Tích hợp Palo Alto Cortex XSIAM
Tích hợp · XDR, SIEM và SOAR
Đặt SOC tự hành phía trên Cortex XSIAM.
Nhiều đội bảo mật đã hợp nhất SIEM, XDR và tự động hoá trên Palo Alto Cortex XSIAM. ApexAI làm việc phía trên khoản đầu tư đó thay vì thay thế nó. Hệ thống đọc incident, alert và tài sản ở chế độ chỉ đọc, điều tra dựa trên bằng chứng sẵn có trong XSIAM, và đề xuất playbook để đội của bạn import, xem xét và chạy theo cách của mình.
Trạng thái: Bản xem trước Kết nối XSIAM chỉ đọc chạy ở chế độ quan sát: incident, alert và tài sản đi vào điều tra, đề xuất playbook được chuẩn bị để import nhưng ApexAI không bao giờ tự chạy.
Khả năng phán đoán phía trên nền tảng bạn đã chọn
XSIAM đã gom alert thành incident và chạy tự động hoá. Thứ các đội vẫn tốn thời gian là phần phán đoán xung quanh: incident này có thật không, host hay người dùng này còn làm gì khác, cuộc tấn công có thành công không, và một phản ứng có an toàn cho tài sản này không. ApexAI được xây để đảm nhận phần việc đó, kiểm chứng kết luận trên bằng chứng gốc trong nền tảng của bạn, và trao cho con người một bản tóm tắt ngắn có trích dẫn thay vì thêm một hàng đợi.
Kết nối được thiết kế chỉ đọc. Chỉ thao tác đọc được phép; hành động phản ứng, thay đổi nội dung và mọi thứ chạm tới bí mật đều bị ApexAI từ chối ngay bên trong trước khi tới tenant của bạn, bất kể API key có quyền gì. Truy vấn luôn nằm trong giới hạn thời gian và kích thước đã đặt, và ApexAI chỉ dùng một phần nhỏ năng lực truy vấn để analyst của bạn không bao giờ bị lấn chỗ.
XSIAM mang gì vào ApexAI
Incident và alert
Alert bảo mật và incident được lấy gần thời gian thực, gắn với host, người dùng và địa chỉ IP liên quan. Phát hiện về posture chỉ được đếm, không làm ngập hàng đợi case.
Phán quyết của thiết bị
Nền tảng đã chặn, phát hiện hay chỉ quét được giữ làm bằng chứng trên thực thể, không phỏng đoán.
Tài sản
Host, định danh, tên miền và tài nguyên cloud từ inventory, kèm dữ kiện như hệ điều hành, agent và trạng thái cô lập.
Điều tra tại chỗ
Chi tiết incident, alert liên quan, kỹ thuật MITRE ATT&CK và file artifact được đọc từ XSIAM, còn truy vấn săn tìm chạy trên dataset của bạn khi năng lực truy vấn cho phép.
Hiểu dataset của bạn
Bản đồ dataset và field đang có cùng ý nghĩa của chúng, để truy vấn khớp dữ liệu thật. Chỉ ghi lại cấu trúc dữ liệu, không bao giờ ghi giá trị.
Tách biệt tenant
Mỗi nguồn XSIAM được platform operator gắn vào tenant ApexAI tương ứng. Khi chưa gắn, dữ liệu không hiện ở workspace nào.
Playbook sẵn để import, SOAR vẫn là của bạn
ApexAI không vận hành SOAR thay bạn. Dựa trên những gì học được từ incident và alert trong quá trình onboarding, hệ thống soạn đề xuất playbook và automation theo định dạng của XSIAM, mỗi đề xuất có lý do, điều kiện kích hoạt, đầu vào, đầu ra và kế hoạch kiểm thử. Đội của bạn quyết định có import hay không, kiểm thử trong môi trường của mình trước, và luôn nắm quyền với những gì được chạy.
Các playbook được đề xuất chỉ làm giàu ngữ cảnh, phân loại và điều tra. Mọi bước phản ứng, như cô lập host, chặn indicator hay đặt lại mật khẩu, đều để lại thành task thủ công cho con người duyệt.
Tích hợp được đưa vào hoạt động thế nào
01
Key chỉ đọc
Bạn tạo API key chỉ có quyền xem. ApexAI báo những quyền đọc còn thiếu.
02
Quan sát
Dữ liệu được lấy theo lịch và kiểm tra độ tươi, độ đầy đủ, không ảnh hưởng tới kết luận nào.
03
Thí điểm
Khi nguồn đã được gắn và mọi kiểm tra s ức khoẻ đều xanh, bằng chứng XSIAM bắt đầu đi vào case, bản tóm tắt và kết luận của tenant đó.
04
Bật chính thức
Chuyển từ thí điểm sang dùng đầy đủ là quyết định của con người. Nếu một kiểm tra sức khoẻ hỏng, nguồn tự lùi về chế độ quan sát.
Câu hỏi thường gặp
Cortex XSIAM đã được hỗ trợ chưa?
Có, ở bản preview. ApexAI đọc incident, alert và tài sản ở chế độ chỉ đọc và dùng chúng ở chế độ quan sát, trong khi kết quả được so với đội của bạn.
ApexAI có chạy playbook hay hành động phản ứng trong XSIAM không?
Không. Hệ thống chuẩn bị đề xuất playbook và automation để đội của bạn import và xem xét. Các bước phản ứng vẫn là task thủ công, và mọi phản ứng về sau đều đi qua đề xuất do con người duyệt.
ApexAI có dùng hết năng lực truy vấn XQL của tôi không?
ApexAI kiểm tra năng lực còn lại trước mỗi truy vấn, chỉ dùng một phần nhỏ mỗi ngày và không bắt đầu truy vấn khi còn ít. Những cuộc săn tìm cần nhiều hơn sẽ chờ tới khi có năng lực.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.