Prečo „všetko“ nie je riešenie
Jedna z najčastejších chýb, ktorú vidíme pri nasadení Sentinelu, je jednoduchá: organizácie doň posielajú všetko. Každý log, každú udalosť, každý systém. Lebo viac dát predsa znamená lepšiu detekciu. Alebo nie?
Microsoft Sentinel účtuje za objem ingestovaných dát. Čím viac logov, tým vyššia faktúra. To by ale ešte bolo prijateľné, keby tie dáta mali bezpečnostnú hodnotu.
Problém je, že väčšina organizácií posiela do Sentinelu verbose application logy bez jediného detekčného pravidla za nimi, duplicitné zdroje pokryté iným konektorom a logy zo systémov, ktoré nikto aktívne nemonitoruje. Výsledok? Analytici tápu v šume. Skutočná hrozba sa stráca v mori nepotrebných udalostí. A mesačná faktúra rastie.
Čo do Sentinelu patrí a čo nie
Zdroje s reálnou bezpečnostnou hodnotou
- security events z endpointov (Defender for Endpoint)
- identity logy (Entra ID, Active Directory)
- sieťová telemetria (firewall, DNS, proxy)
- cloudové aktivity (Azure, M365, ak je relevantné aj AWS)
Zdroje, ktoré tam nepatria bez rozmyslu
- verbose application logy bez bezpečnostnej hodnoty
- duplicitné zdroje už pokryté iným konektorom
- logy zo systémov bez akejkoľvek detekčnej logiky za nimi
Nie objem dát, ale správne dáta
Dobrá Sentinel architektúra nie je o množstve dát. Je o správnych dátach zo správnych zdrojov.
Čo to znamená v praxi
Sentinel nie je dátový sklad. Je to detekčný nástroj. A detekčný nástroj funguje len vtedy, keď dostáva vstupy, na ktoré má napísané pravidlá a nad ktorými analytici aktívne pracujú.
Dobre nastavená Sentinel architektúra vám ušetrí desiatky percent nákladov na ingesciu a zároveň zvýši kvalitu detekcie. Nie napriek tomu, že máte menej dát. Ale práve preto.
Platíte za dáta, ktoré nikto nesleduje?
Pozrieme sa na vašu Sentinel architektúru, zdroje logov aj detekčné pravidlá a povieme, kde sa dá ušetriť bez straty viditeľnosti. Konzultácia je zdarma a trvá 30 minút.
