星島日報

【創科廣場】Microsoft發布雲原生SIEM 偵察回應一氣呵成

2020-01-21 10:48

網絡攻擊日益精密,如何保護網絡並不足夠,而許多時候,必須假設肯定受攻擊入侵之後,如何更快速偵察(Detect)和反應(Respond)。

事實上,近期保安已趨向強調自適應(Adaptive),也就是不斷隨攻擊進化而演變。如果保護的機制不與時並進,肯定不能抵抗網絡攻擊。

企業依賴傳統的端點或者防火牆,加入數據保護方案等;但隨着雲應用增加、數據分散,流動用戶和自攜設備等趨勢;所謂網絡的保安邊界(Perimeter),似有若無,也更難於防禦。

近年,安全資訊和事件管理(SIEM)蒐集大量網絡和IT訊息,即時分析後,向企業保安營運中心(SOC)發出警報並解決危機。不過傳統SIEM安裝困難,誤鳴甚多,聘請人手也不易。

傳統的SIEM方案包括了Splunk和IBM的Qradar等,紛紛加入人工智能減少誤鳴。Microsoft最近發布Microsoft Azure Sentinel,為全球首批雲原生SIEM解決方案。SIEM架設於公有雲,純以SaaS方式提供,Sentinel融合Azure和AI功能,亦更有效偵測和防禦網絡威脅。

快速回應網絡威脅

Microsoft大中華網絡安全行政官潘漢昇說,Sentinel更容易架設,毋須擔心基建架構的擴充,緊密結合Microsoft全綫產品,整合Office 365和Microsoft Defender,以各種Azure雲端服務,甚至可分析其他公有雲紀錄檔。

Sentinel內置自動化和協作功能設有預定或自定的指南,以處理重複的工作並快速回應網絡威脅。Sentinel配合SOAR(Security Orchestration, Automation and Response)即網絡保安協調、自動化和回應工具,加強回應的速度,協調分析和完成入侵的偵察過程,Microsoft也為Sentinel加入了機器學習,自動建立入侵警示。

不過,SIEM隊伍會根據不同保安警報,設立如何解決不同威脅和入侵步驟,簡稱為Use Cases。團隊根據事先建立的Playbook應付入侵。

Sentinel除了可快速重建入侵的過程,建立度身訂造的警示,也可自動化執行Playbook,實時偵察及清除入侵。  

Azure Sentinel將加強企業現有的防護和偵測工具,包括最佳的網絡保安產品、自家研發工具或其他系統(例如人力資源管理應用程式)和工作流程管理系統(例如ServiceNow)等其他SOAR工具。

Microsoft香港區域科技長許遵發表示:「憑藉嶄新SIEM和SOAR(Security Orchestration, Automation and Response)即網絡保安協調、自動化和回應工具,透過內置和自動化的協作,改善企業的保安分析能力,讓他們更快速應對保安事件,同時控制SIEM的成本。Azure Sentinel提供主動且反應迅速的雲原生SIEM,有助客戶簡化網絡保安工作,同時可隨着保安工作的增長而擴展。藉着Azure Sentinel正式登陸香港,Microsoft有更獨特的優勢,進一步保護香港大小企業,令他們實現更多,成就更多。」

Azure Sentinel憑藉內置的AI和機器學習能力,快速分析企業的大量數據,據稱警報疲勞降低達90%。透過過濾雜訊、減少錯誤警報、耗時工作和各種複雜問題, Sentinel 減輕網絡保安行動(SecOps)團隊負擔,優先處理關鍵任務。

Sentinel 與Microsoft 365深度整合,配合Microsoft威脅防護解決方案組合,包括Microsoft Defender Advanced Threat Protection、Office 365 Advanced Threat Protection和Azure Advanced Threat Protection。

十大熱門網絡保安工具

Sentinel也獲CRN評為 2019 年十大最熱門網絡保安工具之一。近期Microsoft多項產品亦成為Gartner領導廠商產品。

Sentinel配備內置連接器、結合Microsoft 原生訊號,支援標準記錄檔格式(如常見事件格式和系統記錄),只需簡單點擊數即可免費上載Microsoft Office 365數據,與其他數據結合分析。Sentinel數據庫每天可接超過10PB數據,提供搜尋引擎,數秒之內將數百萬條記錄排序。

Sentinel收費模式亦以分析數據量計算,跟Splunk收費模式相若;Splunk亦可架設在公有雲上;其他公有雲上流行SIEM,還包括了LogRhythm等競爭對手。

Sentinel機器學習可將數百萬個低逼真度(Low-Fidelity)異常情況,串連起來,並展示成高逼真度(high fidelity)事故,篩選大量警報、或者手動串連來自不同產品或傳統關聯引擎警報,增加偵察的準確度。

全文刊於《星島日報》「創科廣場」

最新回應

關鍵字

熱門文章