Microsoft Sentinel lze zprovoznit poměrně rychle. Připojíte Microsoft 365, Defender, identity a další zdroje dat. Začnou se sbírat bezpečnostní záznamy a vznikat upozornění na podezřelé chování.
Tím ale funkční bezpečnostní monitoring automaticky nevznikne.
Rozdíl není jen v tom, jestli firma Sentinel používá. Důležité je, jaká data do něj posílá, jak má nastavená pravidla, kdo vzniklé bezpečnostní události vyhodnocuje a kolik celý provoz stojí.
Více dat neznamená automaticky vyšší bezpečnost
Jednou z prvních věcí, které je potřeba při nasazení Sentinelu vyřešit, jsou logy.
Každý připojený systém přináší další informace o tom, co se ve firemním prostředí děje. Zároveň ale může zvýšit množství dat, která Sentinel zpracovává, a tím i náklady.
Není proto dobrým cílem posílat do Sentinelu všechno, co posílat lze.
Lepší je nejdříve určit, co potřebujeme sledovat. Napadený účet, podezřelé přihlášení, změnu oprávnění, škodlivý program na zařízení nebo neobvyklou činnost správce. Podle toho lze rozhodnout, které logy jsou pro bezpečnost skutečně důležité.
Některá data potřebujeme pro okamžité rozpoznání hrozby. Jiná hlavně pro zpětné dohledání událostí. A část dat nemusí mít pro konkrétní firmu takovou hodnotu, aby dávalo smysl za jejich průběžné zpracování platit.
Dobře nastavený Sentinel proto neřeší jen bezpečnost. Řeší také to, za která data má smysl platit.
Kolik může Sentinel stát u firmy se 100 uživateli
Představme si prostředí přibližně se 100 uživateli. Orientační množství zpracovávaných dat může vypadat například takto:
Zdroj dat | Orientační objem |
Přihlášení uživatelů v Entra ID | 0,8 GB/den |
Auditní záznamy Microsoft 365 | 1,2 GB/den |
Defender for Endpoint | 0,05 GB/den |
Defender for Office 365 | 0,2 GB/den |
Rozšířená data Defender XDR | 1–3 GB/den |
Celkem | přibližně 2–5 GB/den |
Skutečné množství se liší podle prostředí, zapnutých zdrojů a způsobu sběru dat. Tabulka proto slouží jako modelový příklad.
Pokud bychom počítali s horní hranicí 5 GB denně a orientační cenou 120 Kč za 1 GB, dostaneme:
5 GB × 120 Kč × 30 dní = 18 000 Kč měsíčně.
A to pouze za zpracování dat.
Právě tady se začíná projevovat význam prvotní optimalizace logů. U firmy se zhruba 100 uživateli lze podle našich zkušeností správným nastavením sběru dat dosáhnout úspory přibližně 25 až 40 % nákladů na zpracování dat.
V našem modelovém příkladu by to znamenalo úsporu přibližně:
4 500 až 7 200 Kč měsíčně, tedy zhruba 54 000 až 86 400 Kč za rok.
Velikost úspory samozřejmě závisí na konkrétním prostředí. U menších společností bývá prostor pro optimalizaci nižší, protože pracují s menším množstvím dat a zdrojů. U větších organizací naopak může být potenciál úspor výrazně vyšší.
Nejde přitom o bezhlavé omezování dat. Smyslem je odstranit zbytečné zpracování tam, kde nepřináší odpovídající bezpečnostní hodnotu.
Výchozí pravidla jsou jen začátek
Microsoft nabízí řadu připravených pravidel pro rozpoznání podezřelého chování. Každá firma má ale jiné prostředí.
Liší se způsob práce správců, používané aplikace, lokality, oprávnění i běžné chování uživatelů.
Aktivita, která je v jedné společnosti podezřelá, může být v jiné naprosto běžná.
Pokud jsou pravidla nastavena příliš široce, vzniká velké množství upozornění a IT tým mezi nimi musí hledat ta skutečně důležitá. Pokud jsou naopak nastavena příliš úzce, může důležitá událost zůstat bez povšimnutí.
Pravidla je proto potřeba průběžně přizpůsobovat skutečnému provozu firmy.
Samotné upozornění nestačí
Sentinel může zachytit podezřelé přihlášení, neobvyklý program spuštěný na zařízení nebo změnu oprávnění.
Jedna taková událost ještě nemusí znamenat útok. Důležité je spojit jednotlivé informace dohromady.
Pokud se například objeví neobvyklé přihlášení, po něm změna oprávnění a následně podezřelá činnost na zařízení, jednotlivé události už tvoří jeden bezpečnostní případ.
Smyslem Sentinelu proto není vytvářet co nejvíce upozornění. Smyslem je pomoci rozpoznat, které události spolu souvisejí a kterým je potřeba věnovat pozornost.
Potom musí následovat vyhodnocení a reakce.
SecuRadar začíná optimalizací logů
Právě na těchto problémech staví služba SecuRadar.
Microsoft Sentinel je jejím technologickým základem, nad kterým probíhá správa bezpečnostního monitoringu.
Součástí nasazení SecuRadaru je proto prvotní optimalizace logů.
Cílem není automaticky poslat do Sentinelu všechna dostupná data. Nejprve se řeší, které zdroje mají pro bezpečnost zákazníka skutečný význam a které by pouze zvyšovaly množství zpracovávaných dat a náklady.
U každého zdroje se posuzuje, k čemu bude sloužit. Jestli jej potřebujeme pro okamžité rozpoznání hrozby, pro vyšetřování bezpečnostní události nebo pouze pro zpětné dohledání informací.
Teprve podle toho se nastaví sběr dat.
Nejde přitom o to dostat do Sentinelu co nejméně dat. Cílem je neplatit za data, která bezpečnostnímu monitoringu nepřinášejí odpovídající hodnotu.
Na prvotní nastavení potom navazuje průběžná správa. Prostředí firmy se mění, přibývají uživatelé, zařízení i nové služby. Stejně tak je proto potřeba upravovat bezpečnostní pravidla a sledované zdroje.
