Vorpcel / Serviços / Defesa e resposta
Trabalhamos ao lado do seu time para garantir que um ataque no seu ambiente seria de fato visto. Verificamos o que os seus logs cobrem, escrevemos e ajustamos as detecções que faltam e caçamos atividades que nenhum alerta pegou ainda.
Em resumo
A maioria das empresas já manda logs para algum lugar. As perguntas difíceis vêm depois: que técnicas de ataque esses logs mostrariam, que regras disparariam e se alguém notaria o alerta no meio de centenas de outros num dia movimentado.
Este serviço responde a essas perguntas com evidências. Mapeamos as suas fontes de log contra técnicas de ataque conhecidas, testamos as detecções que você tem, fechamos as lacunas que mais importam para o seu negócio e deixamos o seu time com menos alertas, e melhores.
A plataforma gera centenas de alertas por dia e o time parou de olhar a maioria.
Os logs estão chegando numa ferramenta nova, mas as detecções ainda são as que vieram de fábrica.
Ninguém consegue dizer quais ataques os logs atuais mostrariam e quais passariam despercebidos.
Uma norma ou um cliente pede evidência de que os eventos de segurança são acompanhados e tratados.
Algo aconteceu e foi descoberto tarde, e você quer saber por que os alertas não dispararam.
Poucas pessoas cuidam da segurança junto com outras tarefas e precisam de menos alertas, e melhores.
Começamos listando o que você enxerga hoje: quais máquinas, servidores, contas de nuvem e aplicações mandam logs, por quanto tempo os logs ficam guardados e quais campos realmente chegam.
Escrevemos as detecções que faltam e corrigimos as que disparam demais. Cada regra é testada contra uma reprodução segura do comportamento que ela deve pegar antes de entrar no ar.
Alertas só pegam o que alguém pensou antes. Uma caça parte de uma hipótese, como uma técnica conhecida usada contra o seu setor, e procura sinais dela no histórico.
Um alerta só serve se quem o recebe sabe o que fazer em seguida. Escrevemos playbooks curtos para os seus alertas mais importantes e repassamos com o seu time.
Uma primeira avaliação costuma levar de três a seis semanas, conforme o número de fontes de log. Depois disso, muitos times nos mantêm num contrato mensal para ajuste e caça.
Combinamos os ambientes, a plataforma de logs e as ameaças que mais preocupam você, e recebemos acesso de leitura aos logs.
Revisamos a visibilidade e as detecções existentes e as testamos contra as técnicas que importam para você.
Escrevemos e ajustamos detecções e playbooks com o seu time e os implantamos na sua plataforma.
Você recebe o relatório, o mapa de cobertura e cada regra, e o seu time é treinado para mantê-los.
Quais técnicas de ataque você consegue ver e detectar hoje, e quais não, antes e depois do trabalho.
Cada regra e playbook na sua própria plataforma, documentados e seus.
Achados para o time técnico, um resumo de uma página para a liderança e uma lista priorizada de próximos passos.
As duas opções usam o mesmo método. A diferença é por quanto tempo ficamos.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Avaliação | Uma primeira medida do que você consegue ver e detectar | Revisão de visibilidade, testes de detecção, regras novas e ajustadas, mapa de cobertura e relatório |
| Contrato mensal | Manter a detecção atualizada conforme o ambiente muda | Ajuste regular, detecções novas para ameaças novas, caças todo mês e um relatório mensal curto |
Não. Trabalhamos com a plataforma de logs que você já tem. Se você usa a Vorpcel, as detecções que escrevemos entram direto na sua lista de regras.
Não. Não acompanhamos os seus alertas 24 horas por dia. Melhoramos o seu próprio monitoramento e treinamos o seu time para operá-lo. Se algo aparece durante uma caça, avisamos na hora e podemos iniciar a resposta a incidentes.
Acesso de leitura aos logs e às regras de detecção. Não precisamos de direitos de administrador nas suas máquinas, e o acesso é removido no fim do trabalho.
Pela cobertura: o número de técnicas relevantes que você conseguia detectar antes e depois, e pelo volume de alertas que não exigiam ação antes e depois do ajuste.
As plataformas de SIEM e de logs mais comuns, inclusive o SIEM da Vorpcel. Diga qual você usa no escopo e confirmamos o que conseguimos fazer nela.
Sim. Podemos revisar as detecções que eles operam para você, propor mudanças e ajudar a fazer as perguntas certas sobre cobertura.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.