Cribl интегрирует CardinalOps: новые возможности для модернизации SIEM

На протяжении многих лет рынок следовал одной и той же модели: больше журналов событий, больше инструментов, больше правил обнаружения и, соответственно, более высокий уровень безопасности. На практике этот подход привел к другому результату. Организации получили более сложные инфраструктуры, более высокие затраты и значительную операционную нагрузку, но так и не смогли быть уверенными, что их механизмы обнаружения реально работают.

Именно поэтому Cribl делает ставку на переосмысление самой архитектуры операций с кибербезопасностью. Мы уверены, что заказчикам нужна платформа, которая не требует централизации всех данных и оплаты их хранения и индексации. Напротив, они ожидают более открытого подхода, который позволит использовать уже существующую инфраструктуру, модернизируя её постепенно и без привязки к одному поставщику.

До приобретения CardinalOps платформа Cribl уже обеспечивала полный цикл работы с телеметрией. Она позволяет собирать, анализировать, трансформировать, маршрутизировать, хранить и использовать телеметрические данные в разных средах.

Особенностью платформы является её открытость и независимость от конкретных производителей. Заказчики могут работать с различными инструментами безопасности, при этом не перестраивать всю инфраструктуру вокруг одного решения.

Важной составляющей этой архитектуры является федеративный подход к работе с данными. Вместо того чтобы переносить всю телеметрию в единое централизованное хранилище, платформа позволяет выполнять поиск и анализ непосредственно там, где эти данные уже находятся. Это помогает уменьшить затраты, избежать дублирования информации и сохранить гибкость инфраструктуры. Именно на эту основу теперь накладываются возможности CardinalOps.

CardinalOps использует ИИ для непрерывной оценки и усовершенствования механизмов обнаружения угроз. Решение сопоставляет имеющиеся средства защиты с реальными тактиками и техниками киберзлоумышленников, помогая организациям объективно оценить уровень покрытия и выявить пробелы.

Платформа автоматизирует процессы инженерии обнаружения: находит неисправные или чрезмерно «шумные» правила, выявляет отсутствующие механизмы обнаружения и помогает эффективнее использовать уже имеющиеся инструменты безопасности. В сочетании с возможностями Cribl по управлению телеметрией в масштабах предприятия CardinalOps обеспечивает непрерывный контроль качества обнаружения, помогая быстрее превращать телеметрические данные в практические выводы и повышать общий уровень киберзащиты.

CardinalOps помогает:

• оценивать уровень покрытия угроз;
• находить пробелы в механизмах обнаружения;
• выявлять неисправные правила;
• находить правила, создающие чрезмерный информационный шум;
• автоматизировать значительную часть процессов инженерии обнаружения;
• повышать эффективность уже имеющихся средств защиты.

В Cribl отмечают, что именно этот компонент долгое время оставался отсутствующим звеном между телеметрией и реальными результатами работы SOC.

CardinalOps не является новым SIEM и не заменяет его как отдельный продукт. Вместо этого решение добавляет одну из ключевых функциональных составляющих современных операций с кибербезопасностью — непрерывную инженерию обнаружения.

В сочетании с телеметрической платформой Cribl это позволяет сформировать полный цикл работы: от сбора и оптимизации данных до постоянного совершенствования механизмов обнаружения. Именно этот подход Cribl называет началом нового поколения SIEM — открытого, модульного и построенного на уже существующей телеметрической инфраструктуре заказчика.

Улучшение покрытия без создания новой закрытой платформы

Одной из ключевых возможностей CardinalOps является постоянный анализ уровня покрытия механизмов обнаружения в соответствии с фреймворком MITRE ATT&CK.

Решение автоматически сопоставляет имеющиеся правила с техниками атак, определяет пробелы, проверяет работоспособность правил и предлагает рекомендации по созданию новых механизмов обнаружения. При этом поддерживается работа с уже внедренными SIEM- и EDR-решениями, что позволяет организациям повышать эффективность защиты без отказа от существующих инструментов.

В результате команды кибербезопасности получают более полное представление о собственном состоянии защищенности, могут быстрее находить слабые места и оценивать, насколько их механизмы обнаружения соответствуют современным угрозам.

Меньше затрат без потери эффективности

Ещё одним направлением, которое Cribl считает принципиально важным, является оптимизация затрат на работу с данными. Компания подчёркивает, что интеграция CardinalOps не означает необходимости собирать ещё больше телеметрии или переносить всю информацию в новое централизованное хранилище.

Наоборот, данные предлагается обрабатывать ещё до того, как они начнут создавать дополнительные затраты. Телеметрия может маршрутизироваться в соответствии с конкретными сценариями использования — для обнаружения угроз, корреляции событий, расследований, обеспечения соответствия требованиям или будущих AI-сервисов.

В то же время CardinalOps помогает контролировать, чтобы механизмы обнаружения, использующие эти данные, оставались эффективными даже после изменений инфраструктуры или источников информации. Таким образом организации больше не вынуждены выбирать между экономией ресурсов и качеством защиты.

В Cribl называют приобретение CardinalOps одним из ключевых шагов в развитии собственной AI Platform for Telemetry. Компания стремится предлагать открытую архитектуру, которая сочетает управление телеметрией, непрерывную инженерию обнаружения и возможность использовать уже существующую инфраструктуру заказчика.

Интеграция технологий CardinalOps уже начата. В перспективе она должна сформировать полноценную открытую альтернативу традиционным SIEM-архитектурам, построенную на принципах модульности, федеративной работы с данными и независимости от конкретных поставщиков. Это позволит организациям эффективнее модернизировать свои операции с кибербезопасностью, снижать сложность инфраструктуры, оптимизировать затраты и повышать качество обнаружения современных угроз.

iITD является официальным дистрибьютором Cribl, что помогает партнёрам и заказчикам внедрять современные решения для работы с телеметрией и модернизации операций с кибербезопасностью.

Наша команда готова продемонстрировать возможности платформы Cribl, рассказать о новых функциях CardinalOps и помочь оценить, как решение может усилить именно вашу инфраструктуру.