All'interno della funzionalità AI-Powered Log Search in Barracuda Managed XDR, basata su Databricks Genie con isolamento dei tenant a livello di riga in Unity Catalog.
Quando un analista della sicurezza riceve un avviso per un accesso sospetto o un blocco insolito del firewall, la risposta si trova quasi sempre nei log. Trovarla è la parte difficile.
Barracuda Managed XDR è un servizio di sicurezza basato su AI che combina il rilevamento avanzato con un Security Operations Center (SOC) dedicato per aiutare le organizzazioni a proteggersi, rilevare e rispondere alle minacce su endpoint, reti, e-mail e ambienti cloud.
Questa protezione dipende da un enorme volume di log di sicurezza provenienti da firewall, endpoint, identity provider, piattaforme cloud e gateway e-mail in migliaia di ambienti dei clienti. Ogni sorgente WatchGuard, Fortinet, Palo Alto, Microsoft 365 e AWS ha il proprio schema e i propri nomi di campo. Estrarre risposte da questi dati ha storicamente significato scrivere query SQL e districarsi tra le incongruenze e i formati proprietari dei dati di ciascun fornitore.
Il team di ingegneria di Barracuda ha deciso di risolvere questo problema. Voleva che qualsiasi analista, tecnico MSP o security manager potesse interrogare direttamente i dati, senza dover prima diventare un esperto in una dozzina di formati di log.
La soluzione che hanno rilasciato è AI-Powered Log Search, basata su Genie e integrata direttamente nella dashboard XDR. Gli utenti pongono domande come "mostrami i tentativi di accesso non riusciti da IP esterni nelle ultime 24 ore" e ottengono risultati in pochi secondi, con un isolamento multi-tenant applicato a livello di dati.
Vuoi un'analisi tecnica dettagliata del funzionamento? Leggi il post del team di ingegneria di Barracuda.
Prima di AI-Powered Log Search, un'indagine di solito seguiva una di queste due strade.
Se l'analista incaricato del caso conosceva gli schemi pertinenti per la sorgente dati specifica, poteva interrogare i dati autonomamente. Ciò significava che un piccolo gruppo di analisti senior gestiva la maggior parte del lavoro non di routine, poiché poche persone avevano il tempo o le competenze per apprendere l'intero panorama dei formati dei fornitori.
In caso contrario, la richiesta veniva inoltrata a un livello superiore. La domanda veniva passata a qualcuno in grado di scrivere la query, creando così una coda di attesa. Anche le richieste più semplici dovevano attendere che un analista senior avesse il tempo di prenderle in carico.
Nessuno dei due approcci era scalabile in modo efficiente su migliaia di clienti e partner. Barracuda voleva qualcosa che offrisse a ogni utente l'accesso diretto ai dati senza richiedere SQL e senza indebolire l'isolamento dei tenant da cui dipende una piattaforma gestita.
AI-Powered Log Search si trova all'interno della dashboard XDR. L'utente digita una domanda, Genie la converte in SQL, la esegue sui log di quel cliente e restituisce i risultati in una visualizzazione tabellare familiare. La query generata viene mostrata accanto ai risultati, offrendo agli analisti un modo per verificare cosa è stato eseguito o per imparare l'SQL per la volta successiva.
Ciò che rende questa soluzione migliore rispetto a un generico strumento text-to-SQL è il contesto a cui Genie ha accesso. Barracuda ha arricchito il suo Unity Catalog con metadati specifici per la sicurezza, comprese le descrizioni di ogni colonna e tabella relative a sorgenti di rete, server, cloud, e-mail ed endpoint. In questo modo, quando un utente chiede informazioni sulle "connessioni bloccate", Genie può mappare la richiesta sulle tabelle e sui campi corretti per qualsiasi fornitore di firewall attivo per quel cliente.
Sono supportate le conversazioni multi-turno, che è il modo in cui lavora la maggior parte degli analisti nella pratica. Una prima domanda restituisce una panoramica generale e i passaggi successivi la perfezionano: "ora filtra solo i primi 10 IP di origine", "mostrami gli stessi dati per la scorsa settimana", "escludi gli indirizzi interni". Genie porta avanti il contesto, in modo che ogni passaggio successivo si basi sul precedente senza doverlo ripetere.
Secondo Barracuda, Genie ha ridotto il time-to-insight per le indagini di routine da ore a minuti. Un analista junior che il mese scorso avrebbe inoltrato una query complessa a un livello superiore ora può eseguirla autonomamente. Un tecnico MSP che serve più clienti può rispondere a una domanda all'istante anziché inoltrarla a un analista senior. I team di conformità e i responsabili della sicurezza possono estrarre i propri dati senza dover aprire un ticket. E poiché ogni query viene registrata, l'audit trail copre i requisiti di conformità SOC 2 e simili senza bisogno di strumenti aggiuntivi.
Questo cambiamento sta già trasformando il modo in cui Barracuda gestisce le richieste ricorrenti di ricerca dei log. Prima di Genie, gli utenti aziendali si affidavano regolarmente agli analisti del SOC per estrarre dati specifici di ricerca dei log. Il team del SOC riceveva circa 200 richieste al mese e ogni richiesta richiedeva da 25 a 30 minuti per interpretare la domanda, identificare la sorgente dati e lo schema corretti, scrivere l'SQL, eseguire la query e rispondere tramite ticket. Con Genie, queste richieste ricorrenti possono passare al self-service, liberando circa 83-100 ore di lavoro degli analisti del SOC al mese, ovvero da 1.000 a 1.200 ore all'anno.
Utilizzando Databricks Genie per consentire ai nostri partner e alle SMB di interrogare dati di sicurezza complessi utilizzando il linguaggio quotidiano, Barracuda Managed XDR rende l'indagine sulle minacce straordinariamente facile da usare. Questa ricerca intuitiva basata su AI consente una risoluzione più rapida dei potenziali rischi, migliorando significativamente la nostra produttività operativa complessiva e la difesa aziendale.—Boopathy Veerappa, Director, Cyber DevOps Engineering - Managed XDR
Un'interfaccia in linguaggio naturale per i log di sicurezza è utile solo se è sicuro esporla a migliaia di clienti in una piattaforma condivisa. Una query che supera i confini dei clienti rappresenta una violazione, pertanto Barracuda ha integrato l'isolamento dei tenant in ogni livello del sistema.
Genie non interroga mai direttamente le tabelle di base. Interroga invece viste sicure in Unity Catalog che filtrano i dati in base all'organizzazione dell'utente autenticato prima ancora che il motore di query esegua l'SQL. Poiché il filtro viene applicato a livello di vista anziché nel prompt o nel codice dell'applicazione, una query non corretta o dannosa non può aggirarlo. I service principal hanno come ambito una singola organizzazione e un validatore di query controlla ogni istruzione SQL generata per confermare la presenza del filtro dell'organizzazione, rifiutando quelle che non lo superano.
La governance è inclusa gratuitamente in questa architettura. Le stesse policy di sicurezza a livello di riga che proteggono le tabelle sottostanti si applicano alle query in linguaggio naturale, quindi non c'è un modello di accesso parallelo da gestire o un livello di autorizzazione separato da mantenere sincronizzato.
Il team Managed XDR di Barracuda continua a sviluppare AI-Powered Log Search. Il salvataggio e la pianificazione delle ricerche sono previsti nella roadmap a breve termine, insieme all'integrazione con l'AI Assistant di Barracuda per la sintesi, sorgenti dati aggiuntive e la generazione di grafici e visualizzazioni direttamente dai risultati delle query.
Per l'analisi tecnica completa, inclusi l'architettura AI composta, l'implementazione della sicurezza a livello di riga, la pipeline di validazione delle query e il modello di implementazione multi-regione, leggi il post del team di ingegneria di Barracuda.
Per saperne di più su Genie e su come i team lo utilizzano per mettere dati e agenti a disposizione di ogni dipendente, visita la pagina del prodotto Genie.
(Questo post sul blog è stato tradotto utilizzando strumenti basati sull'intelligenza artificiale) Post originale
Iscriviti al nostro blog e ricevi gli ultimi articoli direttamente nella tua casella di posta.