09 ਮਾਰਚ 2025·8 ਮਿੰਟ
CrowdStrike: ਟੈਲੀਮੇਟਰੀ + ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਇਕ ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਵਜੋਂ
ਕਿਵੇਂ CrowdStrike ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਅਤੇ ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਨੂੰ ਇੱਕ ਸਕੇਲਬਲ ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਕਾਰੋਬਾਰ ਵਿੱਚ ਬਦਲਦਾ ਹੈ—ਡਿਟੈਕਸ਼ਨ, ਵਰਕਫਲੋਜ਼, ਅਤੇ ਉਤਪਾਦ ਵਧਾਉਣ ਨੂੰ ਸੁਧਾਰਦੇ ਹੋਏ।
ਕਿਵੇਂ CrowdStrike ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਅਤੇ ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਨੂੰ ਇੱਕ ਸਕੇਲਬਲ ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਕਾਰੋਬਾਰ ਵਿੱਚ ਬਦਲਦਾ ਹੈ—ਡਿਟੈਕਸ਼ਨ, ਵਰਕਫਲੋਜ਼, ਅਤੇ ਉਤਪਾਦ ਵਧਾਉਣ ਨੂੰ ਸੁਧਾਰਦੇ ਹੋਏ।
ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਉਹ ਛੋਟੇ "ਤੱਥ" ਹੁੰਦੇ ਹਨ ਜੋ ਇਕ ਡਿਵਾਇਸ ਬਾਰੇ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ ਕਿ ਉੱਪਰ ਕੀ ਹੋ ਰਿਹਾ ਹੈ। ਇਸਨੂੰ ਗਤੀਵਿਧੀ ਦੇ ਬਰੇਡਕ੍ਰੰਬਸ ਵਾਂਗ ਸੋਚੋ: ਕਿਹੜੇ ਪ੍ਰੋਸੈਸ ਸ਼ੁਰੂ ਹੋਏ, ਕਿਹੜੀਆਂ ਫਾਇਲਾਂ ਛੁਹੀਆਂ ਗਈਆਂ, ਕਿਸ ਯੂਜ਼ਰ ਨੇ ਲੌਗਇਨ ਕੀਤਾ, ਕਿਹੜੀਆਂ ਕਮਾਂਡ ਚਲਾਈਆਂ ਗਈਆਂ, ਅਤੇ ਡਿਵਾਇਸ ਨੇ ਨੈੱਟਵਰਕ 'ਤੇ ਕਿਸ ਨਾਲ ਕਨੈਕਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ।
ਇੱਕ ਲੈਪਟਾਪ ਜਾਂ ਸਰਵਰ ਘਟਨਾਵਾਂ ਦਰਜ ਕਰ ਸਕਦਾ ਹੈ ਜਿਵੇਂ:
ਇਕੱਲੇ ਹੀ, ਇਹ ਵਿੱਚੋਂ ਬਹੁਤੀਆਂ ਘਟਨਾਵਾਂ ਨਾਰਮਲ ਲੱਗਦੀਆਂ ਹਨ। ਟੈਲੀਮੇਟਰੀ ਦੀ ਕੀਮਤ ਇਸ ਗੱਲ ਵਿੱਚ ਹੈ ਕਿ ਇਹ ਕ੍ਰਮ ਅਤੇ ਸੰਦਰਭ ਸੰਭਾਲਦੀ ਹੈ ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਹਮਲੇ ਦੀ ਪੁਸ਼ਟਿਕਰਨ ਕਰਦਾ ਹੈ।
ਜ਼ਿਆਦਾਤਰ ਅਸਲੀ ਘੁਸਪੈਠ ਆਖਿਰਕਾਰ ਐਂਡਪੌਇੰਟਾਂ ਨੂੰ ਛੂਹਦੀ ਹੈ: ਫਿਸ਼ਿੰਗ ਕਿਸੇ ਯੂਜ਼ਰ ਡਿਵਾਇਸ 'ਤੇ ਪੇਲੋਡ ਡਿਲਿਵਰ ਕਰਦੀ ਹੈ, ਹਮਲਾਵਰ ਲੈਟਰਲੀ ਮੂਵ ਕਰਦੇ ਹਨ, ਕਰੈਡੈਨਸ਼ੀਅਲ ਡੰਪ ਕਰਦੇ ਹਨ ਜਾਂ ਡਿਫੈਂਸ ਨਿਸ਼ਕਰਮ ਕਰਦੇ ਹਨ। ਸਿਰਫ ਨੈੱਟਵਰਕ-ਅਧਾਰਿਤ ਨਜ਼ਰ ਵੀਹੋਸਟ ਦੇ ਅੰਦਰ ਦੇ ਵੇਰਵੇਆਂ ਨੂੰ ਮਿਸ ਕਰ ਸਕਦੀ ਹੈ (ਜਿਵੇਂ ਕਿ ਕਿਹੜੇ ਪ੍ਰੋਸੈਸ ਨੇ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਕੀਤੀ)। ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਪ੍ਰੈਕਟਿਕਲ ਸਵਾਲਾਂ ਦੇ ਜ਼ਵਾਬ ਤੇਜ਼ੀ ਨਾਲ ਦੇ ਸਕਦੀ ਹੈ: ਕੀ ਚਲਿਆ? ਕਿਸ ਨੇ ਚਲਾਇਆ? ਕੀ ਬਦਲਿਆ? ਕਿਸ ਨਾਲ ਗੱਲ ਕੀਤੀ ਗਈ?
ਓਨ-ਡਿਵਾਇਸ ਟੂਲ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਜਾਣਿਆ-ਪਚਾਨਾ ਖ਼ਤਰਨਾਕ ਕੰਮ ਰੋਕ ਸਕਦੇ ਹਨ, ਪਰ ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਬਹੁਤ ਸਾਰੀਆਂ ਮਸ਼ੀਨਾਂ ਅਤੇ ਸਮੇਂ ਦੇ ਪਿੱਛੇ ਟੈਲੀਮੇਟਰੀ ਨੂੰ ਇਕੱਠਾ ਕਰਦਾ ਹੈ। ਇਸ ਨਾਲ ਕੋਰਲੇਸ਼ਨ (ਸਬੰਧਿਤ ਘਟਨਾਵਾਂ ਨੂੰ ਜੋੜਨਾ), ਐਨੋਮਲੀ ਡਿਟੈਕਸ਼ਨ, ਅਤੇ ਨਵੀਂ ਧਮਕੀ ਇੰਟੈਲੀਜੈਂਸ ਦੇ ਆਧਾਰ 'ਤੇ ਤੇਜ਼ ਅਪਡੇਟ ਹੋ ਸਕਦੇ ਹਨ।
ਇਹ ਲੇਖ ਟੈਲੀਮੇਟਰੀ + ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਨੂੰ ਇੱਕ ਸੁਰੱਖਿਆ ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਵਜੋਂ ਦੇਖਣ ਦੇ ਧਾਰਨਾਤਮਕ ਉਤਪਾਦ ਅਤੇ ਕਾਰੋਬਾਰੀ ਮਾਡਲ ਨੂੰ ਸਮਝਾਉਂਦਾ ਹੈ। ਇਹ ਕਿਸੇ ਵਿਅਕਤੀਗਤ ਵੈਂਡਰ ਦੀਆਂ ਗੁਪਤ ਅੰਦਰੂਨੀ ਵਿਵਰਣੀਆਂ ਨਹੀਂ ਦੱਸਦਾ।
CrowdStrike ਦਾ ਮੁੱਖ ਵਿਚਾਰ ਸਾਦਾ ਹੈ: ਹਰ ਐਂਡਪੌਇੰਟ 'ਤੇ ਇੱਕ ਛੋਟਾ "ਸੈਂਸਰ" ਰੱਖੋ, ਯੂਜ਼ਫੁਲ ਸੁਰੱਖਿਆ ਸਿਗਨਲਾਂ ਨੂੰ ਕਲਾਉਡ ਵੱਲ ਸਟਰੀਮ ਕਰੋ, ਅਤੇ ਕੇਂਦਰੀਕ੍ਰਿਤ ਐਨਾਲਿਟਿਕਸ ਫੈਸਲਾ ਕਰਨ ਦਿਓ ਕਿ ਕੀ ਮਹੱਤਵਪੂਰਣ ਹੈ। ਭਾਰੀ ਲੋਕਲ ਸਕੈਨਿੰਗ 'ਤੇ ਨਿਰਭਰ ਕਰਨ ਦੀ ਬਜਾਏ, ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਇਕੱਠਾ ਕਰਨ ਅਤੇ ਕੁਝ ਰੀਅਲ-ਟਾਈਮ ਸੁਰੱਖਿਆ ਨਿਯਮ ਲਾਗੂ ਕਰਨ 'ਤੇ ਧਿਆਨ ਦਿੰਦਾ ਹੈ।
ਸਰਲ ਤੌਰ 'ਤੇ Falcon ਸੈਂਸਰ ਨੂੰ ਬੇਪਰੇਸ਼ਾਨ ਰੱਖਣ ਲਈ ਡਿਜ਼ਾਈਨ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਹ ਸੁਰੱਖਿਆ-ਸੰਬੰਧਤ ਗਤੀਵਿਧੀ—ਜਿਵੇਂ ਪ੍ਰੋਸੈਸ ਲਾਂਚ, ਕਮਾਂਡ-ਲਾਈਨ ਆਰਗਿੁਮੈਂਟ, ਫਾਇਲ ਓਪਰੇਸ਼ਨ, ਪ੍ਰਮਾਣਿਕਤਾ ਘਟਨਾਵਾਂ, ਅਤੇ ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ—ਨੂੰ ਵੇਖਦਾ ਅਤੇ ਟੈਲੀਮੇਟਰੀ ਵਜੋਂ ਪੈਕੇਜ ਕਰਦਾ ਹੈ।
ਮਕਸਦ ਇਹ ਨਹੀਂ ਕਿ ਤਾਂਜ਼ਵੇਰੀ ਸਾਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਲੈਪਟਾਪ ਜਾਂ ਸਰਵਰ 'ਤੇ ਹੋਵੇ। ਮਕਸਦ ਇਹ ਹੈ ਕਿ ਕਲਾਉਡ ਕੋਲ ਕਾਫ਼ੀ ਸੰਦਰਭ ਮਿਲੇ, ਲਗਾਤਾਰ, ਤਾਂ ਜੋ ਇਹ ਕਈ ਡਿਵਾਇਸਾਂ 'ਤੇ ਵਿਹਾਰ ਨੂੰ ਕੋਰਲੇਟ ਅਤੇ ਵਿਆਖਿਆ ਕਰ ਸਕੇ।
ਸਰਲ ਪਾਈਪਲਾਈਨ ਇਸ ਤਰ੍ਹਾਂ ਵੇਖਾਇਆ ਜਾ ਸਕਦਾ ਹੈ:
ਕੇਂਦਰੀ ਐਨਾਲਿਟਿਕਸ ਨਾਲ ਡਿਟੈਕਸ਼ਨ ਲਾਜਿਕ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਅਪਡੇਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਹਰ ਥਾਂ ਇੱਕਸਾਰ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ—ਬਿਨਾਂ ਇਹ ਉਡੀਕ ਕੀਤੇ ਕਿ ਹਰ ਐਂਡਪੌਇੰਟ ਵੱਡੀਆਂ ਅਪਡੇਟਸ ਡਾਊਨਲੋਡ ਕਰੇ। ਇਹ ਕ੍ਰਾਸ-ਇਨਵਾਇਰੰਮੈਂਟ ਪੈਟਰਨ ਰਿਕਗਨੀਸ਼ਨ ਅਤੇ ਨਿਯਮਾਂ, ਸਕੋਰਿੰਗ, ਅਤੇ ਬਿਹੇਵੀਅਰਲ ਮਾਡਲਾਂ ਦੀ ਤੇਜ਼ ਸੁਧਾਰ ਦੀ ਵੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
ਟੈਲੀਮੇਟਰੀ ਸਟ੍ਰੀਮ ਕਰਨ ਦੇ ਖ਼ਰਚ ਹਨ: ਬੈਂਡਵਿਦਥ, ਡਾਟਾ ਵਾਲਿਊਮ (ਅਤੇ ਸਟੋਰੇਜ/ਰਿਟੈਂਸ਼ਨ ਫੈਸਲੇ), ਅਤੇ ਪ੍ਰਾਈਵੇਸੀ/ਗਵਰਨੈਂਸ ਮੁੱਦੇ—ਖਾਸ ਕਰਕੇ ਜਦੋਂ ਘਟਨਾਵਾਂ ਵਿੱਚ ਯੂਜ਼ਰ, ਡਿਵਾਇਸ, ਜਾਂ ਕਮਾਂਡ ਸੰਦਰਭ ਸ਼ਾਮਲ ਹੋ ਸਕਦਾ ਹੈ। ਕੀ ਇਕੱਠਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਕਿਵੇਂ ਇਹ ਸੁਰੱਖਿਅਤ ਹੈ, ਅਤੇ ਇਹ ਕਿੰਨੀ ਦੇਰ ਲਈ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ, ਇਹ ਸਾਰੇ ਪਲੇਟਫਾਰਮ ਸਮੀਖਿਆ ਦਾ ਹਿੱਸਾ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ।
ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਉਸ "ਕਿਰਿਆ ਪੱਛੋਕੜ" ਵਰਗੀ ਹੈ ਜੋ ਇੱਕ ਡਿਵਾਇਸ ਛੱਡਦਾ ਹੈ: ਕੀ ਚਲਿਆ, ਕੀ ਬਦਲਿਆ, ਕਿਸ ਨੇ ਕੀਤਾ, ਅਤੇ ਡਿਵਾਇਸ ਨੇ ਕਿਸ ਨਾਲ ਗੱਲ ਕੀਤੀ। ਇਕੱਲੀ ਘਟਨਾ ਨਿਰਪੱਖ ਲੱਗ ਸਕਦੀ ਹੈ; ਘਟਨਾਵਾਂ ਦੀ ਲੜੀ ਸੰਦਰਭ ਬਣਾਉਂਦੀ ਹੈ ਜੋ ਸੁਰੱਖਿਆ ਟੀਮਾਂ ਨੂੰ ਫੈਸਲਾ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੀ ਹੈ ਕਿ ਕੀ ਸਧਾਰਨ ਹੈ ਅਤੇ ਕੀ ਧਿਆਨ ਲੈਣ ਯੋਗ ਹੈ।
ਜ਼ਿਆਦਾਤਰ ਐਂਡਪੌਇੰਟ ਸੈਂਸਰ ਕੁਝ ਉੱਚ-ਸੰਕੇਤ ਸ਼੍ਰੇਣੀਆਂ 'ਤੇ ਧਿਆਨ केंद्रਿਤ ਕਰਦੇ ਹਨ:
ਇੱਕ ਅਲਰਟ ਕਹਿ ਸਕਦਾ ਹੈ, “ਇੱਕ ਨਵਾਂ ਪ੍ਰੋਗ੍ਰਾਮ ਚਲਿਆ।” ਇਹ ਅਮਲ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਨਹੀਂ। ਸੰਦਰਭ ਉਨ੍ਹਾਂ ਪ੍ਰਸ਼ਨਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ: ਕੌਣ ਲੌਗ-ਇਨ ਸੀ, ਕੀ ਚਲਿਆ, ਕਿੱਥੇ ਇਹ ਫਾਇਲ/ਕਮਾਂਡ ਤੋਂ ਚਲਿਆ, ਅਤੇ ਕਦੋਂ (ਇੱਕ ਸ਼ੱਕੀ ਈਮੇਲ ਖੋਲ੍ਹਣ ਦੇ ਤੁਰੰਤ ਬਾਅਦ ਜਾਂ ਰੁਟੀਨ ਪੈਚਿੰਗ ਦੌਰਾਨ)।
ਉਦਾਹਰਣ ਲਈ, “ਇੱਕ ਸਕ੍ਰਿਪਟ ਚਲਿਆ” ਝੱਲਧੀ ਹੈ। “ਇੱਕ ਸਕ੍ਰਿਪਟ ਫਾਇਨੈਂਸ ਯੂਜ਼ਰ ਦੇ ਖਾਤੇ ਹੇਠਾਂ, ਇੱਕ ਟemporary ਫੋਲਡਰ ਤੋਂ, ਨਵੀਂ ਫਾਇਲ ਡਾਊਨਲੋਡ ਹੋਣ ਦੇ ਕੁਝ ਮਿੰਟ ਬਾਅਦ ਚਲਿਆ, ਅਤੇ ਫਿਰ ਇੱਕ ਅਪਰਿਚਿਤ ਇੰਟਰਨੇਟ ਸਰਵਿਸ ਨਾਲ ਕਨੈਕਟ ਕੀਤਾ” — ਇਹ ਇੱਕ ਐਸਾ ਦ੍ਰਿਸ਼ ਹੈ ਜਿਸ ਨੂੰ SOC ਤੇਜ਼ੀ ਨਾਲ ਟ੍ਰਾਇਜ ਕਰ ਸਕਦਾ ਹੈ।
ਕੱਚੀ ਟੈਲੀਮੇਟਰੀ ਨੂੰ ਇਹਨਾਂ ਨਾਲ ਇੰਰਿਚ ਕੀਤਾ ਜਾਣਾ ਜ਼ਿਆਦਾ ਮੋਲਦਾਰ ਬਣਾਉਂਦਾ ਹੈ:
ਇਹ ਇੰਰਿਚਮੈਂਟ ਉੱਚ-ਭਰੋਸੇਯੋਗ ਡਿਟੈਕਸ਼ਨ, ਤੇਜ਼ ਜਾਂਚ, ਅਤੇ ਸਪੱਸ਼ਟ ਤਰਜੀਹ ਨੂੰ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ—ਬਿਨਾਂ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਨੂੰ ਦਸਾਂਨੀਆਂ ਟੁੱਟੀਆਂ ਸੂਚੀਆਂ ਜੋੜਨ ਲਈ ਮੈਨੂੰਅਲ ਕੰਮ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਪਏ।
ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਆਮ ਤੌਰ 'ਤੇ ਸ਼ੋਰ ਭਰੀ ਹੁੰਦੀ ਹੈ: ਹਜ਼ਾਰਾਂ ਛੋਟੀਆਂ ਘਟਨਾਵਾਂ ਜੋ ਤਦ ਹੀ ਮੈਟਿਨਿੰਗ ਕਰਦੀਆਂ ਹਨ ਜਦੋਂ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਡਿਵਾਇਸ ਉੱਤੇ ਹੋ ਰਹੀਆਂ ਹੋਰ ਗਤੀਵਿਧੀਆਂ ਅਤੇ ਫਲੀਟ ਭਰ ਦੇ 'ਨਾਰਮਲ' ਨਾਲ ਤੁਲਨਾ ਕਰ ਸਕੋ।
ਵੱਖ-ਵੱਖ OS ਅਤੇ ਐਪਸ ਇਕੋ ਵਰਗੀ ਗਤੀਵਿਧੀ ਨੂੰ ਵੱਖ-ਵੱਖ ਤਰੀਕੇ ਨਾਲ ਦਰਸਾਉਂਦੇ ਹਨ। ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਪਹਿਲਾਂ ਘਟਨਾਵਾਂ ਨੂੰ ਨਾਰਮਲਾਈਜ਼ ਕਰਦਾ ਹੈ—ਕੱਚੇ ਲੌਗ ਨੂੰ ਇੱਕਸਾਰ ਖੇਤਰਾਂ ਵਿੱਚ ਮੈਪ ਕਰਨਾ (process, parent process, command line, file hash, network destination, user, timestamp)। ਜਦੋਂ ਡਾਟਾ "ਇੱਕੋ ਭਾਸ਼ਾ" ਬੋਲਣ ਲੱਗਦਾ ਹੈ, ਤਾਂ ਉਹ ਖੋਜਯੋਗ, ਤੁਲਨਾਤਮਕ, ਅਤੇ ਡਿਟੈਕਸ਼ਨ ਲਾਜਿਕ ਲਈ ਤਿਆਰ ਹੋ ਜਾਂਦਾ ਹੈ।
ਇੱਕ ਘਟਨਾ ਆਮ ਤੌਰ 'ਤੇ ਹਮਲੇ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੁੰਦੀ। ਕੋਰਲੇਸ਼ਨ ਸਮੇਂ ਦੇ ਪੱਧਰ 'ਤੇ ਸੰਬੰਧਿਤ ਘਟਨਾਵਾਂ ਨੂੰ ਜੋੜਦਾ ਹੈ:
ਇਹਨਾਂ ਨੂੰ ਵੱਖ-ਵੱਖ ਦੇਖਣ 'ਤੇ ਸ਼ਾਇਦ ਸਮਝ ਆ ਸਕਦਾ ਹੋਵੇ, ਪਰ ਮਿਲਕੇ ਇਹ ਇੱਕ ਘੁਸਪੈਠ ਲੜੀ ਦਰਸਾਉਂਦੇ ਹਨ।
ਸਿਗਨੇਚਰ-ਕੇਵਲ ਡਿਟੈਕਸ਼ਨ ਜਾਣਿਆ-ਪਸੰਦੀਦਾ ਨੁਕਤੇ ਲੱਭਦਾ ਹੈ (ਖ਼ਾਸ hash, ਸਟੀਕ ਸਟਰਿੰਗ)। ਬਿਹੇਵੀਅਰਲ ਡਿਟੈਕਸ਼ਨ ਪੁੱਛਦਾ ਹੈ: ਇਹ ਰਵੱਈਆ ਹਮਲਾ-ਜਿਹਾ ਹੈ? ਉਦਾਹਰਣ ਲਈ, "ਕ੍ਰੈਡੇੰਸ਼ੀਅਲ ਡੰਪਿੰਗ ਵਰਤਾਰਾ" ਜਾਂ "ਲੈਟਰਲ ਮੂਵਮੈਂਟ ਪੈਟਰਨ" ਨਵੇਂ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰਾਂ 'ਤੇ ਵੀ ਪਕੜਿਆ ਜਾ ਸਕਦਾ ਹੈ।
ਕਲਾਉਡ-ਸਕੇਲ ਐਨਾਲਿਟਿਕਸ ਦੁਹਰਾਉਣਯੋਗ ਪੈਟਰਨ (ਨਵੀਆਂ ਹਮਲਾਕਾਰੀ ਤਕਨੀਕਾਂ, ਉਭਰ ਰਹਾ ਖ਼ਤਰਨਾਕ ਢਾਂਚਾ) ਨੂੰ ਸਿੱਘੇ ਰੂਪ ਵਿੱਚ ਵੇਖ ਸਕਦਾ ਹੈ, ਪਰ ਇਹ ਇੱਕ ਗਾਹਕ ਦੀ ਨਿੱਜੀ ਸਮੱਗਰੀ ਨੂੰ ਐਕਸਪੋਜ਼ ਕੀਤੇ ਬਗੈਰ ਸਿਗਨਲ ਅਤੇ ਸਾਂਖਿਆਕੀ ਰੁਝਾਨਾਂ ਨੂੰ ਜੋੜ ਕੇ ਕਿਰਿਆ ਕਰਦਾ ਹੈ। ਫਾਇਦਾ ਵੱਡਾ ਸੰਦਰਭ ਹੈ: ਕੀ ਵਿਰਲਾ ਹੈ, ਕੀ ਫੈਲ ਰਿਹਾ ਹੈ, ਅਤੇ ਕੀ ਨਵਾਂ ਸਬੰਧ ਬਣਿਆ ਹੈ।
ਵੱਧ ਸੰਦਰਭ ਅਕਸਰ ਘੱਟ ਸ਼ੋਰ ਵਾਲੇ ਅਲਰਟਾਂ ਦਾ ਨਤੀਜਾ ਦਿੰਦਾ ਹੈ। ਜਦੋਂ ਐਨਾਲਿਟਿਕਸ ਪ੍ਰੋਸੈਸ ਲਾਈਨੇਜ, ਰਿਪਿਊਟੇਸ਼ਨ, ਪਰੇਵலੈਂस, ਅਤੇ ਕਾਰਵਾਈਆਂ ਦੀ ਪੂਰੀ ਲੜੀ ਨੂੰ ਵੇਖ ਸਕਦੇ ਹਨ, ਤਾਂ ਉਹ ਨਿਰਪੱਖ ਐਡਮਿਨ ਕਾਰਵਾਈ ਨੂੰ ਘੱਟ ਮਹੱਤਤਾ ਦੇ ਸਕਦੇ ਹਨ ਅਤੇ ਅਸਲੀ ਖਤਰਨਾਕ ਲੜੀਆਂ ਨੂੰ ਉੱਚ ਤਰਜੀਹ ਦਿੰਦੇ ਹਨ—ਤਾਂ ਜੋ SOC ਅਸਲ ਘਟਨਾਵਾਂ 'ਤੇ ਕੰਮ ਕਰੇ, ਨਾ ਕਿ ਨਿਰਪੱਖ ਅਸਥਾਈ ਪੈਟਰਨਾਂ 'ਤੇ।
ਸੁਰੱਖਿਆ ਵਿੱਚ "ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਕਾਰੋਬਾਰ" ਇੱਕ ਸਧਾਰਣ ਲੂਪ 'ਤੇ ਟਿਕਿਆ ਹੁੰਦਾ ਹੈ: ਉੱਚ-ਗੁਣਵੱਤਾ ਸੁਰੱਖਿਆ ਡਾਟਾ ਇਕੱਠਾ ਕਰੋ, ਕੇਂਦਰੀਕ੍ਰਿਤ ਤੌਰ ਤੇ ਇਸਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰੋ, ਅਤੇ ਨਤੀਜੇ ਉਨ੍ਹਾਂ ਉਤਪਾਦਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਪੈਕੇਜ ਕਰੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਲੋਕ ਖਰੀਦ ਕੇ ਵਰਤ ਸਕਣ। ਫਰਕ ਸਿਰਫ਼ ਐਜੈਂਟ ਜਾਂ ਕਨਸੋਲ ਹੋਣ ਦਾ ਨਹੀਂ—ਸਥਿਰ ਟੈਲੀਮੇਟਰੀ ਸਟ੍ਰੀਮ ਨੂੰ ਕਈ ਨਤੀਜਿਆਂ ਵਿੱਚ ਬਦਲਣਾ ਹੈ: ਡਿਟੈਕਸ਼ਨ, ਜਾਂਚ, ਆਟੋਮੇਟেড ਰਿਸਪਾਂਸ, ਰਿਪੋਰਟਿੰਗ, ਅਤੇ ਲੰਬੇ ਸਮੇਂ ਦੀ ਐਨਾਲਿਟਿਕਸ।
ਕਲੇਕਸ਼ਨ ਪਾਸੇ, ਐਂਡਪੌਇੰਟ ਪ੍ਰੋਸੈਸ, ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ, ਲੌਗਇਨ, ਫਾਇਲ ਗਤੀਵਿਧੀ ਆਦਿ ਬਾਰੇ ਘਟਨਾਵਾਂ ਜਨਰੇਟ ਕਰਦੇ ਹਨ। ਉਹ ਟੈਲੀਮੇਟਰੀ ਕਲਾਉਡ ਬੈਕਐਂਡ ਨੂੰ ਭੇਜ ਕੇ, ਐਨਾਲਿਟਿਕਸ ਬਿਨਾਂ ਹਮੇਸ਼ਾਂ ਟੂਲ ਰੀਡਿਪਲੋਯਮੈਂਟ ਦੇ ਸੁਧਾਰ ਕਰ ਸਕਦਾ ਹੈ।
ਪੈਕੇਜਿੰਗ ਉਹ ਜਗ੍ਹਾ ਹੈ ਜਿੱਥੇ ਪਲੇਟਫਾਰਮ ਕਾਰੋਬਾਰ ਬਣਦਾ ਹੈ: ਇੱਕੋ ਅਧਾਰਭੂਤ ਡਾਟਾ ਵੱਖ-ਵੱਖ "ਮੋਡਿਊਲਜ਼" (ਐਂਡਪੌਇੰਟ ਪ੍ਰੋਟੈਕਸ਼ਨ, EDR, ਆਈਡੈਂਟੀਟੀ ਸਿਗਨਲ, ਵਲਨਰੇਬਿਲਿਟੀ ਸੰਦੇਸ਼, ਥ੍ਰੈਟ ਹੰਟਿੰਗ, ਪੋਜ਼ਚਰ ਚੈਕ) ਵਜੋਂ ਵੇਚੇ ਜਾ ਸਕਦੇ ਹਨ।
ਜਦੋਂ ਇੱਕ ਟੈਲੀਮੇਟਰੀ ਪਾਈਪਲਾਈਨ, ਸਟੋਰੇਜ, ਅਤੇ ਐਨਾਲਿਟਿਕਸ ਲੇਅਰ ਮੌਜੂਦ ਹੁੰਦਾ ਹੈ, ਨਵਾਂ ਮੋਡਿਊਲ ਅਕਸਰ ਨਵੇਂ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਵਰਕਫਲੋ ਲਗਾਉਣ ਮਤਲਬ ਹੁੰਦਾ ਹੈ, ਨਾ ਕਿ ਇਕੱਠਾ ਕਰਨ ਨੂੰ ਮੁੜ ਬਣਾਉਣ। ਟੀਮ ਇੱਕੋ ਡੇਟਾ ਸਟ੍ਰੀਮ, ਇੱਕੋ ਸਕੀਮਾ, ਇੱਕੋ ਕਲਾਉਡ ਇੰਜਨ, ਅਤੇ ਇੱਕੋ ਮੈਨੇਜਮੈਂਟ ਕਨਸੋਲ ਦੀ ਦੁਹਰਾਉਂਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੀਆਂ ਹਨ।
ਪਾਇੰਟ ਟੂਲ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਸਮੱਸਿਆ ਲਈ ਇੱਕ ਡੇਟਾਸੈਟ ਹੱਲ ਕਰਦੇ ਹਨ। ਪਲੇਟਫਾਰਮ ਮੁੱਲ ਨੂੰ ਸਮੇਟ ਸਕਦੇ ਹਨ: ਨਵੇਂ ਮੋਡਿਊਲ ਸਾਂਝੇ ਡਾਟਾ ਨੂੰ ਹੋਰ ਉਪਯੋਗੀ ਬਣਾਉਂਦੇ ਹਨ, ਜਿਸ ਨਾਲ ਡਿਟੈਕਸ਼ਨ ਅਤੇ ਜਾਂਚ ਸੁਧਰਦੀ ਹੈ, ਜੋ ਹੋਰ ਮੋਡਿਊਲਾਂ ਨੂੰ ਅਪਣਾਉਣ ਵਿੱਚ ਸਹਾਇਕ ਹੁੰਦਾ ਹੈ। SOC ਲਈ, ਇੱਕੀਕ੍ਰਿਤ UI ਅਤੇ ਸਾਂਝੇ ਵਰਕਫਲੋਜ਼ ਸੰਦਰਭ-ਬਦਲਾਅ ਘਟਾਉਂਦੇ ਹਨ—ਲੋਗ ਨਿਕਾਸ ਕਰਨ, ਅਲਰਟਾਂ ਮਿਲਾਉਣ, ਜਾਂ ਏਸੈੱਟ ਲਿਸਟਾਂ ਨੂੰ reconcile ਕਰਨ 'ਤੇ ਕੰਮ ਘੱਟ ਹੁੰਦਾ ਹੈ।
ਇੱਕ ਟੈਲੀਮੇਟਰੀ-ਚਲਿਤ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮ ਇੱਕ ਸਧਾਰਣ ਫਲਾਹਵੀਲ ਤੋਂ ਲਾਭ ਲੈਂਦਾ ਹੈ: ਜ਼ਿਆਦਾ ਟੈਲੀਮੇਟਰੀ ਬਿਹਤਰ ਡਿਟੈਕਸ਼ਨਾਂ ਤ Birthਪਦਾ ਹੈ, ਜੋ ਵਧੇਰੇ ਗਾਹਕ ਮੁੱਲ ਬਣਾਉਂਦਾ ਹੈ, ਜੋ ਹੋਰ ਅਪਣਾਉਂ ਨੂੰ ਤਰੱਕੀ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਹੋਰ ਟੈਲੀਮੇਟਰੀ ਜਨਰੇਟ ਹੁੰਦੀ ਹੈ।
ਇੱਕ ਨੈਵੀਗੇਸ਼ਨ ਐਪ ਦੀ ਉਦਾਹਰਣ ਲੋ: ਜਿਵੇਂ ਜ਼ਿਆਦਾ ਡ੍ਰਾਈਵਰਾਂ ਦਾ ਅਣਾਮਾਇਜ਼ਡ ਸਥਿਤੀ ਤੇ ਸਪੀਡ ਡੇਟਾ ਸਾਂਝਾ ਹੋਵੇ, ਐਪ ਸਿੱਖਦਾ ਹੈ ਕਿ ਟ੍ਰੈਫਿਕ ਕਿੱਥੇ ਬਣ ਰਿਹਾ ਹੈ, ਜ਼ਿਆਦਾ ਸਹੀ ਅਨੁਮਾਨ ਲਾਉਂਦਾ ਹੈ, ਅਤੇ ਬਿਹਤਰ ਰੂਟ ਸੁਝਾਉਂਦਾ ਹੈ—ਜੋ ਹੋਰ ਯੂਜ਼ਰਾਂ ਨੂੰ ਆਕਰਸ਼ਿਤ ਕਰਦਾ ਹੈ।
ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਨਾਲ, "ਟ੍ਰੈਫਿਕ ਪੈਟਰਨ" ਉਹ ਵਿਹਾਰ ਹਨ ਜੋ ਪ੍ਰੋਸੈਸ ਲਾਂਚ, ਫਾਇਲ ਬਦਲਾਅ, ਕਰੈਡੈਂਸ਼ੀਅਲ ਵਰਤੋਂ, ਅਤੇ ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ ਵਰਗੀਆਂ ਗਤੀਵਿਧੀਆਂ ਨੂੰ ਦਰਸਾਉਂਦੇ ਹਨ। ਜਦੋਂ ਬਹੁਤ ਸਾਰੀਆਂ ਸੰਗਠਨ ਇਹ ਸਿਗਨਲਾਂ ਯੋਗਦਾਨ ਪਾਉਂਦੀਆਂ ਹਨ, ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਨੁਮਾਇੰਦਗੀ-ਵਿਚਾਰ ਦੇ ਕੇ:
ਨਤੀਜਾ ਤੇਜ਼, ਜ਼ਿਆਦਾ ਸਹੀ ਡਿਟੈਕਸ਼ਨ ਅਤੇ ਘੱਟ ਫਾਲਸ ਅਲਰਟਸ ਹੈ—ਵਾਸਤਵਿਕ ਨਤੀਜੇ ਜੋ SOC ਨੂੰ ਤਤਕਾਲ ਮਹਿਸੂਸ ਹੁੰਦੇ ਹਨ।
ਕਿਉਂਕਿ ਭਾਰੀ ਐਨਾਲਿਟਿਕਸ ਕਲਾਉਡ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ, ਸੁਧਾਰ ਕੇਂਦਰੀ ਰੂਪ ਵਿੱਚ ਰੋਲ ਆਉਟ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਨਵੀਂ ਡਿਟੈਕਸ਼ਨ ਲਾਜਿਕ, ਕੋਰਲੇਸ਼ਨ ਨਿਯਮ, ਅਤੇ ਮਸ਼ੀਨ-ਲਰਨਿੰਗ ਮਾਡਲ ਬਿਨਾਂ ਹਰ ਗਾਹਕ ਦੇ ਮੋਹਰੀ ਟਿਊਨਿੰਗ ਦੇ ਅਪਡੇਟ ਹੋ ਸਕਦੇ ਹਨ। ਗਾਹਕਾਂ ਨੂੰ ਹਾਲਾਂਕਿ ਐਂਡਪੌਇੰਟ ਕੰਪੋਨੇਟ ਦੀ ਲੋੜ ਰਹਿੰਦੀ ਹੈ, ਪਰ ਬਹੁਤ ਸਾਰਾ "ਦਿਮਾਗ" ਲਗਾਤਾਰ ਵਿਕਸਤ ਹੋ ਸਕਦਾ ਹੈ।
ਇਸ ਮਾਡਲ ਦੀਆਂ ਹੱਦਾਂ ਅਤੇ ਜ਼ਿੰਮੇਵਾਰੀਆਂ ਹਨ:
ਸਭ ਤੋਂ ਮਜ਼ਬੂਤ ਪਲੇਟਫਾਰਮ ਫਲਾਹਵੀਲ ਨੂੰ ਸਿਰਫ਼ ਵਿਕਾਸ ਕਹਾਣੀ ਸਮਝ ਕੇ ਨਹੀਂ, ਸਗੋਂ ਇੱਕ ਇੰਜੀਨੀਅਰਿੰਗ ਅਤੇ ਭਰੋਸੇ ਦਾ ਸਮੱਸਿਆ-ਸੈੱਟ ਸਮਝ ਕੇ ਬਣਾੁਂਦੇ ਹਨ।
ਜਦੋਂ ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਇੱਕ ਸਾਂਝੇ ਕਲਾਉਡ ਡੇਟਾਸੈਟ ਵਿੱਚ ਨਾਰਮਲਾਈਜ਼ ਹੁੰਦੀ ਹੈ, ਸਭ ਤੋਂ ਵੱਡਾ ਫਾਇਦਾ ਓਪਰੇਸ਼ਨਲ ਹੁੰਦਾ ਹੈ: SOC ਵੱਖ-ਵੱਖ ਟੂਲਾਂ ਨੂੰ ਜੁਗਲਿੰਗ ਕਰਨਾ ਛੱਡ ਦਿੰਦਾ ਅਤੇ ਇੱਕ ਸਤਰ ਦੀ ਸੱਚਾਈ 'ਤੇ ਰੀਪੀਟੇਬਲ ਵਰਕਫਲੋ ਚਲਾਉਣਾ ਸ਼ੁਰੂ ਕਰ ਦਿੰਦਾ ਹੈ।
ਡਿਟੈਕਟ. ਇੱਕ ਡਿਟੈਕਸ਼ਨ ਫਾਇਰ ਹੁੰਦੀ ਹੈ ਕਿਉਂਕਿ ਐਨਾਲਿਟਿਕਸ ਸ਼ੱਕੀ ਵਿਹਾਰ ਪਛਾਣਦੇ ਹਨ (ਉਦਾਹਰਣ ਲਈ, ਇੱਕ ਅਸਧਾਰਨ ਚਾਈਲਡ ਪ੍ਰੋਸੈਸ ਜੋ PowerShell ਚਲਾਉਂਦਾ ਅਤੇ ਕਰੈਡੈਂਸ਼ੀਅਲ ਅੈਕਸੈੱਸ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ)। ਇੱਕ ਹੈੱਡਲਾਈਨ-ਅਲਰਟ ਦੀ ਥਾਂ, ਇਹ ਅਲਰਟ ਨਾਲ ਘਿਰੇ ਹੋਏ ਮੁੱਖ ਘਟਨਾਵਾਂ ਪਹਿਲਾਂ ਤੋਂ ਜੁੜੇ ਹੋਏ ਮਿਲਦੇ ਹਨ।
ਜਾਂਚ. ਵਿਸ਼ਲੇਸ਼ਕ ਉਸੇ ਡੇਟਾਸੈਟ ਵਿੱਚ ਪਿਵਟ ਕਰਦਾ ਹੈ: ਪ੍ਰੋਸੈਸ ਟਰੀ, ਕਮਾਂਡ ਲਾਈਨ, ਹੈਸ਼ ਰਿਪਿਊਟੇਸ਼ਨ, ਯੂਜ਼ਰ ਸੰਦਰਭ, ਡਿਵਾਇਸ ਇਤਿਹਾਸ, ਅਤੇ ਫਲੀਟ ਵਿੱਚ "ਹੋਰ ਕਿਹੜੀਆਂ ਸਦੀਆਂ ਵਰਗੀਆਂ"। ਇਹ SIEM, ਵੱਖ-ਵੱਖ EDR ਕਨਸੋਲ, ਥ੍ਰੈਟ ਇੰਟੈਲ ਪੋਰਟਲ, ਅਤੇ ਅਲੱਗ ਐਸੈੱਟ ਇੰਵੈਂਟਰੀ ਖੋਲ੍ਹਣ ਦੇ ਸਮੇਂ ਨੂੰ ਘਟਾਉਂਦਾ ਹੈ।
ਕੰਟੇਨ. ਕੋਰਲੇਟਿਡ ਟੈਲੀਮੇਟਰੀ ਨਾਲ ਬਣੀ ਭਰੋਸੇਯੋਗੀ ਤੋਂ SOC ਹੋਸਟ ਨੂੰ ਆਈਸੋਲੇਟ, ਪ੍ਰੋਸੈਸ ਨੂੰ ਮਾਰ, ਜਾਂ ਇੰਡੀਕੇਟਰ ਨੂੰ ਬਲੌਕ ਕਰ ਸਕਦਾ ਹੈ ਬਿਨਾਂ ਦੂਜੇ ਟੀਮ ਦੀ ਪੁਸ਼ਟੀ ਦੇ ਇੰਤਜ਼ਾਰ ਕੀਤੇ।
ਰੀਮੇਡੀਏਟ. ਰੀਮੇਡੀਏਸ਼ਨ ਹੋਰ ਸੰਗਠਿਤ ਹੋ ਜਾਂਦਾ ਹੈ ਕਿਉਂਕਿ ਤੁਸੀਂ ਇੱਕੋ ਵਿਹਾਰ ਲਈ ਸਾਰੇ ਐਂਡਪੌਇੰਟਾਂ 'ਤੇ ਖੋਜ ਕਰ ਸਕਦੇ ਹੋ, ਸਕੋਪ ਪੱਕਾ ਕਰ ਸਕਦੇ ਹੋ, ਅਤੇ ਇੱਕੋ ਟੈਲੀਮੇਟਰੀ ਪਾਈਪਲਾਈਨ ਨਾਲ ਕਲੀਨਅੱਪ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਸਕਦੇ ਹੋ।
ਰਿਪੋਰਟ. ਰਿਪੋਰਟਿੰਗ ਤੇਜ਼ ਅਤੇ ਸਪੱਸ਼ਟ ਹੁੰਦੀ ਹੈ: ਟਾਈਮਲਾਈਨ, ਪ੍ਰਭਾਵਿਤ ਡਿਵਾਇਸ/ਯੂਜ਼ਰ, ਕੀ ਕਾਰਵਾਈ ਕੀਤੀ ਗਈ, ਅਤੇ ਸਬੂਤ ਦੇ ਲਿੰਕ ਸਭ ਇੱਕੋ ਮੂਲ ਘਟਨਾ ਰਿਕਾਰਡ ਤੋਂ ਆਉਂਦੇ ਹਨ।
ਸਾਂਝੀ ਟੈਲੀਮੇਟਰੀ ਬੁਨਿਆਦ ਡੁਪਲੀਕੇਟ ਅਲਰਟਾਂ (ਕਈ ਟੂਲ ਇੱਕੋ ਗਤੀਵਿਧੀ ਨੂੰ ਫਲਾਗ ਕਰ ਰਹੇ) ਨੂੰ ਘਟਾਉਂਦੀ ਹੈ ਅਤੇ ਬਿਹਤਰ ਗਰੁੱਪਿੰਗ ਯੋਗ ਬਣਾਉਂਦੀ ਹੈ—ਇੱਕ ਇੰਸੀਡੈਂਟ ਦੀ ਥਾਂ ਤੇ ਵੀਹ ਨੋਟੀਫਿਕੇਸ਼ਨਾਂ। ਤੇਜ਼ ਟ੍ਰਾਇਜ ਮਹੱਤਵਪੂਰਣ ਹੈ ਕਿਉਂਕਿ ਇਹ ਵਿਸ਼ਲੇਸ਼ਕਾਂ ਦੇ ਘੰਟਿਆਂ ਦੀ ਬੱਚਤ ਕਰਦਾ ਹੈ, ਮੀਨ ਟਾਈਮ ਟੂ ਰਿਸਪਾਂਡ ਘਟਾਉਂਦਾ ਹੈ, ਅਤੇ ਘਟਨਾਵਾਂ ਨੂੰ "ਸੁਰੱਖਿਆ-ਵਾਜਿਬ" ਵਜੋਂ ਬੰਦ ਕਰਨ ਦੀ ਗਿਣਤੀ ਘਟਾਉਂਦਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਵੱਖ-ਵੱਖ ਡਿਟੈਕਸ਼ਨ ਦ੍ਰਿਸ਼ਟਿਕੋਣਾਂ ਦੀ ਤੁਲਨਾ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ blog/edr-vs-xdr ਵੇਖੋ।
EDR (Endpoint Detection and Response) ਐਂਡਪੌਇੰਟ-ਪ੍ਰਧਾਨ ਹੈ: ਇਹ ਲੈਪਟਾਪ, ਸਰਵਰ, ਅਤੇ ਵਰਕਲੋਡ ਉੱਤੇ ਘਟ ਰਹੀ ਗਤੀਵਿਧੀ—ਪ੍ਰੋਸੈਸ, ਫਾਇਲ, ਲੌਗਇਨ, ਅਤੇ ਸ਼ੱਕੀ ਵਿਹਾਰ—ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਜਾਂਚ ਅਤੇ ਰਿਸਪਾਂਸ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ।
XDR (Extended Detection and Response) ਇਸ ਵਿਚਾਰ ਨੂੰ ਹੋਰ ਸਰੋਤਾਂ ਵੱਲ ਵਧਾਉਂਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਆਈਡੈਂਟੀਟੀ, ਈਮੇਲ, ਨੈੱਟਵਰਕ, ਅਤੇ ਕਲਾਉਡ ਕੰਟਰੋਲ-ਪਲੇਨ ਇਵੈਂਟਸ। ਮਕਸਦ ਹਰ ਚੀਜ਼ ਇਕੱਠਾ ਕਰਨ ਦਾ ਨਹੀਂ, ਬਲਕਿ ਉਹ ਕੁਝ ਜੁੜਨਾ ਹੈ ਜੋ ਅਸਲ ਵਿੱਚ ਮਹੱਤਵਪੂਰਣ ਹੈ ਤਾਂ ਜੋ ਇੱਕ ਅਲਰਟ ਇੱਕ ਕਾਰਵਾਈਯੋਗ ਇੰਸੀਡੈਂਟ ਕਹਾਣੀ ਬਣ ਜਾਵੇ।
ਜੇ ਡਿਟੈਕਸ਼ਨ ਕਲਾਉਡ ਵਿੱਚ ਬਣੇ ਹੋਏ ਹਨ, ਤੁਸੀਂ ਸਮੇਂ-ਸਾਰਣੀ ਲਈ ਹਰ ਐਂਡਪੌਇੰਟ ਸੈਂਸਰ ਨੂੰ ਮੁੜ-ਤਿਆਰ ਕੀਤੇ ਬਿਨਾਂ ਨਵੇਂ ਟੈਲੀਮੇਟਰੀ ਸਰੋਤ ਜੋੜ ਸਕਦੇ ਹੋ। ਨਵਾਂ ਕਨੈਕਟਰ (ਉਦਾਹਰਣ ਲਈ, ਆਈਡੈਂਟੀਟੀ ਪ੍ਰੋਵਾਈਡਰ ਜਾਂ ਕਲਾਉਡ ਲੌਗ) ਇੱਕੋ ਬੈਕਐਂਡ ਨੂੰ ਫੀਡ ਕਰਦਾ ਹੈ, ਤਾਂ ਨਿਯਮ, ਮਸ਼ੀਨ-ਲਰਨਿੰਗ, ਅਤੇ ਕੋਰਲੇਸ਼ਨ ਲਾਜਿਕ ਕੇਂਦਰੀਕ੍ਰਿਤ ਤੌਰ 'ਤੇ ਤਬਦੀਲ ਹੋ ਸਕਦੀਆਂ ਹਨ।
ਵਾਸਤਵ ਵਿੱਚ, ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਤੁਸੀਂ ਇੱਕ ਸਾਂਝੇ ਡਿਟੈਕਸ਼ਨ ਇੰਜਨ ਨੂੰ ਵਿਆਪਕ ਕਰ ਰਹੇ ਹੋ: ਇੱਕੋ ਇੰਰਿਚਮੈਂਟ (ਐਸੈੱਟ ਸੰਦਰਭ, ਧਮਕੀ ਇੰਟੈਲੀਜੈਂਸ, ਪ੍ਰੈਵਲੈਂਸ), ਇੱਕੋ ਕੋਰਲੇਸ਼ਨ, ਅਤੇ ਇੱਕੋ ਜਾਂਚ ਟੂਲ—ਸਿਰਫ਼ ਇਨਾਂ ਵਿੱਚ ਹੋਰ ਇਨਪੁਟ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ।
"ਸਿੰਗਲ ਪੇਨ ਆਫ ਗਲਾਸ" ਨੂੰ ਡੈਸ਼ਬੋਰਡ ਵਿੱਚ ਦਸ ਟਾਈਲਾਂ ਵਾਲਾ ਵਿਉਂ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ। ਇਹਦਾ ਅਸਲ ਮਤਲਬ:
ਵੈਂਡਰ ਨੂੰ ਪੂਛੋ:
ਇੱਕ ਟੈਲੀਮੇਟਰੀ-ਚਲਿਤ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮ ਅਕਸਰ "ਡਾਟਾ" ਨੂੰ ਸਿੱਧਾ ਵੇਚਦਾ ਨਹੀਂ। ਥੋੜਾ ਬਹੁਤ, ਵੈਂਡਰ ਇੱਕੋ ਡੇਟਾ ਸਟ੍ਰੀਮ ਨੂੰ ਉਤਪਾਦਿਤ ਨਤੀਜਿਆਂ ਵਜੋਂ ਪੈਕੇਜ ਕਰਦਾ ਹੈ—ਡਿਟੈਕਸ਼ਨ, ਜਾਂਚ, ਰਿਸਪਾਂਸ ਐਕਸ਼ਨ, ਅਤੇ ਅਨੁਕੂਲ ਰਿਪੋਰਟਿੰਗ। ਇਸੀ ਲਈ ਪਲੇਟਫਾਰਮ ਅਕਸਰ ਮੋਡਿਊਲਾਂ ਦੇ ਸੈੱਟ ਵਾਂਗ ਲੱਗਦੇ ਹਨ ਜੋ ਜ਼ਰੂਰਤ ਅਨੁਸਾਰ ਚਾਲੂ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ।
ਅਕਸਰ ਪ੍ਰਦਾਨਕੀ ਇਨ੍ਹਾਂ ਅਧਾਰਭੂਤ ਇਮਾਰਤਾਂ 'ਤੇ ਬਣਦੀ ਹੈ:
ਮੋਡਿਊਲ ਕ੍ਰਾਸ-ਸੇਲ ਅਤੇ ਅੱਪਸੇਲ ਨੂੰ ਕੁਦਰਤੀ ਬਣਾਉਂਦੇ ਹਨ ਕਿਉਂਕਿ ਇਹ ਖਤਰੇ ਅਤੇ ਓਪਰੇਸ਼ਨਲ ਪ੍ਰਬਲਤਾ ਨੂੰ ਮੈਪ ਕਰਦੇ ਹਨ:
ਕੁੰਜੀ ਚੀਜ਼ ਇਕਸਾਰਤਾ ਹੈ: ਇੱਕੋ ਟੈਲੀਮੇਟਰੀ ਅਤੇ ਐਨਾਲਿਟਿਕਸ ਬੁਨਿਆਦ ਵੱਧ ਵਰਕਕੇਸਜ਼ ਦਾ ਸਮਰਥਨ ਕਰਦੀ ਹੈ, ਘਟੇ ਟੂਲ ਸਪੈਲ।
ਡਾਟਾ ਪਲੇਟਫਾਰਮ ਆਮਤੌਰ 'ਤੇ ਮੋਡਿਊਲ, ਫੀਚਰ ਟੀਅਰ, ਅਤੇ ਕਈ ਵਿਆਰ ਯੂਜ਼ੇਜ-ਆਧਾਰਿਤ ਕਾਰਕਾਂ (ਜਿਵੇਂ ਰਿਟੈਂਸ਼ਨ, ਘਟਨਾ ਵਾਲਿਊਮ, ਜਾਂ ਅਡਵਾਂਸਡ ਐਨਾਲਿਟਿਕਸ) ਦੇ ਸੁਮੇਲ ਰਾਹੀਂ ਮੁੱਲ ਰੱਖਦੇ ਹਨ। ਵਧੇਰੇ ਟੈਲੀਮੇਟਰੀ ਨਤੀਜੇ ਸੁਧਾਰ ਸਕਦੀ ਹੈ, ਪਰ ਇਹ ਵੀ ਸਟੋਰੇਜ, ਪ੍ਰੋਸੈਸਿੰਗ, ਅਤੇ ਗਵਰਨੈਂਸ ਲਾਗਤਾਂ ਵਧਾਉਂਦੀ ਹੈ—ਇਸ ਲਈ ਪ੍ਰਾਈਸਿੰਗ ਅਕਸਰ ਯੋਗਤਾ ਅਤੇ ਪੱਧਰ ਦੋਹਾਂ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ। ਇਹ ਆਮ ਰੂਪ ਵਿੱਚ /pricing ਵੇਖਣ ਯੋਗ ਹੈ।
ਟੈਲੀਮੇਟਰੀ ਡਿਟੈਕਸ਼ਨ ਅਤੇ ਰਿਸਪਾਂਸ ਸੁਧਾਰ ਸਕਦੀ ਹੈ, ਪਰ ਇਹ ਇਕ ਸੰਵੇਦਨਸ਼ੀਲ ਡਾਟਾ ਸਟ੍ਰੀਮ ਵੀ ਬਣਾਉਂਦੀ ਹੈ: ਪ੍ਰੋਸੈਸ ਗਤੀਵਿਧੀ, ਫਾਇਲ ਮੈਟਾਡੇਟਾ, ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ, ਅਤੇ ਯੂਜ਼ਰ/ਡਿਵਾਇਸ ਸੰਦਰਭ। ਇਕ ਮਜ਼ਬੂਤ ਸੁਰੱਖਿਆ ਨਤੀਜਾ "ਹਰ ਚੀਜ਼ ਇਕੱਠੀ ਕਰਨਾ ਹਮੇਸ਼ਾ" ਦੀ ਲੋੜ ਨਹੀਂ ਰੱਖਦਾ। ਚੰਗੇ ਪਲੇਟਫਾਰਮ ਨਿੱਜੀਤਾ ਅਤੇ ਗਵਰਨੈਂਸ ਨੂੰ ਪਹਿਲੀ ਪਹਚਾਣ ਦਿੰਦੇ ਹਨ।
ਡਾਟਾ ਨਿਊਨਤਮਕਰਨ: ਸਿਰਫ਼ ਉਹੀ ਇਕੱਠਾ ਕਰੋ ਜੋ ਸੁਰੱਖਿਆ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਲਾਜ਼ਮੀ ਹੋਵੇ; ਸੰਭਵ ਹੋਵੇ ਤਾਂ ਪੂਰੀ ਸਮੱਗਰੀ ਦੀ ਥਾਂ ਹੈਸ਼/ਮੈਟਾਡੇਟਾ ਨੂੰ ਤਰਜੀਹ ਦਿਓ; ਹਰ ਟੈਲੀਮੇਟਰੀ ਸ਼੍ਰੇਣੀ ਲਈ ਤਰਕ ਸਪਸ਼ਟ ਰੱਖੋ।
ਐਕਸੈੱਸ ਕੰਟਰੋਲ: ਤੰਗ role-based access control (RBAC), ਘੱਟੋ-ਘੱਟ ਅਧਿਕਾਰਾਂ ਦੇ ਡਿਫਾਲਟ, ਜ਼ਿੰਮੇਵਾਰੀਆਂ ਦੀ ਵੰਡ (ਉਦਾਹਰਣ ਲਈ, ਵਿਸ਼ਲੇਸ਼ਕ ਬਣਾਮ ਐਡਮਿਨ), ਮਜ਼ਬੂਤ ਪ੍ਰਮਾਣੀਕਰਨ, ਅਤੇ ਕੰਸੋਲ ਕਾਰਵਾਈਆਂ ਅਤੇ ਡਾਟਾ ਐਕਸੈੱਸ ਲਈ ਵਿਸਥਾਰਿਤ ਆਡੀਟ ਲੌਗ ਉਮੀਦ ਕਰੋ।
ਰਿਟੈਂਸ਼ਨ ਅਤੇ ਮਿਟਾਉਣਾ: ਸਪਸ਼ਟ ਰਿਟੈਂਸ਼ਨ ਵਿੰਡੋ, ਕੌਨਫਿਗਰੇਬਲ ਨੀਤੀਆਂ, ਅਤੇ ਕਾਰਗੁਜ਼ਾਰ ਮਿਟਾਉਣ ਵਰਕਫਲੋਜ਼ ਮਹੱਤਵਪੂਰਣ ਹਨ। ਰਿਟੈਂਸ਼ਨ ਨੂੰ ਧਮਕੀ ਹੰਟਿੰਗ ਦੀ ਜ਼ਰੂਰਤਾਂ ਅਤੇ ਨਿਯਮਕ ਉਮੀਦਾਂ ਨਾਲ ਮਿਲਾਓ, ਕੇਵਲ ਵੈਂਡਰ ਸਹੂਲਤ ਨਾਲ ਨਹੀਂ।
ਖੇਤਰੀ ਪ੍ਰੋਸੈਸਿੰਗ: ਬਹੁਰ-ਰਾਸ਼ਟਰ ਟੀਮਾਂ ਲਈ ਡਾਟਾ ਕਿੱਥੇ ਪ੍ਰੋਸੈਸ ਅਤੇ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਇਹ ਗਵਰਨੈਂਸ ਦੀ ਲੋੜ ਹੈ। ਖੇਤਰੀ ਡੇਟਾ ਰਿਹਾਇਸ਼ ਦਾ ਸਮਰਥਨ ਜਾਂ ਨਿਯੰਤਰਿਤ ਪ੍ਰੋਸੈਸਿੰਗ ਥਾਵਾਂ ਦੀ ਤਲਾਸ਼ ਕਰੋ।
ਕਈ ਖਰੀਦਦਾਰ ਆਮ ਆਸ਼ਵਾਸ ਨਿਰਦੇਸ਼ਾਂ ਅਤੇ ਨਿੱਜੀਤਾ ਨਿਯਮਾਂ ਨਾਲ ਸੰਗਤਤਾ ਦੀ ਲੋੜ ਰੱਖਦੇ ਹਨ—ਅਕਸਰ SOC 2, ISO 27001, ਅਤੇ GDPR। ਇੱਕ ਵੈਂਡਰ ਨੂੰ "ਕੰਪਲਾਇੰਸ ਦਾ ਵਾਅਦਾ" ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਨਹੀਂ ਪਰ ਤੁਹਾਨੂੰ ਸੁਤੰਤਰ ਰਿਪੋਰਟਾਂ, ਡਾਟਾ ਪ੍ਰੋਸੈਸਿੰਗ ਸ਼ਰਤਾਂ, ਅਤੇ ਪ੍ਰੋਸੈਸਰ ਸੂਚੀਆਂ ਦੀ ਸਪੱਸ਼ਟਤਾ ਚਾਹੀਦੀ ਹੈ।
ਇੱਕ ਉਪਯੋਗ ਨਿਯਮ: ਤੁਹਾਡਾ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮ ਖ਼ਤਰੇ ਨੂੰ ਮਾਪੇ ਬਿਨਾਂ ਕਾਨੂੰਨੀ, ਨਿੱਜੀਤਾ, ਅਤੇ ਅਨੁਕੂਲਤਾ ਹਿੱਸਿਆਂ ਨੂੰ ਸਮਝਾਉਣ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।
ਇੱਕ ਟੈਲੀਮੇਟਰੀ-ਫਰਸ੍ਟ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮ ਤਦ ਹੀ ਮੁੱਲ ਪੈਦਾ ਕਰਦਾ ਹੈ ਜਦੋਂ ਇਹ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਵਿੱਚ ਪਲੱਗ ਹੋ ਸਕੇ ਜਿੱਥੇ ਟੀਮਾਂ ਪਹਿਲਾਂ ਹੀ ਕੰਮ ਕਰਦੀਆਂ ਹਨ। ਇੰਟੀਗ੍ਰੇਸ਼ਨ ਡਿਟੈਕਸ਼ਨ ਨੂੰ ਕਾਰਵਾਈਆਂ, ਡਾਕਯੂਮੈਂਟੇਸ਼ਨ, ਅਤੇ ਮਾਪੇ ਜਾ ਸਕਣ ਵਾਲੇ ਨਤੀਜਿਆਂ ਵਿੱਚ ਬਦਲ ਦਿੰਦੇ ਹਨ।
ਜ਼ਿਆਦਾਤਰ ਸੰਸਠਾਵਾਂ ਐਂਡਪੌਇੰਟ ਸੁਰੱਖਿਆ ਟੈਲੀਮੇਟਰੀ ਨੂੰ ਕੁਝ ਮੂਲ ਟੂਲਾਂ ਨਾਲ ਜੋੜਦੀਆਂ ਹਨ:
ਜਿਵੇਂ ਸੁਰੱਖਿਆ ਇੱਕ ਉਤਪਾਦ ਤੋਂ ਪਲੇਟਫਾਰਮ ਵੱਲ ਬਦਲਦੀ ਹੈ, APIs ਕੰਟ੍ਰੋਲ ਸਰਫੇਸ ਬਣ ਜਾਂਦੇ ਹਨ। ਚੰਗੀਆਂ APIs ਟੀਮਾਂ ਨੂੰ ਆਸਾਨੀ ਦਿੰਦੀਆਂ ਹਨ:
ਅਮਲ ਵਿੱਚ, ਇਹ ਸਵਲ-ਚੇਅਰ ਕੰਮ ਨੂੰ ਘਟਾਉਂਦਾ ਅਤੇ ਨਤੀਜੇ ਹਰ ਵਾਤਾਵਰਨ ਵਿੱਚ ਰੀਪੀਟੇਬਲ ਬਣਾਉਂਦਾ ਹੈ।
ਟ੍ਰਿਕੀ ਨੋਟ: ਕਈ ਟੀਮਾਂ ਇਹ APIs ਦੇ ਆਸ-ਪਾਸ ਛੋਟੀ ਅੰਦਰੂਨੀ ਐਪ ਬਣਾਉਂਦੀਆਂ ਹਨ (ਟ੍ਰਾਇਜ ਡੈਸ਼ਬੋਰਡ, ਇੰਰਿਚਮੈਂਟ ਸਰਵਿਸ, ਕੇਸ-ਰਾਊਟਿੰਗ ਹੈਲਪਰ)। Vibe-coding ਪਲੇਟਫਾਰਮਾਂ ਜਿਵੇਂ Koder.ai ਆਖਰੀ ਕਦਮ-ਕਮ ਕਰਨ ਤੇ ਤੇਜ਼ੀ ਲਿਆ ਸਕਦੇ ਹਨ—ਇੱਕ chat-driven workflow ਤੋਂ React-ਅਧਾਰਿਤ UI ਨਾਲ Go + PostgreSQL ਬੈਕਐਂਡ ਖੜਾ ਕਰਨਾ ਅਤੇ ਡਿਪਲੋ ਕਰਨਾ ਤੇਜ਼ ਕਰ ਦਿੰਦੇ ਹਨ, ਤਾਂ ਜੋ ਸੁਰੱਖਿਆ ਅਤੇ IT ਟੀਮ ਬਿਨਾਂ ਲੰਮੇ ਡੈਵ ਚੱਕਰ ਦੇ ਇੰਟੀਗ੍ਰੇਸ਼ਨ ਪ੍ਰੋਟੋਟਾਈਪ ਕਰ ਸਕਣ।
ਇੱਕ ਸਿਹਤਮੰਦ ਇੰਟੀਗ੍ਰੇਸ਼ਨ ਇਕੇਓਸਿਸਟਮ ਨਤੀਜੇ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ: ਉੱਚ-ਭਰੋਸੇਯੋਗ ਧਮਕੀ ਲਈ ਆਟੋਮੇਟਿਕ ਕੰਟੇਨਮੈਂਟ, ਸਬੂਤ-ਨਾਲ ਤੁਰੰਤ ਕੇਸ ਬਣਾਉਣਾ, ਅਤੇ ਕਨਸਿਸਟੈਂਟ ਰਿਪੋਰਟਿੰਗ ਕਾਨੂੰਨੀ ਅਤੇ ਪ੍ਰਬੰਧਕੀ ਅੱਪਡੇਟਾਂ ਲਈ।
ਜੇ ਤੁਸੀਂ ਉਪਲਬਧ ਕਨੈਕਟਰ ਅਤੇ ਵਰਕਫਲੋਜ਼ ਦੀ ਇੱਕ ਤੇਜ਼ ਝਲਕ ਦੇਖਣਾ ਚਾਹੁੰਦੇ ਹੋ ਤਾਂ /integrations ਵੇਖੋ।
"ਟੈਲੀਮੇਟਰੀ + ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ" ਖਰੀਦਣ ਦਾ ਅਰਥ ਅਸਲ ਵਿੱਚ ਇੱਕ ਦੁਹਰਾਊ ਸੁਰੱਖਿਆ ਨਤੀਜੇ ਨੂੰ ਖਰੀਦਣਾ ਹੁੰਦਾ ਹੈ: ਬਿਹਤਰ ਡਿਟੈਕਸ਼ਨ, ਤੇਜ਼ ਜਾਂਚ, ਅਤੇ ਸੁਗਮ ਰਿਸਪਾਂਸ। ਕਿਸੇ ਵੀ ਟੈਲੀਮੇਟਰੀ-ਚਲਿਤ ਪਲੇਟਫਾਰਮ (CrowdStrike ਜਾਂ ਵਿਕਲਪਾਂ) ਨੂੰ ਮੁਲਾਂਕਣ ਕਰਨ ਦਾ ਸਭ ਤੋਂ ਵਧੀਆ ਤਰੀਕਾ ਇਹ ਹੈ ਕਿ ਤੁਸੀਂ ਆਪਣੇ ਮਾਹੌਲ ਵਿੱਚ ਤੇਜ਼ੀ ਨਾਲ ਜੋੜਕੇ ਉਹਨਾਂ ਗੱਲਾਂ 'ਤੇ ਫੋਕਸ ਕਰੋ ਜੋ ਤੁਸੀਂ ਤੁਰੰਤ ਸੱਚ ਕਰ ਸਕਦੇ ਹੋ।
ਬੇਸਿਕ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਫਿਰ ਡੇਟਾ ਤੋਂ ਨਤੀਜਿਆਂ ਤੱਕ ਸਭ ਕੁਝ ਚੈੱਕ ਕਰੋ:
ਪਾਇਲਟ ਨੂੰ ਛੋਟਾ, ਯਥਾਰਥ, ਅਤੇ ਮਾਪਯੋਗ ਰੱਖੋ:
ਜ਼ਿਆਦਾ ਅਲਰਟ ਆਮ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਟਿਊਨਿੰਗ ਡਿਫੌਲਟਸ ਜਾਂ ਗਾਇਬ ਸੰਦਰਭ ਦਾ ਲੱਛਣ ਹੁੰਦੇ ਹਨ। ਅਣਪਹਿਚਾਣੀ ਮਾਲਕਾਨਗੀ ਇਸ ਗੱਲ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ IT, ਸੁਰੱਖਿਆ, ਅਤੇ ਇੰਸੀਡੈਂਟ ਰਿਸਪਾਂਸ ਕਿਸ ਨੂੰ ਹੋਸਟ ਇਕਲਾਉਣ ਜਾਂ ਰਿਮੀਡੀਏਟ ਕਰਨ ਦੀ ਆਥੋਰਟੀ ਹੈ। ਕਮਜ਼ੋਰ ਐਂਡਪੌਇੰਟ ਕਵਰੇਜ ਆਹਿਸਤਾ-ਆਹਿਸਤਾ ਪ੍ਰੋਮੀਸ ਨੂੰ ਤੋੜ ਦਿੰਦੀ ਹੈ: ਖਾਈਆਂ ਉਹ ਹਨ ਜੋ ਐਨਾਲਿਟਿਕਸ ਕਿਸੇ ਜਾਦੂ ਨਾਲ ਭਰ ਨਹੀਂ ਸਕਦਾ।
ਇੱਕ ਟੈਲੀਮੇਟਰੀ-ਚਲਿਤ ਸੁਰੱਖਿਆ ਪਲੇਟਫਾਰਮ ਆਪਣੀ ਕਦਰ ਉਦੋਂ ਦਿਖਾਉਂਦਾ ਹੈ ਜਦੋਂ ਐਂਡਪੌਇੰਟ ਡਾਟਾ + ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਘੱਟ, ਵਧੇਰੇ ਭਰੋਸੇਯੋਗ ਅਲਰਟ ਅਤੇ ਤੇਜ਼, ਹੋਂਸਲਾ-ਭਰਿਆ ਰਿਸਪਾਂਸ ਵਿੱਚ ਤਬਦੀਲ ਹੋ ਜਾਣ—ਇਸ ਪੱਧਰ 'ਤੇ ਜੋ ਪਲੇਟਫਾਰਮ ਲੱਗੇ, ਨਾ ਕਿ ਇਕ ਹੋਰ ਟੂਲ।
ਐਂਡਪੌਇੰਟ ਟੈਲੀਮੇਟਰੀ ਉਹ ਲਗਾਤਾਰ ਆ ਰਹੀ ਘਟਨਾਵਾਂ ਦੀ ਧਾਰ ਹੈ ਜੋ ਕਿਸੇ ਡਿਵਾਇਸ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ—ਜਿਵੇਂ ਪ੍ਰੋਸੈਸ ਦੇ ਚਾਲੂ ਹੋਣ, ਕਮਾਂਡ ਲਾਈਨ, ਫਾਇਲ/ਰਜਿਸਟਰੀ ਬਦਲਾਅ, ਲੌਗਇਨ ਅਤੇ ਨੈੱਟਵਰਕ ਕਨੈਕਸ਼ਨ।
ਇਹ ਮਾਇਨੇ ਰੱਖਦੀ ਹੈ ਕਿਉਂਕਿ ਹਮਲੇ ਆਮ ਤੌਰ 'ਤੇ ਕਈ ਕਦਮਾਂ ਦੀ ਲੜੀ ਦੇ ਰੂਪ ਵਿੱਚ ਸਾਹਮਣੇ ਆਉਂਦੇ ਹਨ; ਇਕੱਲੀ ਘਟਨਾ ਨਹੀ, ਬਲਕਿ ਘਟਨਾਵਾਂ ਦੀ ਲੜੀ ਇਹ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਕੀ ਲੰਘਿਆ, ਕਿਸ ਨੇ ਚਲਾਇਆ, ਤੇ ਕਿੱਥੇ ਸੰਪਰਕ ਬਣਾਇਆ ਗਿਆ।
ਨੈੱਟਵਰਕ ਟ੍ਰੈਫਿਕ ਪੈਟਰਨ ਦਿਖਾ ਸਕਦਾ ਹੈ ਪਰ ਉਹ ਅਕਸਰ ਇਹ ਨਹੀਂ ਦੱਸ ਪਾਂਦਾ ਕਿ ਕਿਸ ਪ੍ਰੋਸੈਸ ਨੇ ਕਨੈਕਸ਼ਨ ਸ਼ੁਰੂ ਕੀਤਾ, ਕਿਹੜੀ ਕਮਾਂਡ ਚਲਾਈ ਗਈ, ਜਾਂ ਡਿਸਕ 'ਤੇ ਕੀ ਬਦਲਿਆ ਗਿਆ।
ਐਂਡਪੌਇੰਟ ਕਾਰਗਰ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦੇ ਸਕਦਾ ਹੈ ਜੋ ਟ੍ਰਾਇਆਜ ਨੂੰ ਚਲਾਉਂਦੇ ਹਨ:
ਇੱਕ ਹਲਕਾ-ਫੁਲਕਾ ਐਂਡਪੌਇੰਟ ਸੈਂਸਰ ਵਧੀਆ-ਸੰਕੇਤ ਘਟਨਾਵਾਂ ਇਕੱਠਾ ਕਰਨ ਤੇ ਲੋਕਲ ਨਿਰਪੱਖ ਕਰਨ ਵਾਲੀਆਂ ਛੋਟੀਆਂ ਰੱਖਿਆਆਂ ਲਗਾਉਂਦਾ ਹੈ।
ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਭਾਰੀ ਕੰਮ ਕਰਦੀ ਹੈ:
ਆਮ ਤੌਰ 'ਤੇ ਉੱਚ-ਸੰਕੇਤ ਸ਼੍ਰੇਣੀਆਂ ਹਨ:
ਇਹਨਾਂ ਨੂੰ ਲਗਾਤਾਰ ਫਲੀਟ 'ਤੇ ਇਕਸਾਰ ਤੌਰ 'ਤੇ ਇਕੱਠਾ ਕਰਨ 'ਤੇ ਸਭ ਤੋਂ ਵਧੀਆ ਨਤੀਜੇ ਮਿਲਦੇ ਹਨ।
ਨਾਰਮਲਾਈਜ਼ੇਸ਼ਨ ਵੱਖ-ਵੱਖ OS ਅਤੇ ਐਪ ਦੀਆਂ ਵਿਆਖਿਆਵਾਂ ਨੂੰ ਇੱਕ ਸਧਾਰਣ ਫਾਰਮੈਟ ਵਿੱਚ ਬਦਲਨਾ ਹੈ (ਉਦਾਹਰਣ ਲਈ: process, parent process, command line, hash, destination, user, timestamp).
ਇਸ ਇਕਸਾਰਤਾ ਨਾਲ:
ਸਿਗਨੇਚਰ ਡਿਟੈਕਸ਼ਨ ਜਾਣਿਆ-ਪਸੰਦੀਦਾ ਖ਼ਤਰਨਾਕ ਆਟਫੈਕਟ (ਖ਼ਾਸ hash, ਹਵਾਲੇ ਲੜੀਆਂ) ਵੇਖਦਾ ਹੈ।
ਬਿਹੇਵੀਅਰਲ ਡਿਟੈਕਸ਼ਨ ਪੁੱਛਦਾ ਹੈ: ਕੀ ਇਹ ਵਿਹਾਰ ਹਮਲੇ ਵਰਗਾ ਹੈ?
ਉਦਾਹਰਣ ਲਈ, "ਕ੍ਰੈਡੇੰਸ਼ੀਅਲ ਡમ્પਿੰਗ ਵਰਤਾਓ" ਜਾਂ "ਲੈਟਰਲ ਮੂਵਮੈਂਟ ਪੈਟਰਨ" ਵਰਗੀਆਂ ਕਾਰਵਾਈਆਂ ਉਸ ਸਮੇਂ ਵੀ ਪਕੜੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ ਜਦੋਂ ਬਿਲਕੁਲ ਨਵਾਂ ਮੈਲਵੇਅਰ ਹੋਵੇ।
ਅਮਲ ਵਿੱਚ, ਮਜ਼ਬੂਤ ਪਲੇਟਫਾਰਮ ਦੋਹਾਂ ਵਰਤਦੇ ਹਨ: ਸਪੀਡ ਲਈ ਸਿਗਨੇਚਰ ਅਤੇ ਨਵੇਂ ਖਤਰਨਾਕ ਤਰੀਕਿਆਂ ਲਈ ਬਿਹੇਵੀਅਰ।
ਕੋਰਲੇਸ਼ਨ ਸੰਬੰਧਿਤ ਘਟਨਾਵਾਂ ਨੂੰ ਇਕੱਠੇ ਜੋੜ ਕੇ ਇੱਕ ਘਟਨਾ ਦੀ ਕਹਾਣੀ ਬਣਾਉਂਦੀ ਹੈ (ਉਦਾਹਰਣ: attachment → script → PowerShell → scheduled task → rare outbound domain).
ਇਸ ਨਾਲ ਫਾਲਸ ਪਾਜ਼ਿਟਿਵਸ ਘਟਦੇ ਹਨ ਕਿਉਂਕਿ ਪਲੇਟਫਾਰਮ ਹੁਣ ਸੰਦਰਭ ਅਤੇ ਲੜੀ ਨੂੰ ਤੌਲ ਕੇ ਫੈਸਲਾ ਕਰਦਾ ਹੈ, ਨਾ ਕਿ ਹਰ ਇਕ ਘਟਨਾ ਨੂੰ ਅਲੱਗ-ਅਲੱਗ ਸੰਕਟ ਸਮਝਦਾ ਹੈ।
ਕੇਂਦਰੀਕ੍ਰਿਤ ਕਲਾਉਡ ਐਨਾਲਿਟਿਕਸ ਨੂੰ ਨਵੀਆਂ ਡਿਟੈਕਸ਼ਨ ਲਾਜਿਕ ਤੇ ਮਾਡਲ ਤੇਜ਼ੀ ਨਾਲ ਰੋਲ ਕਰਨ ਦੀ ਆਜ਼ਾਦੀ ਦਿੰਦਾ ਹੈ ਅਤੇ ਇਹ ਹਰ ਏਂਡਪੌਇੰਟ 'ਤੇ ਇਕਸਾਰ ਲਾਗੂ ਹੁੰਦਾ ਹੈ—ਵੱਡੀਆਂ ਲੋਕਲ ਅਪਡੇਟਸ ਦੀ ਉਡੀਕ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ।
ਇਹ ਵਿਆਪਕ ਸਾਂਖਿਆਕੀ ਸੰਦਰਭ ਵੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ (ਕਿਹੜਾ ਕਿਰਿਆਵ ਸਿਰਲੇਖ ਹੈ, ਕਿਹੜੀ ਚੀਜ਼ ਫੈਲ ਰਹੀ ਹੈ) ਜਦੋਂ ਕਿ ਨਿੱਜੀਤਾ ਅਤੇ ਗਵਰਨੈਂਸ ਨਿਯਮਾਂ ਨੂੰ ਵੀ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦਾ ਹੈ।
मुख्य ਟਰੇਡ-ਆਫ਼ ਯਾਦ ਰੱਖਣ ਲਾਇਕ ਹਨ:
ਕਿਸੇ ਵੀ ਪਲੇਟਫਾਰਮ ਲਈ ਇਹ ਤੈਅ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ ਕਿ ਕੀ ਇਕੱਠਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਕਿਵੇਂ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਅਤੇ ਕਿੰਨੀ ਦੇਰ ਤੱਕ ਰੱਖਿਆ ਜਾ ਰਿਹਾ ਹੈ।
ਪ੍ਰਮੁੱਖ ਚੈਕਲਿਸਟ ਉੱਤੇ ਫੋਕਸ ਕਰੋ:
ਇੱਕ ਛੋਟੇ, ਵਾਸਤਵਿਕ ਪਾਇਲਟ ਨੂੰ ਨਾਪੋ: 1–2 ਹਫ਼ਤੇ ਡਿਪਲੋ ਅਤੇ 2–4 ਹਫ਼ਤੇ ਮੈਟਰਿਕਸ ਮਾਪਣ ਲਈ।