Vorpcel / Produtos / Endpoints
O mesmo agente que faz o inventário das suas máquinas coleta os logs delas, e um único agente pode receber os logs dos seus firewalls e switches. Milhares de regras de detecção rodam em cada evento assim que ele chega, e todo evento fica pesquisável pelo tempo que você escolher.
Em resumo
Um projeto tradicional de SIEM começa com coletores, parsers e meses escrevendo regras antes do primeiro alerta útil. A Vorpcel parte do agente que você instala para a gestão de vulnerabilidades e já entrega a detecção escrita.
Ligue a coleta de logs por máquina. O agente envia logs do sistema e de segurança, programas iniciados e mudanças em arquivos importantes, por uma conexão criptografada.
Cada evento é colocado num único formato e verificado contra as regras de detecção assim que chega. Uma coincidência vira um alerta com a severidade e a técnica de ataque que ela sugere.
A partir do alerta, abra os eventos ao redor na mesma máquina ou pesquise em todas as máquinas e períodos, com uma linguagem de consulta feita para perguntas de segurança.
Logs de segurança, sistema, aplicação, PowerShell e Defender, e cada programa iniciado
Journal do sistema, logs de autenticação, sudo e auditoria, e cada programa iniciado
Qualquer log de aplicação que você indicar ao agente, por grupo de máquinas
Containers criados, iniciados, parados e comandos executados dentro deles
Firewalls, switches e appliances, por syslog para um agente que você escolhe
Mudanças nos arquivos e chaves de registro que importam, com quem fez
Um login com falha tem a mesma cara venha do Windows, do Linux ou de um equipamento de VPN: os mesmos campos para quem, de onde e o que aconteceu. Uma busca encontra em todos.
Mais de 5.000 regras de detecção da comunidade de segurança e do nosso próprio time, mapeadas ao MITRE ATT&CK e prontas no primeiro dia. Cada ambiente é diferente, então qualquer regra pode ser ajustada sem ser copiada nem reescrita.
Força bruta, password spraying e outros padrões que só aparecem olhando muitos eventos juntos.
Conexões e consultas de nome das suas máquinas são comparadas com listas públicas de endereços e domínios usados por malware e atacantes. Uma coincidência abre um alerta que cita a lista e o destino.
Investigações precisam do histórico bruto, não só dos alertas. Qualquer evento pode ser pesquisado por qualquer campo, em qualquer período que você guarda, e o resultado exportado para um relatório ou outra ferramenta.
Os eventos ficam pesquisáveis pelo período do seu contrato, de uma semana a anos, e os mais antigos vão para um armazenamento de baixo custo em vez de serem apagados.
Cada canal de alerta escolhe seus eventos e a severidade mínima. Os webhooks são assinados, para que os seus sistemas possam confiar neles.
E-mail, Slack, Microsoft Teams, Webhook, Syslog CEF
Não. As máquinas mandam os próprios logs pelo agente. Para equipamentos que não rodam agente, como firewalls, você escolhe uma máquina com o agente para receber o syslog deles e encaminhá-lo.
Pelo número de máquinas com coleta de logs ligada. Não há cobrança por gigabyte, então um dia movimentado não muda a sua fatura.
Sim. Cada produto é ligado por máquina. O agente é o mesmo, então acrescentar o outro depois não exige nova instalação.
Sim. Cada evento é guardado e pesquisado junto com a conta a que pertence, e o agente o envia por uma conexão criptografada com a sua própria credencial.
Se o agente já está instalado para a gestão de vulnerabilidades, ligar o SIEM é uma chave por máquina.