リファレンス アーキテクチャ – Varonis と ANQ の統合

上に示したように、統合プロセスでは、Qumulo クラスターが監査ログを Qumulo Broker に送信し、Qumulo Broker がログを必要な形式に変換して Varonis Collector に転送します。 Qumulo Broker は、RabbitMQ メッセージ トラフィック用の API サービスも提供します。これは、イベントを Varonis Collector に転送するサービスです。

Varonis コレクターは ANQ に接続し、フォルダーをスキャンし、ファイルの内容を分類し、アクセス イベントを抽出します。 抽出されたメタデータ (フォルダーとファイルのアクセス許可、分類ラベル、アクセス イベント) は、Varonis Data Security Platform クラウドにアップロードされます。

このアーキテクチャは、次の XNUMX つの主要な側面を通じてランサムウェアとマルウェアから保護することに重点を置いています。

• 防止： Varonis Data Security Platform は、Qumulo クラスターから Varonis SaaS アプリケーションに送信される監査ログを継続的に監視することにより、ランサムウェアの防止において重要な役割を果たします。 Varonis はこれらのログを分析して、ユーザーの権限を理解し、アクセス レベルを評価します。 未使用の権限を削除することを推奨し、不審または異常な権限の変更が検出された場合は管理者に警告します。 その後、ユーザーは Varonis SaaS アプリケーション内で修正措置を講じることができます。
• 検出： Varonis は、脅威フィードやブラックリストなどの脅威インテリジェンスを利用して、既知のランサムウェアと攻撃パターンを特定します。 機械学習は、悪意のあるアクティビティを示す可能性のある異常な動作を検出するための新しい攻撃方法の Qumulo 監査ログに適用されます。 これには、ファイルアクティビティ、アクセス許可、アクセスパターンの変化を監視し、異常が検出されたときにアラートをトリガーすることが含まれます。

回復： 攻撃が発生した場合には、回復計画を立てることが重要です。 Qumulo を使用すると、管理者はデータの複数のコピーを長期にわたって保持するスナップショット ポリシーを作成できます。 攻撃者が昇格されたアクセス許可を取得してデータを暗号化しようとしても、Qumulo のスナップショット ロックにより、既存のスナップショットの削除や暗号化が阻止されます。 このアプローチにより攻撃が隔離され、管理者は必要に応じて侵害されていないデータに戻し、通常の操作を再開できるようになります。