Tường video SOC và SIEM: Splunk, ELK

Tường video cho SOC: danh sách kiểm tra cho người mua

Một người mua tìm kiếm video wall for SOC thường đang quyết định xem căn phòng cần signage, phần cứng AV, hay phần mềm tường video vận hành. Với một trung tâm vận hành an ninh, tường nên được đặc tả quanh ứng phó sự cố: cảnh báo SIEM, đào sâu của phân tích viên, bằng chứng VMS, trách nhiệm ứng phó, và việc đưa nguồn lên một cách an toàn cho điều hành viên. Nếu tường không thể giữ thông tin đăng nhập, sức khỏe nguồn, bố cục, và vết kiểm toán trong tầm kiểm soát, thì nó chưa sẵn sàng cho công việc SOC.

Tường video SIEM: những gì thuộc về tường

Sai lầm đầu tiên trong việc mua sắm tường SOC là coi SIEM là nguồn duy nhất. SIEM là xương sống cảnh báo, nhưng tường khẳng định được vị trí của mình khi đội ngũ có thể thấy bối cảnh cảnh báo bên cạnh telemetry và bằng chứng vật lý. Một tường video SIEM thực dụng giữ bốn lớp hiển thị trong một sự cố:

• Lớp cảnh báo: Splunk Enterprise Security, Microsoft Sentinel, IBM QRadar, Elastic Security / ELK Stack, Wazuh, hoặc console SIEM hiện tại của người mua.
• Lớp telemetry: bảng điều khiển EDR / XDR, trạng thái tường lửa, sự kiện nhà cung cấp định danh, mức phơi nhiễm lỗ hổng, và tóm tắt luồng mạng.
• Lớp trực quan: lưới camera VMS từ Genetec, Milestone, hoặc các hệ thống tương đương, cộng thêm camera rack trung tâm dữ liệu nơi quyền truy cập vật lý quan trọng.
• Lớp ứng phó: ServiceNow, Jira, PagerDuty, trạng thái cầu sự cố, ghi chú ca, và liên hệ leo thang.

Cơ cấu đó là lý do một tường SOC cần kết xuất trình duyệt, thu nhận camera RTSP / NDI, IP-KVM, bố cục được đặt tên, và điều khiển điều hành viên theo vai trò. Một trình phát signage thuần túy có thể hiển thị một màn hình SIEM, nhưng nó không thể trở thành bề mặt điều khiển cho ứng phó chủ động.

Bố cục tham chiếu tường video SOC

Một tường video SOC hữu ích bắt đầu bằng cùng một kỷ luật như một tường video NOC: thiết kế quanh tải sự cố, không phải số bảng điều khiển ngày yên ả. Với một tường SOC 8 màn hình, một mức cơ sở thường gặp là:

• 2 màn hình cho hàng đợi cảnh báo SIEM và dòng thời gian tấn công.
• 1 màn hình cho trạng thái điểm cuối mức nghiêm trọng cao của EDR / XDR.
• 1 màn hình cho tư thế an ninh về định danh, tường lửa, VPN, và đám mây.
• 2 màn hình cho camera VMS, camera trung tâm dữ liệu, hoặc sự kiện an ninh vật lý.
• 1 màn hình cho ticket sự cố và trách nhiệm leo thang.
• 1 màn hình linh hoạt cho một nguồn được đưa lên: bắt gói tin, đào sâu bảng điều khiển, hoặc máy trạm phân tích viên qua IP-KVM.

Với một tường 16 màn hình, đừng đơn thuần nhân đôi lưới. Hãy thêm một làn sự cố thứ hai: một làn cho ứng phó sự cố chủ động, một làn cho trực thường xuyên. Điều này tránh được kiểu lỗi thường gặp khi tường trở nên khó đọc trong một sự kiện lớn.

Tường video Splunk, tường video ELK Stack, và tường bảng điều khiển Grafana

Một tường video Splunk thường là một tập bảng điều khiển Splunk Enterprise Security được kết xuất qua trình duyệt, không phải một sản phẩm tường đặc biệt. Các yêu cầu là xác thực ổn định, kiểm soát làm mới, đánh dấu dữ liệu cũ, và khả năng đưa lên một tìm kiếm hoặc góc nhìn sự kiện đáng chú ý mà không phơi bày toàn bộ máy trạm của phân tích viên.

Một tường video ELK Stack theo cùng mẫu hình qua các bảng điều khiển Kibana / Elastic. Hãy coi mỗi bảng điều khiển là một nguồn của tường với một chủ sở hữu, khoảng làm mới, trạng thái dự phòng, và mô hình truy cập. Nếu một token bảng điều khiển hết hạn lúc 03:00, tường nên hiển thị một lỗi xác thực rõ ràng thay vì một ô trống hay một ảnh chụp cũ.

Một tường bảng điều khiển Grafana hay tường video Grafana là cùng một mẫu hình vận hành cho các panel telemetry. Trong một SOC nó thường mang sức khỏe hạ tầng, dị thường định danh, tải tường lửa, trạng thái điểm cuối, hoặc tính sẵn sàng nền tảng bên cạnh SIEM. Trong một trung tâm vận hành mạng thuần túy, hãy dùng kiến trúc tường video trung tâm vận hành mạng làm bạn đồng hành chính.

Yêu cầu tường trung tâm vận hành an ninh

Cụm từ security operations center wall thường xuất hiện khi người mua vẫn đang chọn giữa phần cứng AV, signage, và phần mềm điều khiển tường video. Các yêu cầu đúng đắn là về vận hành, không phải trang trí:

• On-prem hoặc có khả năng air-gap: Telemetry SOC và luồng camera không nên đòi hỏi một control plane SaaS bên ngoài để kết xuất. Hãy dùng hướng dẫn tường video air-gap khi vận hành không-đám-mây là một yêu cầu mua sắm.
• Cô lập nguồn: một camera RTSP, bảng điều khiển, hoặc phiên SIEM bị lỗi không được làm tối cả màn hình.
• Điều khiển an toàn cho điều hành viên: trưởng ca có thể đưa lên hoặc sắp xếp lại các nguồn mà không phơi bày thông tin đăng nhập trên tường.
• Vết kiểm toán: các preset, thay đổi nguồn, và các góc nhìn sự cố được đưa lên nên có thể tái dựng lại sau khi rà soát sự cố.
• Sự rõ ràng của mô hình chi phí: so sánh thuê bao theo từng màn hình, làm mới thiết bị, hỗ trợ, và vòng đời máy chủ trong một bộ tính TCO tường video.

Craft Wall phù hợp ở đâu

Craft Wall phù hợp với các tường SOC và SIEM nơi người mua muốn một máy chủ Linux cục bộ, bảng điều khiển trình duyệt làm nguồn hạng nhất, luồng video RTSP / NDI, bố cục sự cố được đặt tên, và một bản quyền vĩnh viễn thay vì một thuê bao theo từng màn hình. Nó không phải câu trả lời đúng khi yêu cầu quyết định là một hệ thống đa địa điểm lớn quản lý qua đám mây với các tích hợp doanh nghiệp dựng sẵn. Trong trường hợp đó, hãy so sánh trang phương án thay thế Userful một cách trung thực trước khi quyết định.

Các stack bộ điều khiển phần cứng như Datapath vẫn có thể phù hợp với các dự án AV ưu tiên thiết bị. Nếu SOC đang thay thế một hệ thống Fx4 / WallControl, hãy xem xét lộ trình di chuyển phương án thay thế Datapath Fx4 và mô hình hóa chu kỳ làm mới trước khi mua thiết bị tiếp theo.

Ngôn ngữ truy vấn tường video SOC theo ý định người mua

Với các cụm từ ý định như security operations center wall, SIEM video wall, Splunk video wall, và ELK Stack video wall, hãy giữ cơ cấu nguồn của trang thật rõ ràng: cảnh báo SIEM, luồng camera an ninh, telemetry, ticket, và một quy trình đưa nguồn lên nhanh. Người mua dùng cách diễn đạt này thường kỳ vọng tường có thể giữ được khả năng đọc trong một sự cố mà không thay đổi các điều khiển điều phối hay console chính.

• Khớp từ khóa với trang: hãy ánh xạ những người tìm kiếm này tới một kiến trúc tường SOC có tên trước, rồi đối chiếu với kiến trúc tham chiếu NOC và hướng dẫn tường video phòng điều khiển điện lực.
• Danh sách rút gọn thương mại: so sánh cùng tập trang đó với bảng thuật ngữ AV-over-IP về truyền tải nguồn rồi chọn giữa phương án thay thế Datapath Fx4, phương án thay thế Userful, và phần mềm tường video tốt nhất tùy theo người mua ưu tiên tuân thủ, ưu tiên điều khiển, hay ưu tiên chi phí.
• Mẫu chuyển đổi: hãy thêm một đường đi ngắn tới bộ tính TCO tường video cho các kịch bản 8 màn hình và 16 màn hình rồi tới hướng dẫn định cỡ tường video để giảm ma sát từ truy vấn đến mua sắm.
• Bản đồ truy vấn-tới-danh-sách-kiểm-tra: với security operations center wall, Splunk video wall, và ELK Stack video wall các trang ý định, hãy giữ bố cục quanh năm lớp nguồn: SIEM, camera, telemetry, ticket, và một góc nhìn điều hành viên được đưa lên có khả năng phục hồi với chuyển đổi dự phòng.

Đọc tiếp

Hãy dùng trang này cùng với tường video trung tâm vận hành mạng, cùng so sánh phần mềm tường video tốt nhất, và các định nghĩa thuật ngữ cho SOC và NOC. Về chi phí, hãy chạy một kịch bản 8 màn hình và 16 màn hình trong bộ tính chi phí tường video, và dùng hướng dẫn định cỡ tường video để lập kế hoạch số nguồn. Với các phòng điện lực nơi SCADA và ứng phó sự cố mất điện chi phối cơ cấu nguồn, hãy dùng hướng dẫn tường video phòng điều khiển điện lực.