Tích hợp Microsoft Sentinel
Tích hợp · SIEM
Microsoft Sentinel, trong kế hoạch theo lộ trình chỉ đọc trước tiên.
Các đội vận hành SOC trên Microsoft Sentinel đã xây detection, workbook và tự động hoá xoay quanh nó. ApexAI hướng tới việc bổ sung điều tra và kiểm chứng tự hành phía trên nền đó. Tích hợp Sentinel đang trong kế hoạch và sẽ đi theo cùng quy trình như mọi tích hợp khác của ApexAI.
Trạng thái: Lộ trình Tiếp theo trên lộ trình: hiện chưa có connector Microsoft Sentinel.
Thêm khả năng phán đoán, giữ nguyên SIEM
SIEM thu thập, tương quan và cảnh báo. Phần việc còn lại mới là phần tốn kém: quyết định incident nào là thật, ghép lại những gì một tài khoản hay host đã làm, kiểm tra cuộc tấn công có thành công không và chọn phản ứng an toàn. ApexAI được xây cho phần việc đó. Với Sentinel, mục tiêu là kết quả giống như khách hàng đang có với Elastic: điều tra có trích dẫn bằng chứng gốc, ít alert cần người xử lý hơn, và detection tốt dần theo thời gian.
Như mọi tích hợp của ApexAI, không có gì bị di chuyển hay thay thế. Log và rule của bạn vẫn nằm trong workspace của bạn.
Tích hợp dự kiến mang lại gì
Incident và alert
Đọc ở chế độ chỉ đọc, gắn với host, người dùng và địa chỉ IP liên quan, trong một case cho mỗi thực thể.
Bằng chứng tại chỗ
Săn tìm và điều tra truy vấn log ngay tại nơi chúng nằm, mọi kết luận được đối chiếu với sự kiện gốc.
Rà soát detection
Đánh giá rule không bao giờ kích hoạt, rule ồn hoặc trùng nhau, kèm đề xuất tinh chỉnh do đội của bạn duyệt và áp dụng.
Phản ứng qua công cụ của bạn
Phản ứng được chuẩn bị thành đề xuất kèm bằng chứng, phạm vi và cách hoàn tác, con người duyệt trước khi có gì chạy.
Quy trình mọi tích hợp đều theo
01
Quyền chỉ đọc
Kết nối chỉ có quyền đọc, và lệnh ghi bị ApexAI từ chối ngay bên trong.
02
Độ tươi và sức khoẻ
Incident được lấy gần thời gian thực, kèm thẻ sức khoẻ báo khi chậm hoặc thiếu quyền.
03
Hiểu dữ liệu
Bản đồ các bảng và field đang có cùng ý nghĩa của chúng.
04
Gắn tenant
Platform operator gắn mỗi workspace vào tenant ApexAI tương ứng; dữ liệu chưa gắn không được dùng.
05
Quan sát rồi mới bật
Kết quả được so với đội của bạn trước; mọi hành động chỉ bật khi bạn duyệt.
Câu hỏi thường gặp
ApexAI đã làm việc với Microsoft Sentinel chưa?
Chưa. Sentinel là tích hợp tiếp theo trong kế hoạch nhưng chưa có sẵn. Hiện ApexAI kết nối với Elastic, CrowdStrike Falcon và, ở bản preview, Palo Alto Cortex XSIAM.
Tôi có phải chuyển log ra khỏi Sentinel không?
Không. Như mọi tích hợp của ApexAI, nó được thiết kế để truy vấn dữ liệu tại chỗ ở chế độ chỉ đọc và chỉ giữ phần cần làm bằng chứng.
ApexAI có thay đổi analytics rule hay tự động hoá của tôi không?
Không. ApexAI đề xuất thay đổi và phản ứng kèm bằng chứng. Con người duyệt, và đội của bạn áp dụng trong chính công cụ của mình.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.