Os centros de operações de segurança (SOCs) enfrentam um dilema persistente em seus pipelines de dados: a ingestão de telemetria abrangente de endpoints é indispensável para a defesa, mas os caminhos convencionais de entrega tendem a elevar a sobrecarga de transferência e a latência dos alertas. Como os atacantes operam em velocidade de máquina, qualquer atrito desnecessário no transporte dos dados dos endpoints até o SOC pode deixar as equipes sem a visibilidade necessária para responder aos ataques em tempo real.

Resolver isso exige otimizar o pipeline de dados na camada de integração. Em vez de rotear a telemetria por complexos buckets intermediários na nuvem, que exigem manutenção contínua e introduzem atrasos de processamento custosos, as equipes de engenharia precisam de uma arquitetura de entrega simplificada que comprima a latência de ingestão, reduza a sobrecarga operacional e ofereça aos analistas visibilidade quase instantânea.

O Google Cloud e a SentinelOne afirmam ter resolvido esse desafio de escala com uma integração fundamentalmente rearquitetada. A SentinelOne, parceira de detecção e resposta em endpoints (EDR) com a designação Google Unified Security Recommended, agora se conecta ao Google Security Operations por meio de integração direta e esquemas de dados simplificados. Segundo o anúncio, isso fornece visibilidade essencial da telemetria de endpoints aos pipelines de detecção e de SOC agêntico do Google Security Operations, ao mesmo tempo em que reduz significativamente o custo total de propriedade da integração.

O que está em jogo

Para clientes corporativos, cada minuto de latência na telemetria pode ampliar o raio de impacto de uma intrusão ativa. Quando os pipelines de detecção levam meia hora para revelar atividade adversária, a resposta a incidentes deixa de ser mitigação ativa e passa a ser controle de danos retrospectivo.

Para a comunidade de segurança em geral e a liderança de TI, pipelines de ingestão ineficientes podem pressionar o orçamento e os recursos de computação. Reter telemetria volumosa e não otimizada em ambientes intermediários de armazenamento desvia recursos de iniciativas estratégicas de segurança e sobrecarrega as equipes de engenharia com dívidas de infraestrutura desnecessárias.

Destaques técnicos e capacidades

A integração reformulada apresenta seis frentes dedicadas de engenharia destinadas a eliminar gargalos de ingestão e reduzir a sobrecarga de dados sem sacrificar a fidelidade da detecção:

  • Redução significativa do tamanho dos eventos: um esquema de dados EDR modernizado reduz bastante o tamanho médio dos eventos, preservando a fidelidade analítica completa e diminuindo a carga de computação posterior para fluxos de trabalho agênticos.
  • Ingestão direta via APIs do Google: a SentinelOne transmite eventos diretamente para o Google Security Operations por meio de APIs, eliminando os saltos intermediários por armazenamento em nuvem e as taxas de armazenamento associadas.
  • Menor latência de transmissão: sem a exigência de armazenamento intermediário na nuvem, os dados ficam disponíveis para fluxos de trabalho de detecção, investigação e agênticos no Google Security Operations quase em tempo real.
  • Delimitação precisa da telemetria: os filtros integrados do SentinelOne Cloud Funnel oferecem mais flexibilidade para personalizar a telemetria enviada ao Google Security Operations.
  • API unificada de alertas e alinhamento com a Mandiant: analisadores, modelos de alerta e playbooks de SOAR foram desenvolvidos em conjunto com as equipes de Mandiant Incident Response e Managed Defense para permitir isolamento automatizado de hosts, varreduras profundas de visibilidade de disco completo, extração de malware e enriquecimento de artefatos diretamente no Google Security Operations.
  • Parceria validada pelo setor: a SentinelOne foi nomeada Intel Partner of the Year do Google Threat Intelligence no Google Cloud Next.

Disponibilidade

A integração tem entrega faseada prevista para o fim do ano, com os primeiros lançamentos priorizando clientes que usam Mandiant Managed Defense e Mandiant Threat Defense. As empresas orientam os clientes interessados a procurar suas equipes de conta do Google Cloud ou da SentinelOne para avaliar o pipeline de telemetria atual, agendar uma revisão de arquitetura técnica e reservar acesso antecipado para seu ambiente.