تخصيص نظام Microsoft Sentinel SIEM لجمع البيانات من مصادر غير قياسية وتقليل التنبيهات الخاطئة بنسبة 20%

نبذة عن عميلنا

شركة أميركية متخصصة في تقديم خدمات وحلول تقنية المعلومات للشركات حول العالم، مُصنفة ضمن قائمة أفضل 100 شركة عالمية للتعاقد الخارجي التي تصدرها الرابطة الدولية لشركات التعاقد الخارجي (IAOP)، وضمن قائمة The Financial Times لأسرع الشركات نموًا في أميركا.

الحاجة إلى تخصيص نظام إدارة معلومات الأمان والأحداث (SIEM) لرفع كفاءة البنية التقنية للشركة

في إطار نظام إدارة أمن المعلومات (ISMS) المعتمد بشهادة الأيزو 27001، سعت الشركة إلى تحسين نشر نظام Microsoft Sentinel SIEM لديها لتعزيز القدرة على مراقبة التهديدات والأنشطة الأمنية عبر مختلف الأنظمة، وتبسيط عمليات مركز العمليات الأمنية (SOC) مع ضمان التوافق مع ضوابط حماية البيانات.

نظرًا لاعتماد الشركة على بنية تحتية مختلطة، واجهت الشركة التحديات الرئيسية التالية:

• محدودية جمع البيانات ورؤيتها: لم تُدمج المصادر الرئيسية لبيانات الأمان (مثل جدران الحماية، ووحدات التحكم في النطاق، وأنظمة إدارة الهوية) ضمن نظام إدارة معلومات الأمان والأحداث (SIEM)، ما نتج عنه فجوات في الرؤية الأمنية أثرت سلبًا في القدرة على اكتشاف التهديدات وكفاءة مركز العمليات الأمنية (SOC).
• تكامل ومعالجة الأنظمة غير القياسية: افتقرت الأنظمة في بيئة الشركة الداخلية إلى الدعم المدمج لمعالجة سجلات التدقيق، وكذلك لاستعلامات وقواعد الاكتشاف المبكر للتهديدات، ما انعكس سلبًا على فعالية المراقبة الأمنية.

منح العميل ثقته بخبرة ساينس سوفت في تقديم خدمات نشر وتخصيص أنظمة SIEM، وكلّفها بتحسين تهيئة نظام Microsoft Sentinel لديه ومعالجة مشكلات التكامل.

تحسين نظام Microsoft Sentinel SIEM لدعم مصادر البيانات غير القياسية

تهيئة مصادر البيانات ودمجها

في إطار عملية تخصيص نظام إدارة معلومات الأمان والأحداث (SIEM)، تولى خبراء ساينس سوفت ما يلي:

• دمج مصادر البيانات الحيوية، بما في ذلك جدران الحماية، ووحدات التحكم في النطاق، وأنظمة الهوية عبر تهيئة قواعد جمع وربط البيانات.
• إنشاء موصِّلات بيانات وجداول مخصصة باستخدام قواعد جمع البيانات (DCRs)، وقواعد التحويل، وقوالب إدارة الموارد السحابية Azure Resource Manager (ARM)، لدمج مصادر البيانات غير القياسية. وقد اتبع مهندسو ساينس سوفت معايير نموذج المعلومات الأمنية المتقدم (ASIM)، ما أتاح لهم تطوير قواعد ترابط عامة جديدة تدعم تنوع مصادر البيانات، ما أدى إلى تبسيط إدارة القواعد وتوسيع تغطية رصد التهديدات.
• تصميم وتنفيذ وظائف مخصصة لتحليل السجلات بدقة عبر مصادر البيانات المخصصة.
• دمج نظام Microsoft Sentinel مع كل من خدمات Azure السحابية والأنظمة الداخلية لتوحيد مراقبة الأمان.

بفضل دمج جميع مصادر البيانات وربطها، تمكن فريقنا من وضع الأساس للمرحلة التالية، والمتمثلة في ضبط إعدادات نظام Microsoft Sentinel وتحسين أدائه لاكتشاف التهديدات الأمنية والاستجابة لها بكفاءة أعلى.

تحسين وضبط إعدادات نظام Microsoft Sentinel

استنادًا إلى البيانات الجديدة، عمل فريق ساينس سوفت على تهيئة نظام Microsoft Sentinel وتحسين أدائه لضمان دقة التنبيهات ورفع كفاءة التحقق من التهديدات والحوادث. وقد شملت هذه المرحلة الأنشطة التالية:

• تطوير استعلامات بلغة KQL لتحليل السجلات والرصد المتقدم للتهديدات.
• إنشاء قواعد تحليلية، ولوحات تقارير تفاعلية (Workbooks)، وسيناريوهات استجابة آلية (Playbooks) لتمكين الكشف الاستباقي عن التهديدات والاستجابة الآلية للحوادث.
• تصميم لوحات معلومات وتمثيلات مرئية لتقديم رؤى أمنية قابلة للتنفيذ.
• ضبط إعدادات الاحتفاظ بالبيانات وأرشفتها لتحقيق التوازن بين الامتثال والتكلفة واحتياجات التدقيق.
• تطوير قواعد استبعاد (Suppression Rules) لتصفية الأنماط المألوفة غير الضارة والأنشطة المعتمدة.
• مراجعة وتحسين مخططات ربط الكيانات لتحسين دقة ربط التنبيهات بالمستخدمين والأجهزة وعناوين IP.
• رفع أداء معالجة السجلات لتسريع تحليل ورصد التهديدات بكفاءة.

أدّت هذه التحسينات إلى تعزيز كفاءة Microsoft Sentinel، وضمان دقة التنبيهات، وتسريع عمليات التحقيق في التهديدات.

تحسين الرؤية والأداء والتكلفة لنظام إدارة معلومات الأمان والأحداث (SIEM)

بفضل التعاون مع ساينس سوفت، تمكَّن العميل من تحسين نظام Microsoft Sentinel SIEM لديها من خلال تعزيز الرؤية في الأنظمة الحيوية للأعمال التي لم تكن مدعومة سابقًا، وأتمتة عمليات مركز العمليات الأمنية (SOC) الرئيسية لديها. وقد نتج عن ذلك ما يلي:

• تقليل التنبيهات الخاطئة بنسبة 20% بفضل الضبط الدقيق لقواعد الترابط والاستبعاد.
• توسيع نطاق تغطية البنية التحتية، ما أتاح اكتشاف الحوادث الأمنية التي كان يصعب رصدها سابقًا.
• تحقيق الامتثال التنظيمي لمتطلبات ISO/IEC 27001 وSOC 2 للمراقبة الأمنية للأنظمة الحيوية.
• تسريع الاستجابة للحوادث، وتقليل الأخطاء البشرية من خلال سيناريوهات استجابة آلية (على سبيل المثال، حظر عناوين IP الضارة، وتصعيد الحوادث).
• رفع إنتاجية محللي مركز العمليات الأمنية (SOC) بفضل تقليل التنبيهات، وأتمتة مسارات العمل، وإنشاء لوحات معلومات مخصصة.
• خفض تكاليف تشغيل نظام إدارة معلومات الأمان والأحداث (SIEM) من خلال تحسين إعدادات التنبيهات وسياسات الاحتفاظ بالبيانات والأرشفة.