Pipeline d'observation
Pour offrir une surveillance de sécurité 24/7, le pipeline d'observation Arctic Wolf® ingère les journaux de tous les systèmes qui envoient des données de journal à Arctic Wolf. Le pipeline d'observation génère ensuite deux types de données :
- Observations analysées — Générées lorsque les données de journal brut sont analysées, normalisées, enrichies et examinées.
- Événements — Générés lorsque les journaux analysés sont traités en utilisant la logique de détection.
Tous les journaux analysés sont traités comme pertinents pour la sécurité. Cependant, tous les journaux analysés n'indiquent pas une menace possible. Les données de journal qui ne sont pas considérées comme pertinentes pour la sécurité sont filtrées du pipeline d'observation. Par exemple, les journaux DHCP, les informations de connexion des points d'accès sans fil et les journaux de pare-feu qui ne sont pas analysés et enrichis.
Arctic Wolf ingère les fichiers journaux dans le cadre de nos produits et services Managed Detection and Response (MDR) et Aurora Vulnerability Management (Aurora VM). Nous ajoutons des informations d'en-tête à chaque ligne de journal lors de l'écriture des journaux bruts dans nos compartiments S3 sécurisés. Ces informations d'en-tête contiennent les métadonnées clés sur la source du journal. Par exemple, nous injectons la date et l'heure de la génération du journal pour permettre le suivi de la chronologie des événements et la corrélation des journaux. Ces processus sont des fonctions nécessaires des services de recherche de menaces de cybersécurité. Nous n'avons pas de processus définis qui modifient les journaux bruts après que les journaux ont été écrits dans un compartiment S3. Bien qu'il soit possible que les journaux soient modifiés au repos, nous limitons l'accès à ces compartiments S3 aux rôles qui ont besoin d'accès pour accomplir leur travail. Nous auditez régulièrement l'accès aux journaux pour surveiller la sécurité de nos compartiments S3.