منصة SIEM لديك تُبلغ أنها سليمة. وهذه الوحدة تسأل البيئة التقنية.
قد تبدو منصة SIEM سليمة بينما أجزاء كاملة من البيئة التقنية لا ترسل إليها شيئًا. تقرأ هذه الوحدة اللوحة كما تقرأ الوحدات الأخرى جدارًا ناريًا — عبر واجهتها هي، للقراءة فقط — وتجيب عن السؤال الذي لا تستطيع اللوحة الإجابة عنه: هل تعمل منصة SIEM فعلًا؟
خريطة تغطية لكل أسطول: أي جدرانك النارية ومحوّلاتك وموجّهاتك وخوادم قواعد بياناتك تسمع منها اللوحة فعلًا، وأيها لا يرسل شيئًا. ويُعدّ الجهاز مغطّى فقط ما دام شيء يسلّم أحداثه، ولا تُحتسب التغذيات السحابية فجوات جرد.
تُقيَّم مصادر السجلات بوقت آخر حدث لدى اللوحة نفسها لا بحقل حالتها — لأن المصدر قد يبدو سليمًا وهو صامت.
قواعد منتقاة لم تُنتج شيئًا، تُفصل عن تلك التي لا يمكن أن تُطلق لأن لا شيء يغذّي البيانات التي تقرؤها. وعمليات الاكتشاف التي تقرأ جدولًا لا تستوعبه مساحة العمل تُجمَّع لكل جدول لا لكل قاعدة — لأن إعادة تسمية جدول عند المورّد قد تترك مئة قاعدة تبدو سليمة وهي لا تقرأ شيئًا.
أي مراحل الهجوم يمكن أن يلتقطها محتوى الاكتشاف المفعّل لديك، وأيها لا شيء مكتوب بإزائه — مقروءةً من تكتيكات MITRE ATT&CK التي تصنّف بها لوحتك قواعدها هي، لا مستنتَجة أبدًا. خريطة لما هو منشور، لا وعدًا بما سيُطلق.
أثناء انتقال منظمة بين لوحتين: ما الذي انتقل، وما الذي وصل معطَّلًا، وما الذي تُرك من الانتقاء — تُقاس والترحيل لا يزال جاريًا. ويمكن ربط QRadar وSentinel معًا وقياسهما في الدورة نفسها.
كل نتيجة مع الدليل وراءها، لا مجرد وسم للخطورة.
شرح مدمج لكل نتيجة — ما هي، ولماذا تهمّ، وماذا تفعل.
يُحتسب من النتائج ويُتتبَّع عبر الزمن.
نتائج مربوطة بضوابط الأطر التي تُسندها.
الفحص الذي يخمّن يُنتج نتائج زائفة، والنتائج الزائفة تعلّم الفريق تجاهل النتائج الحقيقية. هذه هي المواضع التي تتحفّظ فيها هذه الوحدة.
تُعدّ نتائج هذه الوحدة دليلًا في مجالات ضوابط التسجيل والمراقبة وجمع الأحداث والاكتشاف وعمليات الأمن في كل إطار مُفعَّل.
تُرخَّص وحدها، وعلى المنصة نفسها التي تعمل عليها كل وحدة أخرى. سنُريك الإجابة — وما الذي ستقول إنها لم تستطع قياسه.