Los centros de operaciones de seguridad (SOC) enfrentan un dilema persistente en sus canalizaciones de datos: la ingesta de telemetría completa de endpoints es imprescindible para la defensa, pero las vías de entrega convencionales suelen aumentar la sobrecarga de transferencia y la latencia de las alertas. Dado que los atacantes operan a velocidad de máquina, cualquier fricción innecesaria en el traslado de los datos desde los endpoints hasta el SOC puede dejar a los equipos sin la visibilidad necesaria para responder a los ataques en tiempo real.

Resolver esto exige optimizar la canalización de datos en la capa de integración. En lugar de encaminar la telemetría a través de complejos buckets intermedios en la nube que requieren mantenimiento continuo e introducen costosas demoras de procesamiento, los equipos de ingeniería necesitan una arquitectura de entrega simplificada que comprima la latencia de ingesta, reduzca la sobrecarga operativa y brinde a los analistas una visibilidad casi instantánea.

Google Cloud y SentinelOne afirman haber abordado este desafío de escalado con una integración re-arquitectada de forma fundamental. SentinelOne, socio de detección y respuesta en endpoints (EDR) con la designación Google Unified Security Recommended, ahora se conecta con Google Security Operations mediante integración directa y esquemas de datos simplificados. Según el anuncio, esto proporciona visibilidad esencial de la telemetría de endpoints a las canalizaciones de detección y de SOC agéntico de Google Security Operations, al tiempo que reduce significativamente el costo total de propiedad de la integración.

Qué está en juego

Para los clientes empresariales, cada minuto de latencia en la telemetría puede ampliar el radio de impacto de una intrusión activa. Cuando las canalizaciones de detección tardan media hora en revelar actividad adversaria, la respuesta a incidentes pasa de la mitigación activa al control de daños retrospectivo.

Para la comunidad de seguridad en general y los responsables de TI, las canalizaciones de ingesta ineficientes pueden afectar el presupuesto y los recursos de cómputo. Retener telemetría voluminosa y sin optimizar en entornos intermedios de almacenamiento desvía recursos de iniciativas estratégicas de seguridad y carga a los equipos de ingeniería con deuda de infraestructura innecesaria.

Aspectos técnicos destacados y capacidades

La integración rediseñada incorpora seis líneas de trabajo de ingeniería dedicadas a eliminar los cuellos de botella de ingesta y reducir la sobrecarga de datos sin sacrificar la fidelidad de detección:

  • Reducción significativa del tamaño de los eventos: un esquema de datos EDR modernizado reduce en gran medida el tamaño promedio de los eventos, conservando la fidelidad analítica completa y disminuyendo la carga de cómputo posterior para los flujos de trabajo agénticos.
  • Ingesta directa mediante APIs de Google: SentinelOne transmite eventos directamente a Google Security Operations a través de APIs, eliminando los saltos intermedios por almacenamiento en la nube y las tarifas de almacenamiento asociadas.
  • Menor latencia de transmisión: al eliminar el requisito de almacenamiento intermedio en la nube, los datos quedan disponibles para flujos de trabajo de detección, investigación y agénticos en Google Security Operations casi en tiempo real.
  • Delimitación precisa de la telemetría: los filtros integrados de SentinelOne Cloud Funnel ofrecen mayor flexibilidad para personalizar la telemetría enviada a Google Security Operations.
  • API unificada de alertas y alineación con Mandiant: los analizadores, los modelos de alerta y los playbooks de SOAR se diseñaron junto con los equipos de Mandiant Incident Response y Managed Defense para permitir el aislamiento automatizado de hosts, análisis profundos de visibilidad de disco completo, extracción de malware y enriquecimiento de artefactos directamente desde Google Security Operations.
  • Alianza validada por la industria: SentinelOne fue nombrado Intel Partner of the Year de Google Threat Intelligence en Google Cloud Next.

Disponibilidad

La integración está prevista para una entrega gradual antes de fin de año, y los primeros despliegues priorizan a los clientes que utilizan Mandiant Managed Defense y Mandiant Threat Defense. Las empresas invitan a los clientes interesados a contactar a sus equipos de cuenta de Google Cloud o SentinelOne para evaluar su canalización de telemetría actual, programar una revisión de arquitectura técnica y reservar acceso anticipado para su entorno.