Síť ukazuje souvislosti, které jinde nemusí být vidět

Endpoint bezpečnost ukáže, co se děje na konkrétním zařízení. SIEM dokáže shromáždit události z různých zdrojů. Síťová data přidávají další pohled: kdo s kým komunikuje a jak se toto chování mění v čase. Pokud se například na jednom zařízení objeví podezřelá aktivita, informace o samotném zařízení nemusí stačit. Síťový pohled může ukázat nové komunikační partnery, změnu objemu provozu nebo služby, které zařízení začalo využívat. Flowmon ADS vytváří behaviorální profily zařízení podle poskytovaných a využívaných služeb, objemu provozu a komunikačních partnerů. Na jejich základě dokáže upozornit například na změny chování zařízení nebo vznik nových síťových služeb. Pro zákazníka tak síťová data představují další zdroj informací, který může využít při vyšetřování incidentů a ověřování neobvyklého provozu.

Méně ruční práce při vyhodnocování

Velké množství síťových dat není možné dlouhodobě vyhodnocovat pouze ručně. Význam proto získávají behaviorální analýza, strojové učení a další automatizované detekční metody. Flowmon ADS využívá řadu unikátních detekčních metod a algoritmů, které kombinují například strojové učení, analýzu chování, threat intelligence a další přístupy. Počet metod ale sám o sobě zákazníkovi mnoho neřekne. Důležitější je, jak lze výsledky detekce dále využít. Flowmon například události prioritizuje a poskytuje jejich kontextovou vizualizaci. Detekované události lze dále analyzovat a zasadit do rámce MITRE ATT&CK, který pomáhá popsat použité taktiky a techniky a lépe porozumět charakteru podezřelé aktivity. Tím se může zkrátit cesta od prvního upozornění k rozhodnutí, zda a jak reagovat.

Síťová data nemusí zůstat izolovaná

Při nasazování dalšího bezpečnostního nástroje je pro zákazníka důležité také to, jak zapadne do stávajícího prostředí. Flowmon ADS podporuje automatizované výstupy prostřednictvím e-mailu, Syslogu, SNMP nebo vlastních skriptů a nabízí také centrální správu více instancí.

Síťová data a detekované události tak mohou být součástí širšího bezpečnostního procesu, místo aby zůstaly uzavřené v jednom nástroji. Pro integrátora nebo reseller partnera je to praktický aspekt nasazení. Síťovou viditelnost lze doplnit tam, kde v současné architektuře chybí, a propojit ji s nástroji, které zákazník už používá.

Rychlost má i obchodní rozměr

Když bezpečnostní tým tráví desítky minut nebo hodiny hledáním základních souvislostí, představuje to pro zákazníka reálné náklady – ať už na straně vlastních zaměstnanců, nebo externího bezpečnostního partnera. Technologie, která pomůže zkrátit vyšetřování, proto může přinést hodnotu i mimo samotnou detekci. Může omezit množství manuální práce, urychlit prvotní vyhodnocení bezpečnostních událostí a umožnit bezpečnostním týmům soustředit se na případy, které skutečně vyžadují jejich pozornost. Pro partnery to vytváří prostor nabídnout zákazníkům konkrétní zlepšení jejich stávající bezpečnostní architektury. Ne vždy potřebují další nástroj, který přidá desítky nových alertů. Někdy potřebují lépe využít data, která jejich infrastruktura už vytváří. A právě v tom může mít síťová viditelnost důležité místo. V kybernetické bezpečnosti proto stojí za to sledovat nejen rychlost detekce, ale také čas potřebný k pochopení toho, co se skutečně děje. Právě ten může rozhodovat o rychlosti další reakce.

Vyzkoušejte Progress Flowmon zdarma. Zjistěte, co se skutečně děje ve vaší síti. Projděte si demo verzi Progress Flowmon.