Architektur

Zentraler Kern mit modularen und skalierbaren Schnittstellen

OSCAR © verwendet als SIEM und Data Store Elastic Search. Diese Big Data Plattform skaliert fast linear im Gegensatz zu anderen SIEM Systemen. Elastic Search hat aufgrund seiner Open Source technologischen Entwicklung eine Reihe sehr großer Vorteile gegenüber Konkurrenzprodukten. Dazu zählt seine Skalierbarkeit, die architektonisch mögliche Vielfalt um den Data Store für weitere andere Verarbeitungszwecke ausser dem SIEM zu nutzen, z.B. Datenbanken besser einzubinden, sowie die Volltextsuche über den Inhalt, und zu guter Letzt Elastic Search Preis. Die Auswahl für Elastic fiel auch durch eine kontinuierliche Beobachtung von Roadmaps und Roadshows über zwei Jahre hinweg, bei denen wir sahen, dass Planung und Umsetzung von neuen Zielen bei Elastic für neue Releases viel stärker verfolgt und umgesetzt wurden, als bei allen anderen Herstellern.

Architekturbild

OSCAR © liest eine Vielzahl von Logquellen ein, die aus den Sensoren für Datengenerierung entstehen. Diese Netzwerk- Host- und Application-Streams fließen in unsere persistente Queue in das Hot-Path Real Time Processing ein, werden normalisiert und angereichert, und werden für ihren Zweck vorverarbeitet. Nach der Vorverarbeitung liegen die Daten zur weiteren Verarbeitung im SIEM. Dort generieren Sie Alerts und dienen den Abfragen per GUI.
In OSCARs © Cold-Path Batch Processing fließen aus unseren vorverarbeitenden Daten über eine Machine Learning Pipeline gezielte Streams in die Machine Learning Trainingsdatenbank, die für Machine Learning Trainings genutzt wird, Aktionen auslösen können, aber auch zwecks Queries aus dem SIEM bzw. Data Store abgefragt werden können.

Die Architektur von OSCAR © ist mandantenfähig und skaliert immens hoch.

Für unsere Kunden, die Infrastrukturen betreiben, die sie für einen bestimmte Zweck kurz oder auch mittelfristig von der zentralen SOC Infrastruktur abhängen müssen, halten wir lokale SOCs in Form von intelligenten lokalen Anomaliedetektoren vor. Diese verrichten ihre Arbeit lokal, und schützen die Infrastruktur, als würden Sie mit dem zentralen SOC verbunden sein. Die Speicherung der Daten erfolgt lokal. Sobald das lokale SOC wieder an die zentrale SOC Infrastruktur angeschaltet wird, erfolgt die Datensynchronisation.

Das lokale SOC führt vor der Trennung von dem zentralen SOC eine spezielle Authentifizierung durch. Es erfolgt eine Schlüsselverteilung vor der Abkopplung. Dadurch wird die Integrität der Software sichergestellt.

Ausgegeben werden Ergebnisse direkt in Form von Dashboards (siehe Galerie), Alerts, Email, SMS, Tickets, oder sie werden in den Data Store geschrieben. Sollte eine SOAR-Umgebung installiert sein, werden die Daten in die SOAR-Umgebung gepumpt und dort weiterverarbeitet, bevor Automatismen eingreifen oder Ausgaben wie die genannten erfolgen.