Managed Detection Lite: ما الذي يشمله

ما هو

المنتج خدمة محددة لمراجعة الكشف تعمل مع أدواتك الحالية لنقاط النهاية وSIEM والسجلات والشبكة. وقبل بدء العمل، يؤكد الطرفان قوائم التنبيهات ومنتجات نقاط النهاية ومصادر السجلات وإشارات الشبكة المحدودة المشمولة؛ وكيف سيصل المحلّل إليها؛ ومدة الاحتفاظ بالسجلات؛ وإيقاع المراجعة؛ وشكل التقارير؛ والأشخاص الذين ينبغي أن يتلقوا مذكرة التصعيد. وعلى الوتيرة المتفق عليها، يراجع المحلّل الإشارات المقدَّمة أو المتاحة، ويسجّل الملاحظات مع سياق الخطورة، ويفصل الأدلة المفيدة عن العناصر التي تحتاج إلى مزيد من المعلومات. ويمكن أن يتضمن التقرير فرز التنبيهات، وملاحظات عن الحالات الشاذة، والأنماط المتكررة، والإثراء، والإنذارات الكاذبة المحتملة، واعتبارات الضبط أو الكتم، والخطوات التالية المتناسبة. وتُؤكَّد كل توصية مع المالك التقني لديك قبل تطبيقها على البيئة.

لمن هذا؟

يناسب «Managed Detection Lite» الفرق التي:

• تجمع بالفعل بيانات نقاط النهاية أو السجلات أو التنبيهات أو SIEM أو جزءًا محدودًا من بيانات الشبكة، لكنها تحتاج إلى مراجعة أكثر انتظامًا يقودها محلّل لمجموعة فرعية متفق عليها
• تريد فرزًا وتقارير أوضح قبل أن تقرر ما إذا كانت الإشارة تحتاج إلى تحقيق داخلي أو سؤال للمورد أو عمل استجابة محدد النطاق بشكل منفصل
• تحتاج إلى مساعدة في التمييز بين الضجيج المتكرر والملاحظات التي تستحق مالكًا مسمّى أو أدلة داعمة أو نقاشًا مضبوطًا حول الضبط
• تريد وتيرة مراجعة محددة الحدود ومجدولة لبيانات الكشف لديها

ما يساعد على توضيح

تساعد المراجعة على توضيح:

• المصادر المتفق عليها المرئية فعلًا للمحلّل، وما يسمح به الاحتفاظ بالبيانات، والمواضع التي تؤثر فيها فجوات البيانات أو حدود الوصول في درجة الثقة
• التنبيهات أو الأنماط التي تبدو بحاجة إلى سياق إضافي أو نقاش حول الخطورة أو إثراء أو مراجعة للكتم أو توجيه إلى مالك داخلي
• ما إذا كانت الإشارات المتكررة قد تدل على فرصة للضبط، أو نمط تشغيلي متوقع، أو مصدر بيانات مفقود، أو مشكلة تتطلب تقييمًا منفصلًا
• ما يمكن تسجيله اليوم بوصفه ملاحظة، وما الذي لا يزال يحتاج إلى تأكيد بوصفه اختراقًا أو سببًا جذريًا أو معالجة مكتملة

ما هو متضمن

• تأكيد مكتوب لمصادر التنبيهات ونقاط النهاية والسجلات والشبكة المحدودة المشمولة، وطريقة الوصول، ونافذة الاحتفاظ، والوتيرة، والمستلمين، وحدود التقارير
• مراجعة يجريها محلّل لبيانات القياس عن بُعد المتفق عليها وفق الوتيرة المحددة، مع ملاحظات فرز وسياق للخطورة، دون إيحاء بمراقبة فورية
• توثيق التنبيهات البارزة والحالات الشاذة والإشارات المتكررة وحدود الأدلة، بما في ذلك المواضع التي تحتاج فيها الملاحظة إلى مدخلات من العميل أو المورد
• إرشادات عملية بشأن الإنذارات الكاذبة والكتم والضبط والإثراء وجودة البيانات حيثما تدعم الأدلة المتاحة النقاش
• تقرير أو موجز منظّم يسجّل الأولويات وإرشادات التصعيد والقيود والقرارات لفترة المراجعة التالية
• محادثة تسليم تتناول الأسئلة المعلّقة والملكية والأعمال التي تحتاج إلى نطاق منفصل

ما لا يشتمل عليه

• مركز عمليات أمنية (SOC) دون انقطاع، أو خدمة كشف واستجابة مُدارة، أو بديل عن EDR، أو ترتيب مراقبة غير محدود، أو مكتب أمني مناوب
• الاستجابة الحية للحوادث، أو الاحتواء الفوري، أو التحقيق الطارئ، أو المعالجة في بيئة الإنتاج، أو صلاحية تغيير أنظمة العميل دون اتفاق منفصل
• أي التزام بأن كل تهديد أو تنبيه أو اختراق أو حالة شاذة أو إجراء خبيث أو فجوة تغطية سيُكتشف أو يُصنَّف تصنيفًا صحيحًا
• أي وعد بأن الضبط أو الكتم أو الإثراء سيزيل كل إنذار كاذب أو يمنع كل إخفاق في الكشف أو يجعل الأداة مكتملة
• مراجعة مصادر بيانات أو نقاط نهاية أو شبكات أو حسابات سحابية أو تطبيقات أو فترات احتفاظ خارج الحدود المؤكَّدة

متى تختارها

اختر «Managed Detection Lite» عندما تمتلك المؤسسة بيانات قياس أمنية مفيدة لكنها تريد إيقاعًا متفقًا عليه لمراجعة محلّل حول مجموعة محدودة من الإشارات. وقد يكون مناسبًا بعد طرح أدوات جديدة، أو تغيير في تغطية نقاط النهاية أو السجلات، أو فترة من إرهاق التنبيهات، أو قبل تقرير ما إذا كانت هناك حاجة إلى نموذج تشغيل أوسع. وهو مفيد أيضًا عندما يريد مسؤول الأمن سياقًا مكتوبًا لمراجعة داخلية بدلًا من قائمة خام من التنبيهات. وعندما تكون الحاجة الفورية إلى مراقبة مستمرة، أو استجابة لحالة طارئة، أو احتواء نشاط جارٍ، أو تولي ملكية المعالجة، يكون ترتيب مخصص للحوادث أو العمليات هو الأنسب؛ فهذه الحالات تستدعي خدمة استجابة أو خدمة مُدارة مزوّدة بالكوادر المناسبة ولها حدودها الخاصة في الوصول والتوافر والصلاحية والجوانب التجارية. ويبدأ العمل المثمر برؤية واقعية لمصادر البيانات وبمالك لدى العميل يستطيع التحقق من سياق الأعمال.

نهجنا

نبدأ بتأكيد قائمة المصادر وحدود التشغيل كتابيًا. ويسجّل الموجز بيانات القياس المتاحة، والاحتفاظ، ومسار الوصول، والوتيرة، ومستلمي التقارير، وجهات اتصال التصعيد، وأي نقاط عمياء معروفة. وخلال كل مراجعة متفق عليها، نقيّم الأدلة المختارة في سياقها ونميّز بين الإشارة والملاحظة والسؤال المعقول والاستنتاج المؤكد. وحين يبدو نمط ما مزعجًا، نصف الأساس الذي يقوم عليه نقاش الكتم أو الضبط، وتُطبَّق التغييرات بعد الموافقة. وحين تبدو إشارة ما أكثر خطورة، نقدّم الأدلة ومسار تصعيد متناسبًا، بينما يحتفظ العميل بملكية الأنظمة وقرارات الاستجابة وأي إجراء في بيئة الإنتاج. ونوثّق القيود بوضوح: فالسجل المفقود أو نافذة الاحتفاظ القصيرة أو نقطة النهاية التي يتعذر الوصول إليها أو الافتراض غير المؤكد يُسجَّل بوصفه فجوة في التغطية. ويدعم السجل الناتج قرارات داخلية أكثر سدادًا مع مرور الوقت.

الأسئلة المتكررة

مقالات ذات صلة