使用可观测性流水线将关键安全日志处理并路由到 Exabeam
Datadog 推出了可观测性流水线中的 Exabeam 预配置包（Observability Pipelines Exabeam Packs），帮助企业在把安全日志送进 Exabeam 这个安全分析平台之前，先在自己的基础设施里过滤掉没用的噪音。以前的问题是：防火墙、终端和网络网关产生大量重复的日常日志，全部传进 Exabeam 会让存储和处理费用暴涨，还会把真正有价值的身份、访问和终端行为信号淹没。这些包针对不同来源预设了丢弃、去重和抽样规则，比如过滤 Cisco ASA、Fortinet FortiGate、Palo Alto、CrowdStrike、SentinelOne、Windows 和 Zscaler 的日志，同时保留检测所需的原始字段，Exabeam 的解析器不受影响。目前发布的包括七个来源专属包，以及 Active Directory、Okta、Microsoft 365、Abnormal.ai 等可搭配 Exabeam 目标的通用包，用户可在流水线中直接添加，并用实时抓取验证过滤效果。
文中可用工具
- Exabeam安全信息和事件管理平台，用于检测内部威胁等安全风险
- Datadog Observability Pipelines Packs预配置的日志过滤工具，在数据送入 Exabeam 前去除噪音
- Cisco ASA网络和 VPN 设备，其日志可通过 Pack 过滤
- Fortinet FortiGate网络和边界防火墙，其日志可通过 Pack 过滤
- Palo Alto网络和边界防火墙，其日志可通过 Pack 过滤
- CrowdStrike Falcon Data Replicator (FDR)终端安全数据源，其日志可通过 Pack 过滤
- SentinelOne Cloud Funnel终端检测与响应数据源，其日志可通过 Pack 抽样过滤
- Windows操作系统事件日志来源，可通过 Pack 过滤
- Zscalerweb 安全网关，其流量日志可通过 Pack 过滤和抽样
- Active Directory身份提供方，可通过通用 Pack 过滤日志
- Okta身份提供方，可通过通用 Pack 过滤日志
- Microsoft 365协作和邮件服务，可通过通用 Pack 过滤日志
评论 · 分享第一个看法