Illumio lässt sich in Splunk integrieren, um die Reaktionszeit im Sicherheitsbetrieb zu verbessern

Die adaptive Mikrosegmentierungstechnologie von Illumio entwickelt sich schnell zu einem grundlegenden Bestandteil des Sicherheitsstacks und zu einem unverzichtbaren Werkzeug zum Schutz von Anwendungen, die in Rechenzentrums- und Cloud-Umgebungen ausgeführt werden. Da wir sehen, dass Kunden die Illumio Adaptive Security Platform (ASP) einführen, um mehr Teile ihrer Anwendungsumgebungen zu schützen, sehen wir auch, dass sie Illumio auf mehr Teams in ihrem Unternehmen ausweiten – wie z. B. die Security Operations Center (SOC)-Teams, die sich auf Tools wie Security Information and Event Management (SIEM) verlassen, um Umgebungen auf Warnungen und Anomalien zu überwachen.

Die Integration von Illumio in Splunk gibt SOC-Teams die Möglichkeit, potenziell kompromittierte Workloads schnell zu identifizieren, und ermöglicht es Illumio-Administratoren, den Zustand der Illumio-Lösung zu überwachen.

Wir integrieren Splunk auf folgende Weise:

Illumio und Splunk Server

Illumio ASP leitet Audit-Ereignisse, Richtlinienereignisse und den Zustand der Illumio-Lösung direkt an Splunk Enterprise Server weiter, wo die Daten in bestehende Sicherheitstools wie Splunk Enterprise Security, die Illumio App für Splunk und SOC-Team-Workflows integriert werden können.

Illumio Technologie-Add-on (TA) für Splunk

Das Illumio Technology Add-On für Splunk reichert die Daten der Illumio Policy Compute Engine (PCE) mit Feldnamen, Ereignistypen und Tags (Common Information Model) CIM (Common Information Model) an. Die TA ermöglicht die einfache Verwendung von Illumio-Daten mit Splunk Enterprise Security, der Illumio App für Splunk und anderen Anwendungen im Splunk-Ökosystem.

Das Illumio TA steht hier als kostenloser Download von Splunkbase zur Verfügung.

Illumio und Splunk Unternehmenssicherheit

Splunk Enterprise Security (ES) ist eine Premium-Lösung, die Kunden die Möglichkeit bietet, interne und externe Angriffe schnell zu erkennen und darauf zu reagieren. Die Integration von Illumio mit Splunk ES trägt dazu bei, das Bedrohungsmanagement zu vereinfachen und Risiken zu minimieren. Splunk ES optimiert alle Aspekte der Sicherheitsabläufe und eignet sich für Unternehmen jeder Größe und Expertise. Das Technology Add-on für Illumio versieht eingehende Illumio-Daten mit CIM-Tags, so dass Illumio-Daten effektiv in Splunk ES verwendet werden können.

Die Illumio-App für Splunk

Die Illumio App für Splunk besteht aus einer Reihe vorgefertigter Dashboards, die die Integration von Illumio mit Splunk verbessern, indem sie Sicherheits- und Betriebseinblicke in Illumio-gesicherte Umgebungen bieten. Die Illumio App für Splunk wird mit den folgenden Dashboards geliefert:

• Security Operations Dashboard – gibt SOC-Mitarbeitern Einblicke, um potenzielle Angriffe schnell zu lokalisieren und kompromittierte Workloads zu identifizieren.
• PCE Operations Dashboard – gibt Illumio-Administratoren eine "zentrale Oberfläche", um den Zustand aller bereitgestellten und verwalteten PCEs zu überwachen.
• Workload Operations Dashboard – bietet Illumio-Administratoren Einblick in VENs, einschließlich Details zu Workloads, die offline genommen oder ausgesetzt wurden und möglicherweise manuelle Eingriffe erfordern.
  
  

Die Illumio App für Splunk steht hier als kostenloser Download bei Splunkbase zur Verfügung.

Initiative "Adaptive Response"

Illumio bietet eine Adaptive Response Action für die Verwendung in Splunk ES, die die Möglichkeit bietet, potenziell verletzte Workloads unter Quarantäne zu stellen. Auf diese Weise können SOC-Teams Maßnahmen gegen Workloads ergreifen, die potenziell riskante Aktivitäten aufweisen, indem sie Splunk AR, die Illumio REST API und die Illumio-Richtlinie nutzen, um die kompromittierten Workloads von anderen Produktions-Workloads zu isolieren und gleichzeitig den Zugriff durch forensische Teams zu ermöglichen. Durch den Aufruf der Illumio REST API werden Mikrosegmentierungsrichtlinien sofort angewendet und dämmen die Auswirkungen der kompromittierten Workload innerhalb von Sekunden ein.

Die Adaptive Response-Funktion ist als Teil der Splunk Enterprise Security-Lösung verfügbar.

Die Integration von Illumio in SIEM-Plattformen wie Splunk bietet SOC-Teams einzigartige und wichtige Einblicke in die Rechenzentrumsaktivität, um ihre anderen Warnungen und Feeds mit der Möglichkeit zu ergänzen, nicht autorisierte Kommunikation, die ein Indikator für eine Sicherheitsverletzung sein könnte, schnell zu identifizieren.