Stellar Cyber foi projetada para dar suporte a MSSPs, incluindo segregação de dados de inquilinos, personalização de aprendizado de máquina e visualizações operacionais centralizadas.
Stellar Cyber KB: Visão geral do administrador e multilocação
É possível gerar relatórios automaticamente por locatário. Em cenários compatíveis, um Sensor Modular também pode coletar logs de vários locatários, mantendo a identidade correta de cada locatário nos registros.
Stellar Cyber KB: Ingestão de logs multi-inquilino
A administração de licenças também expõe a alocação e o uso de recursos pelos clientes, permitindo que os MSSPs compreendam o consumo de capacidade entre os clientes.
Stellar Cyber KB: Licenciamento do sistema
Crie o serviço uma vez. Ofereça-o a toda a base de clientes.
De sinais de identidade a receita recorrente
Seus clientes já possuem infraestrutura de identidade.
O que muitos deles não têm é uma equipe que esteja constantemente perguntando:
- Essa identidade está se comportando normalmente?
- Esse comportamento suspeito está relacionado a algo que está acontecendo no dispositivo, na rede ou na nuvem?
- Alguém precisa investigar?
- Precisamos agir?
É aí que um MSSP pode agregar valor.
A Stellar Cyber fornece telemetria de identidade, detecção comportamental, correlação, investigação e resposta.
e relatórios multi-inquilino necessários para transformar essas questões em uma oferta gerenciada.
- Transforme sinais de identidade em insights.
- Transforme a percepção em um serviço.
- Transforme esse serviço em nova receita recorrente, oferecendo aos clientes mais um motivo para permanecerem fiéis.
