Vorpsel / Productos / Endpoints
SIEM
El mismo agente que hace el inventario de sus equipos recopila sus logs, y un solo agente puede recibir los logs de sus firewalls y switches. Miles de reglas de detección se ejecutan sobre cada evento apenas llega, y todo evento se puede buscar durante el tiempo que usted elija.
En resumen
- Un agente para logs, inventario y protección en Windows, Linux y macOS
- 5,000+ reglas de detección mapeadas a MITRE ATT&CK, listas desde el primer día
- Equipos de red por syslog, sin un servidor colector aparte
- Retención que usted elige de una semana a años, consultable todo el tiempo
- Alertas por correo, Slack, Microsoft Teams, webhook o syslog
Recopilar, detectar, investigar
Un proyecto tradicional de SIEM empieza con colectores, parsers y meses escribiendo reglas antes de la primera alerta útil. Vorpsel parte del agente que usted instala para la gestión de vulnerabilidades y entrega la detección ya escrita.
Recopilar
Active la recopilación de logs por equipo. El agente envía logs del sistema y de seguridad, programas iniciados y cambios en archivos importantes, por una conexión cifrada.
Detectar
Cada evento se lleva a un único formato y se compara con las reglas de detección apenas llega. Una coincidencia se convierte en una alerta con su severidad y la técnica de ataque que sugiere.
Investigar
Desde la alerta, abra los eventos de alrededor en el mismo equipo o busque en todos los equipos y períodos, con un lenguaje de consulta hecho para preguntas de seguridad.
Lo que entra
Windows
Registros de seguridad, sistema, aplicación, PowerShell y Defender
Linux y macOS
Journal del sistema y registros de autenticación, sudo y auditoría
Sus propios archivos de log
Cualquier log de aplicación que usted indique al agente, por grupo de equipos
Contenedores
Contenedores creados, iniciados, detenidos y comandos ejecutados dentro de ellos
Equipos de red
Firewalls, switches y appliances, por syslog hacia un agente que usted elige
Integridad de archivos
Cambios en los archivos y claves de registro que importan, con quién los hizo
Qué incluye
Un solo formato de evento
Un inicio de sesión fallido se ve igual venga de Windows, de Linux o de un equipo de VPN: los mismos campos para quién, desde dónde y qué pasó. Una búsqueda lo encuentra en todos.
- Campos con nombres según lo que significan, como usuario, dirección de origen y proceso, y no según el producto que los generó
- El mensaje original guardado junto a los campos normalizados, como evidencia y para lo que el formato no cubre
Detección que usted ajusta
Más de 5.000 reglas de detección de la comunidad de seguridad y de nuestro propio equipo, mapeadas a MITRE ATT&CK y listas desde el primer día. Cada entorno es distinto, así que cualquier regla se puede ajustar sin copiarla ni reescribirla.
- Desactivar Desactive cualquier regla en su cuenta; las alertas anteriores se conservan.
- Cambiar el nivel Vuelva una regla crítica o baja para su entorno, sin editarla.
- Crear excepciones Silencie una regla para un equipo, cuenta, dirección o ruta, guardando el motivo.
- Escriba las suyas Suba reglas en el formato YAML abierto más usado; se verifican y entran en operación en segundos.
Correlaciones
Fuerza bruta, password spraying y otros patrones que solo aparecen al mirar muchos eventos juntos.
- Muchos inicios de sesión fallidos en una cuenta, o uno fallido en muchas cuentas
- Un inicio de sesión exitoso justo después de una serie de fallos desde la misma dirección
Busque cualquier evento
Las investigaciones necesitan el historial completo, no solo las alertas. Cualquier evento se puede buscar por cualquier campo, en cualquier período que conserve, y exportar el resultado para un informe u otra herramienta.
- Filtros escritos como objeto y atributo, como el usuario, el proceso o la dirección de origen
- Los eventos antes y después de una alerta en el mismo equipo, abiertos desde la alerta
Guardado el tiempo que necesite, enviado adonde trabaja
Retención que usted elige
Los eventos se pueden buscar durante el período de su contrato, de una semana a años, y los más antiguos pasan a un almacenamiento de bajo costo en lugar de borrarse.
Alertas donde está su equipo
Cada canal de alerta elige sus eventos y la severidad mínima. Los webhooks van firmados, para que sus sistemas puedan confiar en ellos.
Correo, Slack, Microsoft Teams, Webhook, Syslog CEF
Preguntas
¿Necesitamos un servidor aparte para recopilar logs?
No. Los equipos envían sus propios logs mediante el agente. Para dispositivos que no pueden ejecutar un agente, como firewalls, usted elige un equipo con el agente para recibir su syslog y reenviarlo.
¿En qué se diferencia el SIEM del EDR?
El SIEM lee lo que registran tus sistemas: registros, cambios en archivos importantes y el syslog de los dispositivos de red. El EDR vigila lo que se ejecuta en la máquina, como programas, conexiones, consultas de nombres y malware, y puede actuar sobre ello. Ambos usan el mismo agente y se activan por máquina.
¿Cómo se calcula el precio?
Por la cantidad de equipos con recopilación de logs activada. No se cobra por gigabyte, así que un día con mucho movimiento no cambia su factura.
¿Podemos usar el SIEM sin la gestión de vulnerabilidades?
Sí. Cada producto se activa por equipo. El agente es el mismo, así que agregar el otro después no requiere una nueva instalación.
¿Los datos están separados de los de otros clientes?
Sí. Cada evento se guarda y se busca junto con la cuenta a la que pertenece, y el agente lo envía por una conexión cifrada con su propia credencial.
Productos relacionados
Empiece por los equipos que ya tiene.
Si el agente ya está instalado para la gestión de vulnerabilidades, activar el SIEM es un interruptor por equipo.