Vorpcel / Soluções / Proteger endpoints
Auditores perguntam quem acessou um servidor e quando. Um incidente precisa saber o que aconteceu numa máquina três meses atrás. A Vorpcel coleta os logs das suas máquinas e equipamentos de rede, guarda pelo período que você precisa e encontra qualquer evento numa só busca.
Em resumo
Cada máquina guarda os próprios logs por alguns dias e depois sobrescreve. Um atacante que entra pode apagá-los. Quando a pergunta chega, semanas depois, a resposta já sumiu. Coleta e retenção centrais transformam logs em evidência.
Coletar é só metade. Os logs também precisam ser legíveis: o mesmo evento vindo de sistemas diferentes deve ter a mesma cara, para que uma busca responda à pergunta em vez de dez.
Logins e tentativas com falha no Windows, Linux e macOS, com a conta e o endereço de origem, num só formato.
Uso de sudo no Linux e ações privilegiadas no Windows, registrados com o usuário e o horário.
Mudanças nos arquivos e chaves de registro que importam, com quem fez
Cada programa iniciado, com a linha de comando, o processo pai e a impressão digital
Firewalls, switches e appliances, por syslog para um agente que você escolhe
Os eventos ficam pesquisáveis pelo período do seu contrato, de uma semana a anos, e os mais antigos vão para um armazenamento de baixo custo em vez de serem apagados.
O mesmo agente usado na gestão de vulnerabilidades coleta os logs de cada máquina. Equipamentos de rede que não rodam agente mandam o syslog para uma máquina que você escolhe. Cada evento é colocado num único formato, então uma busca cobre todos.
Ligue a coleta de logs por máquina. O agente envia logs do sistema e de segurança, programas iniciados e mudanças em arquivos importantes, por uma conexão criptografada.
Os eventos saem da máquina pouco depois de acontecer, então apagar os logs locais não apaga a cópia guardada pela Vorpcel.
Quem entrou num servidor, quem alterou um arquivo, que programa rodou: pesquise por qualquer campo em qualquer período e exporte o resultado como evidência.
Mais de 5.000 regras de detecção da comunidade de segurança e do nosso próprio time, mapeadas ao MITRE ATT&CK e prontas no primeiro dia. Cada ambiente é diferente, então qualquer regra pode ser ajustada sem ser copiada nem reescrita.
Um login com falha tem a mesma cara venha do Windows, do Linux ou de um equipamento de VPN: os mesmos campos para quem, de onde e o que aconteceu. Uma busca encontra em todos.
Cada canal de alerta escolhe seus eventos e a severidade mínima. Os webhooks são assinados, para que os seus sistemas possam confiar neles.
A maioria das normas faz a mesma pergunta: você consegue mostrar o que aconteceu e quem fez?
| Padrão | O que ela pede sobre logs |
|---|---|
| ISO/IEC 27001 | Registro e monitoramento da atividade nos sistemas, com logs protegidos contra adulteração. |
| PCI DSS | Logs de auditoria dos acessos aos sistemas que tratam dados de cartão, guardados por pelo menos um ano. |
| SOC 2 | Evidência de que os eventos de segurança são registrados, revisados e tratados. |
| LGPD | Registros que ajudam a mostrar quem acessou dados pessoais e apoiam a notificação de incidentes. |
A conformidade depende dos seus próprios controles e do escopo combinado com o seu auditor. A Vorpcel fornece os logs e a busca; ela não certifica conformidade.
Não. As máquinas mandam os próprios logs pelo agente. Para equipamentos que não rodam agente, como firewalls, você escolhe uma máquina com o agente para receber o syslog deles e encaminhá-lo.
Pelo número de máquinas com coleta de logs ligada. Não há cobrança por gigabyte, então um dia movimentado não muda a sua fatura.
Sim. Cada evento é guardado e pesquisado junto com a conta a que pertence, e o agente o envia por uma conexão criptografada com a sua própria credencial.
Se o agente já está instalado para a gestão de vulnerabilidades, ligar o SIEM é uma chave por máquina.