Distribuire Microsoft Sentinel affiancato a un SIEM esistente

Il team del Centro operazioni di sicurezza (SOC) usa soluzioni centralizzate di gestione delle informazioni di sicurezza e degli eventi (SIEM) e soluzioni di orchestrazione, automazione e risposta di sicurezza (SOAR) per proteggere il patrimonio digitale sempre più decentralizzato.

Questo articolo descrive l'approccio e i metodi da considerare quando si distribuiscono Microsoft Sentinel in una configurazione affiancata insieme al SIEM esistente.

Approccio affiancato

Usare un'architettura affiancata come fase di transizione a breve termine che porta a un SIEM ospitato nel cloud o come modello operativo a medio-lungo termine, a seconda delle esigenze SIEM dell'organizzazione.

Ad esempio, mentre l'architettura consigliata prevede l'uso di un'architettura side-by-side sufficiente per completare una migrazione a Microsoft Sentinel, l'organizzazione potrebbe voler rimanere con la configurazione affiancata più a lungo, ad esempio se non si è pronti per uscire dal SIEM legacy. In genere, le organizzazioni che usano una configurazione affiancata a lungo termine usano Microsoft Sentinel per analizzare solo i dati cloud. Molte organizzazioni evitano di eseguire più soluzioni di analisi locali a causa dei costi e della complessità.

Microsoft Sentinel offre prezzi con pagamento in base al consumo e infrastruttura flessibile, offrendo ai team SOC il tempo necessario per adattarsi al cambiamento. Distribuire e testare il contenuto a un ritmo ottimale per l'organizzazione e informazioni su come eseguire la migrazione completa a Microsoft Sentinel.

Prendere in considerazione i vantaggi e i svantaggi per ogni approccio quando si decide quale usare.

Approccio a breve termine

La tabella seguente descrive i vantaggi e i svantaggi dell'uso di un'architettura affiancata per un periodo di tempo relativamente breve.

Vantaggi Svantaggi
• Offre al personale SOC il tempo necessario per adattarsi ai nuovi processi durante la distribuzione di carichi di lavoro e analisi.

• Ottiene una profonda correlazione tra tutte le origini dati per gli scenari di ricerca.

• Elimina la necessità di eseguire analisi tra SIEM, creare regole di inoltro e chiudere le indagini in due posizioni.

• Consente al team soc di eseguire rapidamente il downgrade delle soluzioni SIEM legacy, eliminando i costi di infrastruttura e licenze.		 • Può richiedere una curva di apprendimento ripida per il personale SOC.

Approccio a medio-lungo termine

La tabella seguente descrive i vantaggi e gli svantaggi dell'uso di un'architettura affiancata per un periodo di tempo relativamente medio o più lungo.

Vantaggi Svantaggi
• Consente di usare i principali vantaggi Microsoft Sentinel, come intelligenza artificiale, machine learning e funzionalità di indagine, senza allontanarsi completamente dal SIEM legacy.

• Consente di risparmiare denaro rispetto al SIEM legacy, analizzando i dati cloud o Microsoft in Microsoft Sentinel.		 • Aumenta la complessità separando l'analisi tra database diversi.

• Separa la gestione dei casi e le indagini per gli incidenti in più ambienti.

• Comporta costi maggiori per il personale e l'infrastruttura.

• Richiede che il personale SOC sia informato su due diverse soluzioni SIEM.

Metodo affiancato

Stabilisci come configurare e usare Microsoft Sentinel insieme al tuo SIEM legacy.

Invia avvisi o indicatori di attività anomala dal tuo SIEM precedente a Microsoft Sentinel.

  • Inserire e analizzare i dati cloud in Microsoft Sentinel
  • Usare il SIEM legacy per analizzare i dati locali e generare avvisi.
  • Inoltrare gli avvisi dal SIEM locale in Microsoft Sentinel per stabilire una singola interfaccia.

Ad esempio, inoltrare gli avvisi usando Logstash, API o Syslog e archiviarli in formato JSON nell'area di lavoro Microsoft Sentinel Log Analytics.

Inviando avvisi dal SIEM legacy a Microsoft Sentinel, il team può correlare e analizzare gli avvisi in Microsoft Sentinel. Il team può comunque accedere al SIEM legacy per un'analisi più approfondita, se necessario. Nel frattempo, è possibile continuare a distribuire le fonti dati durante un periodo di transizione prolungato.

Questo metodo di distribuzione affiancata consigliato consente di sfruttare appieno Microsoft Sentinel e di distribuire le origini dati con i tempi più adatti alla tua organizzazione. Questo approccio evita di duplicare i costi per l'archiviazione e l'inserimento dei dati mentre si spostano le origini dati.

Per altre informazioni, vedere:

Se si vuole eseguire la migrazione completa a Microsoft Sentinel, vedere la guida completa alla migrazione.

Metodo 2: Inviare avvisi e eventi imprevisti arricchiti da Microsoft Sentinel a un SIEM legacy

Analizzare alcuni dati in Microsoft Sentinel, ad esempio i dati cloud, e quindi inviare gli avvisi generati a un SIEM legacy. Usare il SIEM legacy come unica interfaccia per eseguire la correlazione incrociata con gli avvisi che Microsoft Sentinel ha generato. È comunque possibile usare Microsoft Sentinel per un'analisi più approfondita degli avvisi generati Microsoft Sentinel.

Questa configurazione è conveniente, in quanto è possibile spostare l'analisi dei dati cloud in Microsoft Sentinel senza duplicare i costi o pagare due volte per i dati. Hai ancora la libertà di migrare al tuo ritmo. Quando si continua a spostare origini dati e rilevamenti in Microsoft Sentinel, diventa più semplice eseguire la migrazione a Microsoft Sentinel come interfaccia primaria. Tuttavia, la semplice inoltro di eventi imprevisti arricchiti a un SIEM legacy limita il valore ottenuto dalle funzionalità di analisi, ricerca e automazione di Microsoft Sentinel.

Per altre informazioni, vedere:

Altri metodi

Nella tabella seguente vengono descritte le configurazioni side-by-side non consigliate, con informazioni dettagliate sul motivo per cui:

Metodo Descrizione
Invia i log di Microsoft Sentinel al tuo SIEM tradizionale Con questo metodo, si continueranno a riscontrare i problemi di costo e scalabilità del SIEM locale.

Si pagherà per l'inserimento dei dati in Microsoft Sentinel, insieme ai costi di archiviazione nel SIEM legacy e non è possibile sfruttare i rilevamenti SIEM e SOAR di Microsoft Sentinel, l'analisi, l'analisi, l'analisi del comportamento dell'entità utente (UEBA), l'intelligenza artificiale o gli strumenti di analisi e automazione di Microsoft Sentinel.
Inviare log da un SIEM legacy a Microsoft Sentinel Anche se questo metodo offre tutte le funzionalità di Microsoft Sentinel, l'organizzazione paga comunque due origini di inserimento dati diverse. Oltre ad aggiungere complessità dell'architettura, questo modello può comportare costi più elevati.
Usare Microsoft Sentinel e il SIEM legacy come due soluzioni completamente separate È possibile usare Microsoft Sentinel per analizzare alcune origini dati, ad esempio i dati cloud, e continuare a usare il SIEM locale per altre origini. Questa configurazione consente limiti chiari per l'uso di ogni soluzione ed evita la duplicazione dei costi.

Tuttavia, la correlazione incrociata diventa difficile e non è possibile diagnosticare completamente gli attacchi che attraversano entrambi i set di origini dati. Nel panorama attuale, in cui le minacce si muovono spesso lateralmente all'interno di un'organizzazione, tali lacune di visibilità possono comportare rischi significativi per la sicurezza.

Semplificare i processi usando l'automazione

Usare flussi di lavoro automatizzati per raggruppare e assegnare priorità agli avvisi in un evento imprevisto comune e modificarne la priorità.

Per altre informazioni, vedere:

Contenuto correlato

Esplora le risorse Microsoft Sentinel di Microsoft per espandere le tue competenze e sfruttare al massimo le Microsoft Sentinel.

Valutare la possibilità di aumentare la protezione dalle minacce usando Microsoft Sentinel insieme a Microsoft Defender XDR e Microsoft Defender per il cloud per la protezione integrata dalle minacce. Sfruttare l'ampiezza di visibilità offerta da Microsoft Sentinel, approfondendo al tempo stesso l'analisi dettagliata delle minacce.

Per altre informazioni, vedere:

  • Last updated on