Hälytyksiä, joihin ehtii reagoida — ei tuhatta tikettiä viikossa. Rakennamme valvonnan ilmoittamaan vain merkityksellisistä hälytyksistä.
Kaikki palvelutLokidataa on helppo kerätä, mutta siitä on vaikeaa erottaa ne muutamat tapahtumat, jotka oikeasti vaativat toimenpiteitä.
Rakennamme valvonnan, jossa jokaisella hälytyksellä on omistaja, selkeä toimintaohje ja perusteltu syy olla olemassa. Turhat säännöt poistetaan, eikä vain jätetä hiljennettäviksi.
Teemme ympäristön sellaiseksi, että oma tiimisi tai valitsemasi kumppani pystyy ylläpitämään sitä myös ilman meitä.
Nämä ovat yleisimpiä tilanteita, joissa asiakkaamme ottavat tietoturvavalvonnan työn alle.
Microsoft Sentinel on päällä ja laskuttaa, mutta hälytyksiä ei käy kukaan läpi. Keräys on kytketty päälle käyttöönoton yhteydessä, mutta sitä ei ole rajattu sen jälkeen. Kuukausilaskut pyörii huolimatta siitä, ehtiikö kukaan katsoa dataa.
Hälytyksiä tulee enemmän kuin niitä ehtii lukea. Osa hälytyksistä toistuu viikko toisensa jälkeen, eikä kukaan enää avaa niitä. Kun kaikki on kriittistä, mikään ei enää ole.
Lisensoituja valvontakyvykkyyksiä ei ole otettu käyttöön. Defender XDR ja osa Defender-tuoteperheestä sisältyy E5-lisenssiin, josta jo maksetaan.
Ei tiedetä, mitä havaitaan. Lokitusta on, mutta kukaan ei ole tarkistanut mitä se kattaa tai kuinka kauan tietoa säilytetään.
Ei tiedetä, mitä ympäristöstä näkyy ulospäin. Verkossa näkyviä palveluita, tunnuksia ja rajapintoja on kertynyt vuosien varrella. Osasta ei tiedetä kuka ne omistaa.
Haavoittuvuuksia on enemmän kuin korjaajia. Lista on pitkä, eikä ole selvää mitkä huomiot koskevat juuri teidän ympäristöänne.
Käymme läpi mitä kerätään, mistä ja kuinka kauan säilytetään, ja mitä siitä oikeasti tarvitaan. Rajaus on usein ensimmäinen asia, joka maksaa itsensä takaisin, koska Sentinelin lasku perustuu kerätyn datan määrään.
Työtilan rakenne, tietolähteiden liittäminen ja havaintosäännöt, jotka tuottavat hälytyksiä joihin ehtii reagoida. Jos Sentinel on jo käytössä, aloitamme siitä mitä se nyt tuottaa ja mitä siitä kannattaa karsia.
Defender-tuoteperheen käyttöönotto ja hälytysten läpikäynti niin, että toistuvat väärät hälytykset saadaan pois. Käymme samalla läpi, mikä lisenssitasosi valvontakyvykkyyksistä on kytkemättä.
Haavoittuvuudet järjestykseen sen mukaan, mitä niistä voi teidän ympäristössänne todella käyttää. Tuotoksena lista, joka on tarpeeksi lyhyt ollakseen käyttökelpoinen.
Defender EASM käyttöön ja sen havainnot raportoituna: mitä verkkoon näkyy, mikä on tarkoituksella ja kuka vastaa mistäkin.
Palomuurit ja muut kuin Microsoftin järjestelmät osaksi samaa valvontaa. Valvonta, joka näkee vain puolet ympäristöstä, ei ole tarpeeksi kattava.
Aloitamme datan keräyksestä ja etenemme vaiheittain kohti täysimittaista valvontaa.
Mitä kerätään, mistä ja kuinka kauan dataa säilytetään. Katsotaan havainnot ja tarkistetaan mitkä valvontakyvykkyydet teillä jo on lisenssissä, mutta mahdollisesti kytkemättä päälle.
Sovimme mitä dataa kerätään jatkossa ja mitä ei. Kerromme mitä keräys kustantaa kuukaudessa, koska se on jatkuva kuluerä eikä osa projektin hintaa.
Tietolähteet, havaintosäännöt ja hälytysten karsinta. Jokainen hälytystyyppi jää tai poistuu perustellusti, mitään ei jätetä hiljennettäväksi.
Mitä hälytys tarkoittaa ja mitä sille tehdään. Käymme läpi kaiken sen tiimin kanssa, joka jatkaa valvontaa.
Emme. Rakennamme valvonnan ja toimintamallin, ja päivystyksen hoitaa oma tiimi tai valittu MDR-kumppani. Autamme mallin valinnassa ja kilpailutuksessa.
Kustannus riippuu kerättävän datan määrästä. Valitsemme lokilähteet hyödyn mukaan ja kerromme kustannusvaikutuksen etukäteen.
Kyllä. Emme vaihda toimivaa työkalua ilman syytä, vaan täydennämme sitä siltä osin kuin on järkevää.
Mahdollisesti, jos ympäristössänne on aitoa kohdennettua uhkaa tai sääntely edellyttää ympärivuorokautista valvontaa. Me voimme auttaa perustan rakentamisessa, jonka jälkeen on helpompi tarkastella onko SOCille tarvetta.
Keräyksen rajaus on usein ensimmäinen asia, joka maksaa itsensä takaisin.