Was nützt die Integration von Threat Intelligence in ein SIEM?

Schlechte Akteure/Handlungen sind im Internet immer häufiger anzutreffen. Wer sind sie? Was haben sie vor? Sind sie in Ihrem Netzwerk unterwegs?

Die ersten beiden Fragen werden von Threat Intelligence (TI) beantwortet, die letzte Frage kann von einem SIEM bereitgestellt werden, das TI in seine Funktionalität integriert.

Aber warten Sie, kaufen Sie noch nicht, es gibt noch mehr, viel mehr!

Threat Intelligence kann in Kombination mit SIEM:
• Korrelationsregeln validieren und Basiswarnungen verbessern, indem die Priorität von Regeln erhöht wird, die auch auf von TI gemeldete „schlechte“ Quellen verweisen
• Eigene Quellen erkennen Boxen, Bots usw., die zu Hause anrufen, wenn sie in Ihrem Netzwerk sind
• Qualifizieren Sie Entitäten im Zusammenhang mit einem Vorfall basierend auf gesammelten TI-Daten (wie ist der Verlauf dieser IP?)
• Historischer Abgleich vergangener, historischer Protokolldaten mit aktuelle TI-Daten
• Überprüfen Sie den vergangenen TI-Verlauf als Schlüsselkontext für überprüfte Ereignisse, Warnungen, Vorfälle usw.
• Aktivieren Sie automatische Maßnahmen aufgrund des besseren Kontexts, der in hochwertigen TI-Feeds verfügbar ist.
• Erstellen Sie TI-Wirksamkeitsberichte in einem SIEM (wie viel TI führt zu nützlichen Warnungen und Vorfällen?)
• Validieren Sie die Quell-IP der Webserver-Protokolle, um Besucher zu profilieren und den Service auf diejenigen zu reduzieren, die auf schlechten Listen erscheinen (ungewöhnlich)
und der Beat geht weiter…

Möchten Sie die Vorteile von SIEM ohne den damit verbundenen schweren Aufwand nutzen? SIEM könnte das Richtige für Sie sein.