Apache Metron
Apache Metron es un marco de aplicaciones de ciberseguridad de Big Data que ofrece una visión unificada de diversos datos de seguridad en streaming y a escala para ayudar a los centros de operaciones de seguridad a detectar y responder rápidamente a las amenazas.
Finalidad de Apache Metron
Apache Metron es una aplicación de análisis de flujos de datos en tiempo real que agiliza y simplifica el trabajo de los responsables de operaciones de seguridad. Es una aplicación de respuesta y análisis de datos en un COS (Centro de Operaciones de Seguridad) de nueva generación que integra diversas tecnologías de Big Data de código abierto en una herramienta centralizada para la supervisión de la seguridad y el análisis.
Permite incorporar, procesar y almacenar distintas fuentes de datos a escala, incluidas las fuentes de datos de seguridad, registros y metadatos en conjunto, con funciones de agregación de registros, indexación de capturas de paquetes completos, almacenamiento, análisis conductual y enriquecimiento de datos, al mismo tiempo que aplica la información de inteligencia sobre amenazas más actual a la telemetría de seguridad dentro de una única plataforma.
Descripción general de Apache Metron
Apache Metron consta de cuatro funciones clave:
Lago de datos de seguridad para ofrecer un modo rentable de almacenar una amplia variedad de datos empresariales con datos de seguridad… telemetría mejorada y datos PCAP durante periodos de tiempo prolongados. Este lago de datos proporciona el corpus de datos necesario para permitir análisis de detección y ofrece un mecanismo para buscar y consultar análisis operacionales.
Marco modular, que ofrece un completo conjunto de analizadores para fuentes de datos de seguridad comunes (pcap, netflow, bro, snort, fireye y sourcefire), pero también proporciona un marco modular para añadir nuevos analizadores personalizados para nuevas fuentes de datos, incorporar nuevos servicios de mejora para proporcionar más información de contexto a los datos en transmisión sin procesar, extensiones acoplables para fuentes de inteligencia de amenazas y la capacidad para personalizar los paneles de seguridad. También se pueden añadir modelos de aprendizaje automático y de otros tipos a las transmisiones en tiempo real, lo que supone una gran capacidad de extensión. Por ejemplo, se puede ampliar fácilmente para añadir funcionalidades personalizadas que permitan transformar datos con creación de scripts integrada y funciones definidas por el usuario.
Plataforma de detección de amenazas, basada en algoritmos de aprendizaje automático y detección de anomalías que se pueden aplicar en tiempo real a medida que se van recibiendo las transmisiones de eventos.
Aplicación de respuesta a incidencias, que es una evolución de las funciones SIEM (alerta, marco de inteligencia de amenazas, agentes para la incorporación de fuentes de datos...), incluidas utilidades de reproducción de paquetes, almacén de pruebas y servicios de búsqueda que usan habitualmente los analistas de COS.