Винаяк Боркар - Опыт построения SIEM С помощью OpenSearch

• Вина Берк, генеральный директор и основатель компании Mach Five Software, рассказывает о своем опыте работы в сфере управления данными и создании симулятора поверх OpenSearch.  

• Симулятор - это информационная система безопасности и управления событиями, которая собирает и анализирует данные из различных источников, таких как журналы, события, контекст и разведданные.  

• Обнаружение угроз - это поиск плохих вещей в журналах и данных, используя индикаторы компрометации (МОК).  

• Парение - это решение проблемы, основанное на обнаружении угроз.  

• Корреляция - это объединение данных из разных источников для выявления аномалий и потенциальных угроз.  

• Поведенческая аналитика - это анализ стандартного поведения пользователей и выявление аномалий.  

• Поиск угроз - это поиск новых плохих вещей, которые могут происходить в организации.  

• Обеспечение видимости - это мониторинг и анализ данных для выявления потенциальных угроз и принятия мер.  

• OpenSearch - это инструмент для создания приложений, который позволяет быстро и эффективно искать данные.  

• OpenSearch может быть использован для создания приложений, которые могут быть использованы для обнаружения угроз, исправления ошибок и анализа данных.  

• OpenSearch имеет низкую задержку и может быть использован для итеративных рабочих процессов.  

• OpenSearch позволяет объединять данные из разных источников и обеспечивает возможность межкластерного поиска.  

• OpenSearch не поддерживает корреляцию данных из разных источников.  

• OpenSearch может быть дорогим для хранения больших объемов данных.  

• Mach Five использует API OpenSearch для создания единого интерфейса для данных безопасности.  

• Mach Five позволяет использовать межкластерный поиск и обеспечивает возможность хранения данных в различных системах.  

• Видео объясняет, как использовать BigQuery для генерации SQL-запросов и OpenSearch для выполнения поиска в реальном времени по данным в корзине GCS.  

• Это позволяет создать единый интерфейс для запроса данных и получения единого представления о 30-дневных данных в OpenSearch и хранилище данных.  

• Видео подчеркивает важность преодоления пробелов в данных, чтобы получить больше информации о безопасности и сбалансировать затраты на хранение данных в OpenSearch и Data Lake.  

• Это достигается с помощью информационных панелей OpenSearch и Elasticsearch, которые поддерживают все запросы, поддерживаемые этими панелями.