مراجعة عملية: منصة عمليات الأمن السيبراني الممتازة لـ MSSPs

[HalhulTech]

مع زيادة تعقيد التهديدات واختفاء حدود أي منظمة تقريبًا ، تواجه الفرق الأمنية تحديات أكثر من أي وقت مضى لتقديم نتائج أمنية متسقة. تهدف شركة Stellar Cyber إلى مساعدة فرق الأمن على مواجهة هذا التحدي .​

تدعي Stellar Cyber أنها تلبي احتياجات MSSPs من خلال توفير القدرات الموجودة عادة في منتجات NG-SIEM و NDR و SOAR في منصة Open XDR الخاصة بهم ، والتي تتم إدارتها بترخيص واحد. وفقًا لـ Stellar Cyber ، يعني هذا الدمج وقتًا أسرع لمحلل الأمان وتجهيز العملاء بمهام أقل كثافة يدويًا مطلوبة. تعد Stellar Cyber حاليًا أكثر من 20 من أفضل مزودي خدمات MSSP كعملاء ، مما يوفر الأمان لأكثر من 3 ملايين أصل. بالإضافة إلى ذلك ، ادعاءات سايبر النجمية بعد النشر ، يرى المستخدمون ما يصل إلى 20 ضعفًا متوسط وقت الاستجابة (MTTR) ، وهو ادعاء جريء.

لقد ألقينا مؤخرًا نظرة فاحصة على منصة Stellar Cyber Security Operations Platform.

قبل أن نبدأ​

قبل البحث في النظام الأساسي ، إليك بعض الأشياء التي يجب أن يعرفها MSSPs حول Stellar Cyber:

• يعمل مع أي EDR: يمكن تصنيف Stellar Cyber على أنه Open XDR لأنه يوفر رؤية عبر بيئات عملائك ؛ ومع ذلك ، فهو ليس امتدادًا لمنتج EDR. على العكس من ذلك ، تقدم Stellar Cyber عمليات تكامل مُعدة مسبقًا لأي من موردي EDR الرئيسيين مما يعني أنه يمكن لعملائك استخدام EDR الذي يريدونه إذا كنت تستخدم Stellar Cyber.
• إنه متعدد المستأجرين: Stellar Cyber هو حل متعدد المستأجرين مما يعني أن بيانات عميلك لن تكون مختلطة ، مما يتيح لك تقديم خدماتك في المناطق المعنية على وجه التحديد بخصوصية البيانات. علاوة على ذلك ، يمكن أن يؤدي هذا النهج متعدد الإيجارات إلى تحسين نسب المحللين إلى العملاء. في حالات معينة ، يمكن تطبيق العمل المنجز لعميل واحد على عميل آخر دون فقدان تكامل البيانات.

لتسهيل مراجعة هذا المنتج ، منحنا الفريق في Stellar Cyber إمكانية الوصول إلى الإصدار المستند إلى السحابة من منتجهم ، لذلك بعد استعراض موجز للمنتج قدمه شخص دعم Stellar Cyber ، قمنا بتسجيل الدخول إلى المنتج.

الرد على حادثة من الصفحة الرئيسية​

هذه هي الشاشة الأولية التي تراها عند تسجيل الدخول إلى Stellar Cyber. تتوقع رؤية العديد من العناصر على الشاشة الرئيسية للمحلل ، مثل أهم الحوادث والأصول الأكثر خطورة. قطعة مثيرة للاهتمام على هذه الشاشة هي ما يطلق عليه Stellar Cyber اسم Open XDR Kill Chain. بالنقر فوق أي جزء من سلسلة القتل ، يمكنك الوصول إلى التهديدات المرتبطة بهذا الجزء من سلسلة الهجوم. على سبيل المثال ، قمت بالنقر فوق "محاولات أولية" للوصول إلى هذه الشاشة.


هنا يمكنني رؤية هذه التنبيهات مع مرحلة "المحاولات الأولية" التي حددها Stellar Cyber تلقائيًا. في أسفل حفرة الأرانب ، أرى المزيد من المعلومات حول التنبيه عندما أنقر على "عرض" في أي من التنبيهات. في البداية ، تم تقديم بعض الرسوم البيانية الموجزة لي ، ثم قمت بالتمرير لأسفل على الشاشة قليلاً ، ورأيت ارتباط تشعبي "مزيد من المعلومات" ، لذلك قمت بالنقر فوقه وحصلت عليه في المقابل.


هنا يمكنني القراءة عن الحادث ، والبحث في التفاصيل ، ومراجعة البيانات الأولية وراء هذا الحادث بالإضافة إلى JSON ، والتي يمكنني نسخها بسهولة إلى الحافظة إذا لزم الأمر.

هنا حيث اعتقدت أن الأمور أصبحت أكثر إثارة للاهتمام. في حين أن عرض البيانات في Stellar Cyber سهل الفهم ومنطقي ، لم تكن القوة الحقيقية للمنتج واضحة لي حتى نقرت على زر "الإجراءات" على الشاشة أعلاه.


كما ترى ، يمكنني اتخاذ إجراءات الاستجابة مباشرة من هذه الشاشة ، مثل "إضافة عامل تصفية ، أو تشغيل بريد إلكتروني ، أو اتخاذ إجراء خارجي. وبالنقر على إجراء خارجي ، أحصل على قائمة اختيار أخرى. عندما أنقر على نقطة النهاية ، أحصل على قائمة طويلة من الخيارات من احتواء المضيف إلى مضيف إيقاف التشغيل.


عند النقر فوق إجراء ، مثل احتواء مضيف ، يتم عرض مربع حوار تكوين حيث يمكنني تحديد الموصل المراد استخدامه وهدف الإجراء وأي خيارات أخرى مطلوبة لبدء الإجراء المختار. لذلك ، باختصار ، يمكنني أن أرى كيف سيجد محللو الأمن ، وخاصة المبتدئين منهم ، سير العمل هذا مفيدًا جدًا حيث يمكنهم أ) البحث بسهولة في تفاصيل حادث من الشاشة الرئيسية ، ب) مراجعة المزيد من التفاصيل من خلال التعمق أكثر في البيانات ، و ج) اتخاذ إجراء تصحيحي من هذه الشاشة دون كتابة أي نصوص أو تعديل التعليمات البرمجية.

بالنسبة إلى MSSPs ، يمكنني رؤية محللين جدد للعمل على هذا الرأي مبدئيًا لتعريفهم بالمنصة مع الاستمرار في تلبية اتفاقيات مستوى خدمة العملاء. ومع ذلك ، يخبرني حدسي أن هناك الكثير لنتعلمه عن منصة Stellar Cyber ، لذلك دعونا نرى ما إذا كان هناك طريق آخر للتحقيق في الحوادث.

​

 

[HalhulTech]

استكشاف الحوادث​

الآن بدلاً من النقر فوق Open XDR Kill Chain ، سأقوم بالنقر فوق عنصر القائمة "Incidents" والحصول على هذه الشاشة في المقابل.


عندما نقرت على الجزرة في الدائرة الزرقاء ، وسعت قائمة التصفية التي مكنتني من التركيز على نوع معين من الحوادث. نظرًا لأنني في الوضع الاستكشافي ، أذهب مباشرةً إلى زر التفاصيل لمعرفة ما يمكنني العثور عليه في طريقة العرض التفصيلية هذه.


يمكنني الآن رؤية كيفية حدوث هذا الحادث وانتشاره عبر أصول متعددة. علاوة على ذلك ، يمكنني رؤية الملفات والعمليات والمستخدمين والخدمات المرتبطة بالحادث تلقائيًا. هناك طرق مختلفة لعرض هذه البيانات أيضًا. على سبيل المثال ، يمكنني التبديل إلى عرض المخطط الزمني للحصول على سجل مقروء لهذا الحادث ، كما هو موضح أدناه:


عندما أنقر على حرف "i" الصغير ، أصل إلى شاشة مألوفة.


أعرف القصة من هنا ، وهذا جيد.

لذلك ، باختصار ، أستطيع أن أرى أن المحللين الذين اعتادوا العمل من قائمة التنبيهات قد يرغبون في بدء تحقيقاتهم من صفحة الحوادث. بالنسبة إلى MSSPs ، يعد هذا العرض مفيدًا أيضًا لأنه يعرض جميع الحوادث عبر جميع المستأجرين في عرض واحد. بالطبع ، يمكنك تحديد وجهة النظر هذه من قبل المحللين والعملاء ، إلخ.

تهديدات الصيد وإجراءات الاستجابة في Stellar Cyber​

بحلول هذا الوقت ، أنا مقتنع بأن Stellar Cyber تقدم نهجًا مثيرًا للاهتمام ل MSSPs الذين يتطلعون إلى تبسيط عملياتهم الأمنية. بصراحة ، في هذه المرحلة من مراجعتي ، لم أضطر إلى كتابة أي نصوص خاصة أو القيام بأي شيء بخلاف النقر على بعض الروابط والتمرير حول بعض الشاشات للرد افتراضيًا على بعض التنبيهات السيئة ، وهذا ليس هو المعيار لهذه الأنواع من المنتجات .

قبل أن أغني مدح Stellar Cyber بشدة ، أردت إلقاء نظرة على اثنين من الميزات الأخرى المذكورة ، Threat Hunting وإجراءات الاستجابة (المعروفة أيضًا باسم SOAR). لنبدأ بمطاردة التهديدات. عندما أنقر على "Threat Hunting" من القائمة ، تظهر لي هذه الشاشة.


في حين أن هذه الإحصائيات مثيرة للاهتمام ، إلا أنني أبحث عن تهديد قابل للتنفيذ h ؛ هذا هو المكان الذي أرى فيه مربع حوار البحث في أعلى اليمين. أكتب تسجيل الدخول ولاحظت أن الإحصائيات تتغير ديناميكيًا. بالتمرير لأسفل الشاشة ، أرى أيضًا قائمة بالتنبيهات التي تمت تصفيتها وفقًا لمصطلح البحث الخاص بي. أرى هنا خيار "مزيد من المعلومات" المألوف ، لذا أعرف إلى أين سيأخذني ذلك.

كما أنني لاحظت شيئًا يسمى "بحث الارتباط" ضمن مربع حوار البحث. عندما أنقر فوق ذلك ، تتغير شاشتي إلى هذا.


يمكنني تحميل استعلام محفوظ أو إضافة استعلام جديد. عند النقر فوق استعلام الإضافة ، أرى منشئ الاستعلام هذا. يمكّنني هذا من البحث بشكل أساسي عن أي بيانات مخازن Stellar Cyber للعثور نظريًا على التهديدات التي مرت دون أن يلاحظها أحد. يمكنني أيضًا الوصول إلى مكتبة البحث عن التهديدات للوصول إلى الاستعلامات المحفوظة مسبقًا.


يمكنك أيضًا إنشاء إجراءات استجابة يتم تشغيلها تلقائيًا إذا كان الاستعلام الذي قمت بإنشائه يعرض أي مطابقات.

لذلك ، باختصار ، تقدم Stellar Cyber منصة بسيطة لاقتناص التهديدات التي لا تتطلب منك بناء مجموعة ELK الخاصة بك أو أن تكون كاتبًا قويًا. بالنسبة إلى MSSPs ، يمكنني أن أرى أن هذا يمثل قيمة مضافة لطيفة يمكنهم تقديمها للعملاء عند اكتشاف التهديدات الناشئة في البرية.

استنتاج​

Stellar Cyber عبارة عن منصة عمليات أمان قوية مع العديد من الميزات لمستخدم MSSP. إذا كنت في السوق للحصول على منصة SecOps جديدة ، فإن الأمر يستحق إلقاء نظرة على ما تقدمه Stellar Cyber.