Upravljan SIEM
Kako deluje upravljan SIEM: od dnevnika do odziva
Od vira podatkov do obvestila traja pot dogodka štiri korake. Spodaj je opisano, kaj naredi platforma in kaj SOC.
Pot dogodka v štirih korakih
- 01
Zbiranje
Agent na Windows strežnikih in postajah zbira Event Logs. Isti agent lahko deluje kot syslog zbiralnik za požarne zidove in omrežno opremo. Oblak in SaaS se priključijo prek konektorjev, API-jev ali HTTP Event Collectorja.
- 02
Filtriranje
Smart Filtering obdrži varnostno pomembne dogodke in zavrže rutinske ali manj vredne zapise, preden pridejo v hrambo in obračun.
- 03
Zaznava
Zaznavna pravila in korelacija, ki jih piše in vzdržuje SOC, povezujejo dogodke z različnih virov in jih primerjajo z znanimi tehnikami napadalcev.
- 04
Preiskava in odziv
Analitik preveri sum, izloči lažne alarme in vam pošlje poročilo: kaj se je zgodilo, kateri viri so udeleženi, kakšen je vpliv in kaj je bilo storjeno ali se priporoča.
Podatki se šifrirajo med prenosom in v mirovanju. Hranijo se filtrirani, varnostno pomembni dogodki. Poizvedbe za poročila in preiskave lahko po potrebi zaženete sami.
Kaj dela platforma in kaj SOC
Platforma
- zbiranje in razčlenjevanje (parsing) dnevnikov
- Smart Filtering
- hramba in iskanje po dogodkih
- nadzorna plošča SIEM
- hitra ponovna aktivacija (rehydration) arhiviranih podatkov za iskanje
SOC
- 24/7 spremljanje in razvrščanje (triaža)
- preiskava sumljivih dogodkov
- pisanje in prilagajanje zaznav ter odstranjevanje lažnih alarmov
- lov na tehnike, na primer RDP brute force
- odziv na potrjene grožnje in poročilo
Primer iz prakse proizvajalca
Huntress navaja primer, ko je lov SOC odkril napad RDP brute force manj kot 15 ur po tem, ko je stranka uvedla Huntress. Gre za navedbo proizvajalca, ne za zagotovilo za vaše okolje.
Povezava z EDR in ITDR
Huntress Managed EDR je namenjen hitremu odzivu na končni točki, Managed SIEM pa zbira dogodke gostiteljev, omrežja, identitet in oblaka za analizo ter dolgotrajno hrambo. Proizvajalec ju zasnuje za skupno delovanje pod istim SOC. Podatke Microsoft 365 in Entra ID proizvajalec povezuje prek izdelka Managed ITDR.
Pogosta vprašanja
Ali moram namestiti agenta na vsak vir?
Ne. Agent je potreben za Windows Event Logs in kot syslog zbiralnik. Oblak in SaaS se povežejo prek konektorjev ali API-jev, požarni zidovi pošiljajo syslog na zbiralnik.
Kaj se zgodi z dogodki, ki jih Smart Filtering zavrže?
Hranijo se samo filtrirani, varnostno pomembni dogodki. Kaj se filtrira za posamezen vir, potrdimo ob uvedbi.
Ali SOC sam spreminja nastavitve v mojih sistemih?
Huntress lahko ukrepa na podprtih virih. Pri sistemih tretjih, na primer požarnih zidovih in VPN, proizvajalec navaja, da ukrepe po priporočilu SOC izvede stranka.
Sorodne strani
Viri
Avtor: strokovna ekipa družbe 4secnet. Zadnji pregled vsebine: 28. 10. 2026. Vsebina je informativna in ni pravni nasvet. Zakonske zahteve preverite v uradnem besedilu.
Huntress je blagovna znamka družbe Huntress Labs Inc. Ta stran je neodvisna ponudba družbe 4secnet kot partnerja in ni uradna stran proizvajalca. Opisi zmogljivosti izdelka temeljijo na javnih navedbah proizvajalca na dan pregleda in se lahko spremenijo; veljavni so pogoji v ponudbi.
Povpraševanje
Pošljite podatke o okolju, ponudbo pripravimo mi
Potrebujemo število virov, status po ZInfV-1 in želeno hrambo. Cen ne objavljamo, ker so odvisne od števila virov.