MSSP wählt Swimlane für Flexibilität und Skalierbarkeit

Bedürfnisse

Dieser Managed Security Service Provider (MSSP) suchte eine erstklassige, eigenständige Orchestrierungs- und Reaktionsplattform. Vor der Entscheidung für Swimlane nutzten sie ein intern entwickeltes Incident-Response-Tool, das jedoch nicht die benötigten Automatisierungsfunktionen und Flexibilität bot. Wichtige Anforderungen an ihre SOAR-Lösung war:

Ziel dieses Managed Security Service Providers (MSSP) war es, eine zentrale Orchestrierungsplattform für Hunderte von Kunden zu etablieren, um alle eingehenden Warnmeldungen zu zentralisieren. Da die Analysten kundenübergreifend arbeiteten, benötigten sie zudem die Möglichkeit, Warnmeldungen automatisch anhand ihres Typs oder Schweregrades zuzuweisen, anstatt sie kundenbasiert zu kategorisieren. Ohne eine zentrale, globale Instanz hätte sich ein Analyst in jede einzelne Umgebung einloggen müssen, was nicht skalierbar ist. Mit Swimlane kann dieser MSSP nun alle Warnmeldungen aggregieren, Workflows automatisch ausführen und Fälle bei Bedarf automatisch an Analysten weiterleiten.

Diese Verwendung von Swimlanes bietet mehrere Vorteile:

Da der MSSP schnell wuchs, war die Flexibilität seiner SOAR-Plattform von entscheidender Bedeutung. Die SOAR-Lösung musste Funktionen bieten, die zwar aktuell noch nicht benötigt wurden, aber zukünftig relevant sein könnten. Swimlanes Fähigkeit, Analysten und Analystengruppen dynamisch zuzuweisen, vereinfacht die Verwaltung wachsender SOCs erheblich und sorgt für mehr Komfort im Falle eines SOC-Ausfalls. Beispielsweise hoben sie die Funktion hervor, die die Gruppierung von Analysten und die anschließende Zuordnung dieser Gruppen zu Kunden automatisiert.

Die Anwendungsfälle waren vielfältig, und der MSSP testete einige Schlüsselfälle, hauptsächlich im Bereich Endpoint Detection and Response (EDR) und Cloud-Workflow-Schutz. Dies diente jedoch lediglich dem Nachweis der Leistungsfähigkeit, denn “der Kern einer Orchestrierungsplattform liegt in ihrer Flexibilität und der Möglichkeit, idealerweise jeden Anwendungsfall abzudecken”, erklärte der Leiter der Sicherheitsprodukte des MSSP. Swimlane ist bei MSSPs und großen Unternehmenskunden für seine Fähigkeit bekannt, über typische Funktionen hinauszugehen. SOAR-Anwendungsfälle, Swimlane deckt alles ab, von automatisierten Angriffstests über Insiderbedrohungen bis hin zum Onboarding/Offboarding von Analysten und vielem mehr. Dank der umfassenden Orchestrierungs- und Automatisierungsfunktionen von Swimlane sind die Anwendungsfälle nahezu unbegrenzt.

Starke API-Integrationsmöglichkeiten waren die dritte wichtige Anforderung. “Bei den meisten SOAR-Plattformen lassen sich zwar die APIs nutzen, aber die Warnmeldungen müssen direkt in das Orchestrierungstool eingespielt werden”, erklärte der Leiter der Sicherheitsprodukte. Mit Swimlane profitiert dieser MSSP von deutlich mehr Flexibilität, da die Swimlane-API es dem Kunden ermöglicht, wichtige Workflow-Anforderungen zu erfüllen, beispielsweise Warnmeldungen von seiner Carbon Black EDR-Lösung an seine Analysetools und von dort an Swimlane weiterzuleiten. Die Swimlane-API vereinfacht zudem die Übertragung von Daten aus der Sicherheitsorchestrierungsplattform in das Kundenportal, um dem Kunden einen Überblick über die aktuelle Situation zu geben. Swimlane unterstützt Hunderte von Drittanbieter-Tools und Tausende von Integrationen. Diese Funktionalität ist für MSSPs von entscheidender Bedeutung, da ihnen die Kapazitäten fehlen, API-Integrationen selbst zu erstellen und zu pflegen.