Potentes operaciones de seguridad, potente segmentación

Dadas todas las herramientas poderosas que una organización puede implementar como parte de un arsenal SecOps efectivo, nos quedamos preguntándonos si puede haber demasiado de algo bueno.

Para mejorar operaciones de seguridad de estas muchas herramientas, y las alertas que generan, los SIEM son en lo que muchos de nosotros confiamos para administrar centralmente la seguridad a través de un “único panel de vidrio”, como dice el cliché.

Los equipos confían en su SIEM para obtener información de toda su postura de seguridad por algunas razones clave. En primer lugar, identifican rápidamente las amenazas graves que puede enfrentar la organización. En segundo lugar, permite reducir los tiempos de investigación para obtener el contexto relevante y los detalles sobre los ataques. Y tercero, permite que los equipos respondan más rápido con acciones y flujos de trabajo más automatizados.

Siendo este el caso, los proveedores deben ofrecer una integración limpia con los SIEM para facilitar la vida de los equipos de seguridad.

Por esta razón, Illumio tiene una profunda integración con Splunk. Los clientes conjuntos comprenden mejor su postura de seguridad y pueden responder a los ataques con unos pocos clics. La integración de Illumio utiliza visualizaciones intuitivas y cuidadosamente elaboradas para que los equipos puedan ver y entender lo que está sucediendo de un vistazo y responder con un clic. Con Splunk e Illumio, les hacemos saber a los equipos qué máquinas pueden verse comprometidas en el data center o si existe una política de segmentación deficiente.

Sin embargo, poder responder a estas importantes preguntas es solo el comienzo de los beneficios de nuestra integración con Splunk:

• Sepa dónde poner los valiosos recursos del equipo: Las alertas de eventos resaltan claramente los eventos de seguridad que están ocurriendo para que los equipos sepan qué activos pueden verse afectados y dónde responder de inmediato.
• Sepa si la segmentación es segura: Los atacantes experimentados pueden intentar alterar los firewalls y la configuración de segmentación para obtener acceso a los datos. Por esta razón, te mostramos lo segura que es tu segmentación destacando los intentos de manipulación del firewall en iptables o Microsoft WFP (Windows Filtering Platform). Esto le muestra inmediatamente si un servidor está intentando obtener privilegios ilegales o omitiendo políticas de seguridad.
• Ver intentos de ataques en curso: En un ataque, el movimiento lateral suele ir precedido por escaneos de puertos. Si bien no son inherentemente malos, los escaneos de puertos a menudo indican que alguien está realizando un reconocimiento para ver dónde puede moverse internamente. Nuestra integración destaca escaneos de puertos para saber de inmediato que hay actividad sospechosa que indica un ataque inminente.
• Vea qué máquinas están actuando de manera sospechosa: Nuestra visualización clara del tráfico principal bloqueado por host para que sepa rápidamente si un host está siendo atacado. Además, esta visualización también puede indicarle si la política de segmentación del host es incorrecta, lo que resulta en un tráfico bloqueado inesperado.
• Enhebre perfectamente la aguja entre negocios y secops: De un vistazo, sabrás sobre cualquier potencialmente bloqueó el tráfico antes de llevar las políticas a la aplicación. Esto significa que confirmará fácilmente las políticas de segmentación antes de entrar en funcionamiento para asegurarse de no romper la aplicación del negocio que está tratando de proteger.
• Investigue rápidamente: Al investigar una carga de trabajo que exhibe un comportamiento anormal, querrá descubrir de inmediato cuál es el problema. Todos los detalles de la carga de trabajo, los eventos de tráfico y los eventos de auditoría se reúnen en una sola vista, lo que reduce la cantidad de trabajo de investigación involucrado.
• Detenga los ataques con un clic: Nuestra integración ofrece una visibilidad de seguridad nítida en Splunk, pero igual de importante, también permite que los equipos tomen medidas. Puede poner en cuarentena cargas de trabajo sospechosas directamente desde Splunk con un solo clic.
• Cree alertas con unos pocos clics: La creación de alertas requiere que los equipos dominen los mensajes de syslog, comprendan su contenido, así como el contexto, profundamente y luego creen expresiones regulares. Con una interfaz gráfica que permite a los usuarios crear nuevas configuraciones de alerta para los mensajes más críticos generados por Illumio PCE, los usuarios pueden aprovechar rápidamente las alertas de Splunk para ayudar con la administración de su implementación de Illumio.

Vamos a echar un vistazo más de cerca a las características de nuestra integración de Splunk en otra publicación de blog, así que siéntate bien.

Para comenzar con nuestra versión más reciente, diríjase a Splunkbase y descargue: https://splunkbase.splunk.com/app/3658/.