Apache Metron
Apache Metron est une application de cybersécurité qui repose sur le big data et offre une vue unique des différentes données de sécurité lues en temps réel à grande échelle afin d'aider les centres opérationnels de sécurité (SOC) à détecter les menaces et y répondre rapidement.
Apache d'Apache Metron
Apache Metron est une application d'analyse de flux qui simplifie et accélère le travail des responsables de la sécurité. Il s'agit d'une application d'analyse de données SOC et de réponse nouvelle génération qui rassemble plusieurs technologies big data open source en un outil centralisé de surveillance et d'analyse.
Cet outil donne la possibilité d'ingérer, de traiter et de stocker plusieurs flux de données à grande échelle (flux de données de sécurité, journaux, métadonnées réseau) ainsi que d'agréger des journaux, d'indexer les paquets, de les stocker, d'analyser en détail les comportements et d'enrichir les données, tout en appliquant les informations les plus récentes en matière de menaces à la télémétrie sur la sécurité — le tout sur une seule et même plateforme.
Présentation d'Apache Metron
Apache Metron comporte 4 capacités clés :
Le data lake de sécurité, un moyen rentable de stocker et combiner une large gamme de données métier et de données de sécurité, notamment des données PCAP et de télémétrie enrichies, pendant de longues périodes. Ce data lake fournit le corpus de données qui alimente les outils d'analyse de découverte, ainsi qu'un mécanisme de recherche et d'interrogation aux outils d'analyse opérationnelle.
Un framework modulaire offre un riche ensemble d'analyseurs de sources de données de sécurité courantes (pcap, netflow, bro, snort, fireye, sourcefire) et permet également l'ajout d'analyseurs adaptés à de nouvelles sources de données, l'ajout de services d'enrichissement qui fournissent plus d'informations contextuelles sur les données en flux brutes, l'ajout d'extensions dédiées aux renseignements sur les menaces, ainsi que l'ajout de la capacité à personnaliser les tableaux de bord de sécurité. Le machine learning et d'autres modèles peuvent également être raccordés aux flux en temps réel, ce qui apporte une grande flexibilité.Par exemple, ce framework peut facilement être étendu en ajoutant une fonctionnalité personnalisée de transformation des données avec des fonctions intégrées de création de scripts et des fonctions définies par les utilisateurs.
Une plateforme de détection des menaces qui repose sur des algorithmes de machine learning et la détection d'anomalies applicable en temps réel, au fur et à mesure de l'arrivée des événements.
L'application de réponse aux incidents est une évolution des fonctionnalités SIEM (alerte, framework de renseignement sur les menaces, agents d'ingestion des sources de données) qui comprend des utilitaires de replay de paquet, un magasin de preuves et des services de recherche utilisés généralement par les analystes SOC.