תבניות מוכנות
ארבע קבוצות: פעילות הונאה, דליפת מידע, פעילות שעלולה להיות פסולה ופעילות שאינה קשורה לעבודה. התבניות מופעלות, ומתחילות לעבוד רק אחרי ששייכתם אותן לנקודות הקצה.
צוות SOC ותגובה לאירועיםSOC · IR · MSSP
אנליסט רואה אירוע ב-SIEM, ושואל מה קרה על המסך. כל אירוע סשן והתראה ש-Syteca שולחת, ב-CEF או ב-LEEF ובזמן אמת, נושא קישור לנגן הסשן: צפייה חיה, הקלטה שאפשר לחפש בה ותגובה בתוך הסשן. בסוף נשאר קובץ ראיה עם hash מסוג SHA256 לתיק החקירה.
Syteca וה-SIEM
Syteca שולחת ל-SIEM ב-Syslog, בפורמט CEF או LEEF ובזמן אמת, את אירועי הסשנים מתחנות ושרתי Windows ו-Linux, את ההתראות שהופעלו ואת יומן הביקורת של ממשק הניהול. כל אירוע סשן וכל התראה כוללים קישור לנגן הסשן, כך שמהאירוע ב-SIEM עוברים ישר למה שקרה על המסך, והקורלציה עם שאר המקורות נשארת ב-SIEM.
מהאירוע לתגובה
ההתראה, ההקלטה, החיפוש, התגובה והייצוא נמצאים באותו ממשק. כך נראה הטיפול כשהאירוע מגיע.
חוקי התראה
ארבע קבוצות: פעילות הונאה, דליפת מידע, פעילות שעלולה להיות פסולה ופעילות שאינה קשורה לעבודה. התבניות מופעלות, ומתחילות לעבוד רק אחרי ששייכתם אותן לנקודות הקצה.
תנאים על יישום, כותרת חלון, URL, הקשות, לוח העתקה, העלאת קבצים, שם משתמש ופקודות Linux, עם AND, OR וביטויים רגולריים. חוקים על הקשות ועל URL פועלים ב-Windows וב-macOS.
לכל חוק רמת סיכון: רגילה, גבוהה או קריטית. הסשן ברשימה נצבע לפי ההתראה החמורה ביותר בו. המייל נשלח על כל אירוע, או מרוכז לפרק זמן.
אפשר להקליט מסך רק כשהתראה או חוק USB מופעלים, עם 1 עד 60 דקות לפני האירוע ואחריו. כך חוסכים נפח, והאנליסט מקבל את ההקשר של האירוע.
פקודות עם הפרמטרים שלהן, גם מתוך סקריפטים, ופלט הפקודות. יש התראה מוכנה על פקודות mount. ב-Linux מקבלים התראות, בלי חסימה אוטומטית.
בונה פרופיל עבודה לכל משתמש, מחשב אותו מחדש כל 10 ימים, ומסמן סשנים בשעות חריגות ברמה Normal, High או Critical. זמין בהתקנה מקומית ובענן הפרטי של קונסיסט, לא ב-SaaS של Syteca ולא במצב High Availability.
תגובה לפי מערכת הפעלה
התגובה מוגדרת בחוק עצמו או מופעלת ידנית. לפני שבונים playbook, כדאי לדעת מה זמין בכל נקודת קצה.
| פעולה | Windows | macOS | Linux |
|---|---|---|---|
| התראה לצוות עם קישור לסשן, ואירוע ל-SIEM | כן | כן התראה ומייל. השליחה ל-SIEM מתועדת לאירועי Windows ו-Linux | כן |
| הודעת אזהרה על המסך של המשתמש | כן | כן | התיעוד לא מציין זאת. ב-Linux מתועדות התראות, בלי חסימה אוטומטית |
| סגירת היישום | כן | כן | לא זמין |
| חסימת המשתמש וניתוקו | כן גם ידנית מהנגן | לא זמין | לא זמין |
| חסימת התקן USB | כן לפי סוג התקן, או חסימה עד אישור מנהל | לא זמין התראה בלבד | לא דרך מודול ה-USB. יש התראה מוכנה על פקודות mount |
SOC מנוהל (MSSP)
מצב Multi-Tenant של Syteca נבנה ל-MSP ול-MSSP שמנהלים את האבטחה של לקוחותיהם, וגם לארגונים עם יחידות עצמאיות. פריסה אחת, שרת יישום ומסד נתונים אחד, ודיירים מבודדים זה מזה.
חשוב לדעת
שאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
את מה שקרה בתוך הסשן: הקלטה של המסך, יישומים, כותרות חלונות וכתובות URL, הקשות ולוח העתקה שאפשר לחפש בהם, ובשרתי Linux פקודות עם פרמטרים ופלט. בחשבון משותף היא מוסיפה את השם האישי של מי שנכנס. כל אירוע סשן והתראה שהיא שולחת ל-SIEM כולל קישור לנגן הסשן.
Syteca שולחת ב-Syslog בפורמט CEF או LEEF, עם אפשרות להצפנת TLS. התיעוד מפרט את Splunk, IBM QRadar, ArcSight ו-Elastic, וכל SIEM שתומך ב-Syslog יכול לקלוט את הזרם. מומלץ לבדוק את פענוח השדות בפיילוט.
לא לפי התיעוד הנוכחי. האינטגרציה עם SysAid ו-ServiceNow בודקת שקיימת קריאה פתוחה לפני הכניסה, ומוסיפה לקריאה קישור להקלטה. כדי להכניס התראות לתהליך הטיפול, שולחים אותן ל-SIEM, ומשם לכלי התזמור שלכם.
במצב Multi-Tenant: פריסה אחת עם דיירים מבודדים, ולכל דייר מנהל, משתמשים, סוכנים, רישוי, התראות ודוחות משלו. הטכנאי של הפלטפורמה לא רואה נתוני דייר בלי אישור מנהל הדייר. המצב זמין בהתקנה מקומית או בענן שאתם מנהלים, לא ב-SaaS של Syteca, ובלי SSO לממשק הניהול.
לא. UEBA זמין בהתקנה מקומית ובענן הפרטי של קונסיסט. הוא אינו זמין ב-SaaS של Syteca ובמצב High Availability. חוקי ההתראה והתגובה זמינים בכל מודלי הפריסה.
Syteca מספקת את הכלים: קובץ EFE מוצפן עם hash מסוג SHA256 שאפשר לאמת באופן עצמאי, נגן פורנזי שלא דורש גישה למערכת, ותיעוד של מי ייצא ומתי. האם ראיה מתקבלת בהליך מסוים זו שאלה משפטית, ויש לבדוק אותה עם היועץ המשפטי.
לא. הוראה 364 של בנק ישראל דורשת מערך ניטור ובקרה שמאויש באופן רציף, בכל שעה ובכל יום בשנה, ומקבל דיווחים בזמן אמת (סעיף 142.1), ושילוב של מערכות הניטור עם מערכות אחרות לזיהוי, לחקירה ולתיעוד (סעיף 143). Syteca היא אחד המקורות של מערך כזה וכלי תגובה בתוך הסשן. האנשים, הנהלים ושעות האיוש הם של הארגון או של ה-MSSP.
ארכיטקט פתרונות של קונסיסט יעבור איתכם על התרחישים שלכם, בעברית.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד. היכולות והזמינות לפי האתר והתיעוד של Syteca, אוקטובר 2026.