Năng lực Entity Fabric và Entity Graph
Năng lực · Entity Fabric
Thấy chiếc máy, tài khoản và câu chuyện, không phải một danh sách alert.
Kẻ tấn công di chuyển qua host, tài khoản và ứng dụng. Entity Fabric của ApexAI đặt các thực thể đó vào trung tâm: mỗi alert và phát hiện gắn với thực thể nó nói đến, hoạt động liên quan thành một case, và Entity Graph cho thấy mọi thứ nối với nhau thế nào.
Trạng thái: Bản xem trước Case theo thực thể và Entity Graph chỉ đọc đang chạy ở chế độ quan sát trên dữ liệu alert thật; việc đóng alert theo thực thể trên SIEM chỉ được bật sau khi xem xét.
Vì sao lấy thực thể, không lấy alert
Một máy chủ bị xâm nhập có thể sinh hàng trăm alert trong một ngày, và trong hầu hết console mỗi alert là một ticket riêng. Analyst phải tự dựng lại bức tranh: máy nào, tài khoản nào, đã kết nối tới đâu, việc này có mới với nó không. Công việc đó chậm và dễ sai khi nhiều người xử lý từng mảnh c ủa cùng một câu chuyện.
ApexAI bắt đầu từ phía ngược lại. Hệ thống giữ một hồ sơ cho mỗi thực thể trong môi trường của bạn, gồm tên và các alias, vai trò, hành vi bình thường và mọi điều công cụ bảo mật đã ghi nhận về nó. Alert trở thành bằng chứng trên hồ sơ đó. Câu hỏi của analyst đổi từ “alert này là gì?” sang “chuyện gì đang xảy ra với máy hay tài khoản này?”.
Entity Fabric mang lại gì
Một danh tính cho mỗi thực thể
Một host xuất hiện dưới tên ngắn, tên miền đầy đủ và địa chỉ IP vẫn là một thực thể. Tài khoản, địa chỉ IP, domain, tiến trình và tài nguyên cloud cũng được xử lý như vậy.
Một case cho mỗi câu chuyện
Alert trên cùng thực thể và cùng hoạt động nằm chung một case. Khi analyst chốt case, kết luận áp cho mọi alert của nó, mọi thay đổi đều được ghi lại và hoàn tác được.
Dữ kiện có nguồn gốc
Mỗi dữ kiện trên thực thể đều ghi rõ nguồn: SIEM nào, sản phẩm nào, log nào. Bạn luôn lần ngược được một nhận định về bằng chứng của nó.
Công cụ bảo mật là nhân chứng
Khi EDR hay firewall báo đã chặn hoặc cho qua một hành vi, phán quyết đó được ghi trên thực thể, nên thông báo nói rõ cái gì đã bị chặn và cái gì đã lọt qua.
Hành vi bình thường của từng thực thể
Mỗi thực thể được so với nhịp thường ngày và hằng tuần của chính nó. Một tác vụ backup chạy mỗi đêm khác hẳn cùng lệnh đó chạy một lần vào giờ bất thường.
Bên ngoài và bên trong, nối lại
Bề mặt tấn công nhìn từ Internet, lỗ hổng đã biết và thông tin đăng nhập bị lộ được nối với thực thể nội bộ liên quan, để rủi ro được nhìn ở một chỗ.
Entity Graph là bề mặt điều tra
Entity Graph hiển thị một thực thể cùng các tài khoản, máy, địa chỉ và ứng dụng xung quanh, kèm case và alert trên từng nút. Từ bất kỳ nút nào, analyst mở được case, dòng thời gian hay bằng chứng liên quan, và vùng nào trống đều ghi rõ vì sao trống thay vì để trắng.
Đồ thị chỉ đọc. Mọi hành động bắt đầu từ đồ thị, như phê duyệt một phản ứng, đều đi qua cùng màn hình phê duyệt, phân quyền và audit như mọi nơi khác trong ApexAI.
Ý nghĩa với đội của bạn
- Ít case hơn nhưng đầy đủ hơn: một lần xâm nhập là một case với một dòng thời gian, thay vì nhiều ticket do nhiều người đóng riêng.
- Trả lời nhanh câu hỏi “việc này có bình thường với máy này không?”, vì lịch sử của chính thực thể đã nằm sẵn trên trang.
- Rạch ròi: hạ tầng dùng chung như domain controller được hiển thị như bối cảnh, không kéo các câu chuyện không liên quan vào chung một case.
- Mọi thứ hoàn tác được: gom nhóm, đóng và đánh dấu theo thực thể đều giữ trạng thái trước và có thể đảo lại.
Câu hỏi thường gặp
Thực thể trong ApexAI là gì?
Là bất cứ thứ gì một cuộc tấn công có thể liên quan và một dòng log có thể nhắc tên: host, tài khoản người dùng hay tài khoản dịch vụ, địa chỉ IP, domain, tiến trình hay file, ứng dụng, tài nguyên cloud. Mỗi thứ có một hồ sơ gom alias, vai trò, hành vi và bằng chứng.
Khác gì so với gom alert trong SIEM?
Gom alert thường làm theo rule hoặc theo khung thời gian. ApexAI gom theo thực thể và câu chuyện, giữ kèm lịch sử và hành vi bình thường của thực thể, và nối với việc các công cụ bảo mật đã làm.
Case theo thực thể có tự đóng alert không?
Không, nếu chưa được duyệt. Trong bản preview hiện tại, ApexAI ghi lại việc đóng mà nó định làm cùng lý do; con người xác nhận. Mọi thay đổi giữ trạng thái trước và có thể hoàn tác.
Entity Graph có thay đổi gì trong môi trường của tôi không?
Không. Đồ thị chỉ đọc. Hành động đi qua màn hình phê duyệt với phân quyền và audit trail riêng.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.