Managed Detection Lite: Phạm vi bao gồm những gì

Đây là gì

Sản phẩm là một dịch vụ rà soát phát hiện được xác định rõ, vận hành cùng các công cụ endpoint, SIEM, log và mạng hiện có của bạn. Trước khi bắt đầu, các bên xác nhận những hàng đợi cảnh báo, sản phẩm endpoint, nguồn log và tín hiệu mạng có giới hạn nào được đưa vào; chuyên viên phân tích sẽ truy cập chúng như thế nào; dữ liệu được lưu giữ bao lâu; nhịp độ rà soát; định dạng báo cáo; và những người cần nhận ghi chú báo cáo lên cấp trên. Theo tần suất đã thống nhất, chuyên viên phân tích rà soát các tín hiệu được cung cấp hoặc có thể truy cập, ghi lại các quan sát kèm bối cảnh mức độ nghiêm trọng, và tách bằng chứng hữu ích khỏi những mục cần thêm thông tin. Báo cáo có thể bao gồm phân loại cảnh báo, ghi chú về bất thường, các mẫu lặp lại, làm giàu dữ liệu (enrichment), các cảnh báo có thể là dương tính giả, các cân nhắc về tinh chỉnh hoặc loại bỏ cảnh báo (suppression), và các bước tiếp theo tương xứng. Mỗi khuyến nghị được xác nhận với người phụ trách kỹ thuật của bạn trước khi áp dụng vào môi trường.

Dành cho ai

Managed Detection Lite phù hợp với các đội ngũ:

• Đã thu thập dữ liệu endpoint, log, cảnh báo, SIEM hoặc dữ liệu mạng có giới hạn nhưng cần một đợt rà soát đều đặn hơn do chuyên viên phân tích thực hiện trên một tập hợp con đã thống nhất
• Muốn có phân loại và báo cáo rõ ràng hơn trước khi quyết định một tín hiệu cần điều tra nội bộ, cần hỏi nhà cung cấp hay cần công việc ứng phó có phạm vi riêng
• Cần hỗ trợ phân biệt nhiễu lặp lại với những quan sát cần có người phụ trách cụ thể, bằng chứng hỗ trợ hoặc một buổi trao đổi tinh chỉnh có kiểm soát
• Muốn có nhịp độ rà soát có giới hạn, theo lịch cho dữ liệu phát hiện của mình

Giúp làm rõ điều gì

Đợt rà soát giúp làm rõ:

• Những nguồn đã thống nhất nào thực sự hiển thị với chuyên viên phân tích, thời gian lưu giữ cho phép những gì, và những khoảng trống dữ liệu hoặc giới hạn truy cập nào ảnh hưởng đến mức độ tin cậy
• Những cảnh báo hoặc mẫu nào có vẻ cần thêm bối cảnh, thảo luận về mức độ nghiêm trọng, làm giàu dữ liệu, xem xét loại bỏ cảnh báo hoặc chuyển đến người phụ trách nội bộ
• Các tín hiệu lặp lại có thể chỉ ra cơ hội tinh chỉnh, một mẫu vận hành được dự kiến, một nguồn dữ liệu còn thiếu hay một vấn đề cần đánh giá riêng
• Điều gì có thể được ghi nhận là một quan sát ngay hôm nay và điều gì vẫn cần được xác nhận là một sự xâm phạm, nguyên nhân gốc rễ hoặc việc khắc phục đã hoàn tất

Những gì được bao gồm

• Xác nhận bằng văn bản về các nguồn cảnh báo, endpoint, log và mạng có giới hạn được đưa vào, phương thức truy cập, khoảng thời gian lưu giữ, tần suất, người nhận và ranh giới báo cáo
• Chuyên viên phân tích rà soát dữ liệu đo lường đã thống nhất theo tần suất đã nêu, kèm ghi chú phân loại và mức độ nghiêm trọng theo bối cảnh, thay vì ngụ ý theo dõi theo thời gian thực
• Ghi nhận các cảnh báo đáng chú ý, bất thường, tín hiệu lặp lại và giới hạn của bằng chứng, bao gồm những chỗ mà một quan sát cần ý kiến từ khách hàng hoặc nhà cung cấp
• Hướng dẫn thực tế về dương tính giả, loại bỏ cảnh báo, tinh chỉnh, làm giàu dữ liệu và chất lượng dữ liệu khi bằng chứng sẵn có đủ để thảo luận
• Một định dạng báo cáo hoặc buổi tóm tắt có cấu trúc, ghi lại thứ tự ưu tiên, hướng dẫn báo cáo lên cấp trên, các giới hạn và quyết định cho kỳ rà soát tiếp theo
• Một buổi trao đổi bàn giao về các câu hỏi chưa được giải quyết, quyền sở hữu và những công việc cần một phạm vi riêng

Những gì không được bao gồm

• SOC trực liên tục suốt ngày đêm, dịch vụ phát hiện và ứng phó được quản lý (MDR), sản phẩm thay thế EDR, thỏa thuận giám sát không giới hạn hoặc bàn trực bảo mật
• Ứng phó sự cố trực tiếp, ngăn chặn theo thời gian thực, điều tra khẩn cấp, khắc phục trên production hoặc quyền thay đổi hệ thống của khách hàng khi chưa có thỏa thuận riêng
• Đảm bảo rằng mọi mối đe dọa, cảnh báo, sự xâm phạm, bất thường, hành động độc hại hay khoảng trống bao phủ đều sẽ được phát hiện hoặc phân loại chính xác
• Lời hứa rằng việc tinh chỉnh, loại bỏ cảnh báo hoặc làm giàu dữ liệu sẽ xóa bỏ mọi dương tính giả, loại trừ việc bỏ sót phát hiện hoặc làm cho một công cụ trở nên hoàn chỉnh
• Rà soát các nguồn dữ liệu, endpoint, mạng, tài khoản đám mây, ứng dụng hoặc khoảng thời gian lưu giữ nằm ngoài ranh giới đã xác nhận

Khi nào nên chọn

Hãy chọn Managed Detection Lite khi doanh nghiệp có dữ liệu đo lường bảo mật hữu ích nhưng muốn có một nhịp độ phân tích đã thống nhất xoay quanh một tập hợp tín hiệu có giới hạn. Sản phẩm có thể phù hợp sau khi triển khai công cụ mới, khi có thay đổi về phạm vi bao phủ endpoint hoặc ghi log, sau một giai đoạn quá tải cảnh báo, hoặc trước khi quyết định có cần một mô hình vận hành rộng hơn hay không. Sản phẩm cũng hữu ích khi trưởng bộ phận bảo mật muốn có bối cảnh bằng văn bản cho một đợt rà soát nội bộ thay vì một hàng đợi cảnh báo thô. Khi nhu cầu trước mắt là theo dõi liên tục, ứng phó khẩn cấp, ngăn chặn trực tiếp hoặc nhận trách nhiệm khắc phục, một thỏa thuận chuyên biệt về sự cố hoặc vận hành sẽ phù hợp hơn. Những tình huống đó cần một dịch vụ ứng phó hoặc dịch vụ được quản lý có đủ nhân sự, với ranh giới riêng về quyền truy cập, tính sẵn sàng, thẩm quyền và thương mại. Một đợt hợp tác hiệu quả bắt đầu bằng một góc nhìn thực tế về các nguồn dữ liệu và người phụ trách phía khách hàng có thể xác nhận bối cảnh kinh doanh.

Phương pháp của chúng tôi

Chúng tôi bắt đầu bằng việc xác nhận danh sách nguồn và các ranh giới vận hành bằng văn bản. Bản mô tả yêu cầu ghi lại dữ liệu đo lường sẵn có, thời gian lưu giữ, đường truy cập, tần suất, người nhận báo cáo, đầu mối báo cáo lên cấp trên và mọi điểm mù đã biết. Trong mỗi đợt rà soát đã thống nhất, chúng tôi đánh giá bằng chứng được chọn trong bối cảnh và phân biệt rõ giữa một tín hiệu, một quan sát, một câu hỏi hợp lý và một kết luận đã được xác nhận. Khi một mẫu có vẻ là nhiễu, chúng tôi mô tả cơ sở cho một buổi trao đổi về loại bỏ cảnh báo hoặc tinh chỉnh, và các thay đổi được áp dụng khi đã được phê duyệt. Khi một tín hiệu có vẻ nghiêm trọng hơn, chúng tôi cung cấp bằng chứng và một kênh báo cáo lên cấp trên tương xứng, trong khi khách hàng vẫn giữ quyền sở hữu hệ thống, các quyết định ứng phó và mọi hành động trên production. Chúng tôi ghi nhận các giới hạn một cách công khai: một log bị thiếu, khoảng thời gian lưu giữ ngắn, một endpoint không thể truy cập hay một giả định chưa được xác nhận sẽ được ghi nhận là một khoảng trống về phạm vi bao phủ. Hồ sơ thu được hỗ trợ các quyết định nội bộ tốt hơn theo thời gian.

Câu hỏi thường gặp

Bài viết liên quan