أين تناسب SIEM ؟
تكون SIEM هي الأقوى عندما تحتاج منظمة إلى رؤية واسعة عبر أنظمة متعددة ، ومكان مركزي للتحقيق في النشاط المشكوك فيه ، والقدرة على البحث في كل من بيانات الأمان الحالية والتاريخية.
إنه مفيد بشكل خاص في البيئات الكبيرة أو المختلطة حيث تنتشر الأدلة عبر أدوات متعددة. وبدلاً من الاعتماد على وحدات التحكم المنفصلة والتنبيهات غير المتصلة ، يمكن SOC استخدام SIEM لتجميع البيانات معًا وتقييم النشاط عبر العقار الأوسع.
بعبارات بسيطة ، يساعد SIEM في الإجابة عن أربعة أسئلة: ماذا حدث ، وأين حدث ، وإلى أي مدى انتشر ، وماذا يرتبط به أيضًا؟
أين تناسب SOAR؟
يكون SOAR هو الأقوى عندما لا تكون المشكلة في الرؤية ولكن الاحتكاك التشغيلي. تعرف العديد من مراكز العمليات (SOC) ما الذي يجب أن يحدث بعد تحديد حدث مشبوه ، لكن الخطوات متكررة وبطيئة وغير متسقة.
يساعد SOAR على توحيد وأتمتة تدفقات العمل هذه. قد يستخدمه المحللون لإثراء التنبيهات أو فتح التذاكر أو إخطار فريق آخر أو جمع الأدلة أو بدء إجراء احتواء. لا يتعلق الأمر باكتشاف الحدث في المقام الأول بل يتعلق أكثر بجعل عملية الاستجابة أسرع وأكثر تكرارًا.
أين تناسب XDR؟
يكون XDR هو الأقوى عندما يكون الهدف هو الاكتشاف والاستجابة عبر النطاقات بشكل أفضل عبر مجموعة أكثر تكاملاً من إشارات الأمان.
بدلاً من النظر إلى طبقة واحدة فقط ، مثل نقطة النهاية ، يجمع XDR بين القياس عن بُعد ذي الصلة من نطاقات أمان متعددة. ويمكن أن يجعل ذلك الاكتشافات أكثر ثراءً بالسياق وفرزًا أسرع ، خاصةً عندما ينتقل المهاجمون عبر المستخدمين والأجهزة والبريد الإلكتروني وأعباء العمل السحابية ونشاط الشبكة.
لماذا يتم طمس هذه الفئات؟
يطمس السوق هذه الفئات لأن العديد من الأنظمة الأساسية تجمع الآن بين الوظائف التي كانت تُباع بشكل منفصل. قد تتضمن SIEM ميزات الأتمتة. قد توفر منصة SOAR سياقًا استقصائيًا. قد تعرض منصة XDR ميزات بحث وتقارير أوسع. نتيجة لذلك ، كثيرًا ما يسمع المشترون نفس المشكلات الموضحة من خلال ملصقات المنتجات المختلفة.
هذا لا يعني أن الفئات لا معنى لها. إنه يعني ببساطة أن على المشتري التركيز على الدور التشغيلي بدلاً من العلامة التجارية. السؤال الأفضل ليس أي اختصار يبدو أكثر حداثة ، ولكن ما هي الوظيفة التي تفتقدها المنظمة في الواقع.
أين تتداخل SIEM و SOAR و XDR؟
يدعم الثلاثة جميعًا SOC، ويستطيع الثلاثة جميعًا تحسين الاكتشاف أو الاستجابة بطرق مختلفة:
- يدعم SIEM الاكتشاف من خلال الرؤية المركزية والارتباط
- يدعم SOAR الاستجابة من خلال أتمتة سير العمل والتنسيق
- الذي يدعمه XDR من خلال ربط الإشارات ذات الصلة عبر طبقات الأمان المتعددة.
هذا التداخل هو أحد الأسباب التي تجعل السوق يبدو محيرًا. قد تجلس الأدوات بجوار بعضها البعض ، أو تتكامل مع بعضها البعض أو تجمع بين عدة وظائف في منصة واحدة ، لكن الدور التشغيلي لكل منها لا يزال مختلفًا.
كيف ينبغي للمؤسسات المقارنة بينهما؟
تتمثل إحدى الطرق البسيطة للمقارنة بين الثلاثة في إلقاء نظرة على الوظيفة الأساسية التي يؤديها كل فرد:
|
القدرة |
SIEM |
SOAR |
XDR |
|
الدور الأساسي |
الرؤية والتحقيق |
سير العمل والأتمتة |
الاكتشاف والاستجابة عبر المجالات |
|
القوة الرئيسية |
القياس عن بُعد المركزي والارتباط |
عمليات الاستجابة القابلة للتكرار |
الإشارات المتصلة عبر طبقات متعددة |
|
الأفضل للحصول على |
البيئات المختلطة والتحقيقات الأعمق |
معالجة الاستجابة غير المتسقة |
اكتشاف وفرز أسرع ومتكامل |
|
السؤال الرئيسي يجيب عنه |
ماذا حدث؟ |
ماذا سيحدث بعد ذلك؟ |
ما الذي يخبرنا به هذا النشاط عبر المكدس؟ |
أيهما يجب أن تختاره المؤسسة؟
يعتمد هذا على الفجوة الرئيسية للمؤسسة:
- إذا كانت المشكلة الأكبر هي الرؤية المجزأة أو التحقيقات الضعيفة عبر المصادر أو البحث التاريخي المحدود ، فعادة ما تكون SIEM هي الأولوية.
- إذا كانت المشكلة الأكبر هي معالجة الاستجابة البطيئة واليدوية وغير المتسقة ، فقد يكون SOAR هو الخيار الأفضل.
- إذا كانت المشكلة الأكبر هي عدم الاتصال بالاكتشاف عبر نقطة النهاية والهوية والبريد الإلكتروني والسحابة وطبقات الشبكة ، فقد يكون XDR هو نقطة البداية الصحيحة.
في البيئات الناضجة ، غالبًا ما لا تكون الإجابة على هذا السؤال أو ذاك. يمكن أن تكمل SIEM و SOAR و XDR بعضها البعض عند نشرها بنموذج تشغيل واضح.
ما الذي تخطئ المنظمات في كثير من الأحيان؟
والخطأ الشائع هو افتراض أن فئة واحدة تحل محل الفئات الأخرى تلقائيًا. في الممارسة العملية ، غالبًا ما تحل هذه القدرات مشكلات متجاورة بدلاً من المشكلات المماثلة. هناك خطأ آخر وهو شراء التداخل دون تحديد كيفية استخدام SOC لكل طبقة بالفعل. يمكن أن يؤدي ذلك إلى مزيد من التعقيد بدلاً من تقليله.
تبدأ التقييمات الأكثر فعالية بسير العمل. أين ضعف الرؤية؟ أين الفرز بطيء؟ أين الاستجابة غير متسقة؟ بمجرد أن تتضح هذه الثغرات ، يصبح تحديد دور SIEM أو SOAR أو XDR أسهل بكثير.
الوجبات الجاهزة الرئيسية
SIEM هي طبقة الرؤية والتحقيق. SOAR هي طبقة سير العمل والأتمتة. XDR هي طبقة الاكتشاف والاستجابة المتكاملة عبر مجالات أمان متعددة.
يبدأ الاختيار بين SIEM و SOAR و XDR بفهم الفجوة التشغيلية التي تحتاج إلى إغلاقها - الرؤية أو سير العمل أو الاكتشاف أو الاستجابة أو مزيج من الأربعة.
هل أنت مستعد لتعزيز الرؤية والتحقيق عبر عمليات الأمان الخاصة بك؟
اكتشف كيف يمكن أن يساعد حل SIEM من Kaspersky فريقك على مركزية بيانات الأمان وتوصيل الأنشطة ذات الصلة والتحقيق في التهديدات عبر بيئات المؤسسة المعقدة.
دعم المصادر وقراءة المزيد
