Tenzir: Die Open Source Datapipeline – Tenzir: The Open Source Data Pipeline

Die rasche Zunahme von Daten im Bereich der Cybersicherheit in Verbindung mit dem Cloud Computing hat dazu geführt, dass Security Information and Event Management (SIEM), Daten- und Cloud-Kosten einen erheblichen Teil der Sicherheitsbudgets verschlingen. Diese finanzielle Belastung schränkt nicht nur die Fähigkeit der Unternehmen ein, in wichtige Sicherheitsmaßnahmen zu investieren, sondern auch ihre Fähigkeit, sich proaktiv gegen die sich ständig weiterentwickelnden Bedrohungen zu verteidigen.

Die Antwort von Tenzir auf dieses Problem lautet SecDataOps und Tenzir Pipelines. SecDataOps verwendet die effizientesten Datenflüsse. Effektive Erkennung, Untersuchung und Reaktion auf Bedrohungen bedeutet zunehmend die Beherrschung von Daten. Sicherheitsteams benötigen einen neuen strategischen Ansatz, der das Kostenmanagement und Financial Operations (FinOps) als primäre Ergebnisse betrachtet: Sicherheitsdatenbetrieb (SecDataOps) zielt darauf ab, die Datenkosten zu minimieren, sei es für Berechnungen oder für die Speicherung, und gleichzeitig den Nutzen und die Nutzung der Daten zu maximieren.

Die Kontrolle von SIEM-, Cloud- und anderen Datenkosten bedeutet strategisch und aggressiv zu entscheiden, welche Daten in welcher Form weitergesendet werden.

Viele Informationen, die in Sicherheitsereignissen enthalten sind, sind fehlerhaft, wiederholen sich oder sind anderweitig datensparsam und leicht zu komprimieren. Durch Filtern, Deduplizieren und Komprimieren von Daten am Edge. bevor sie teure verbrauchsbasierte Dienste und Lösungen erreichen, ist es möglich zwischen 30 % und 80 % Kosteneinsparungen zu erzielen. Die richtigen Daten zur richtigen Zeit an den richtigen Ort zu bringen, kann die Kosten für SIEM, Cloud und Daten drastisch senken.

Datenverdichtung

Richtlinien zur Datenaufbewahrung basieren oft auf der einfachen Auslagerung älterer Daten. Unterschiedliche Arten von Daten haben aber unterschiedliche Geschäfts- und Lebenszeitwerte. Anstatt einfach die ältesten Daten zu löschen, wendet der einzigartige Verdichtungsalgorithmus von Tenzir die relative Wichtigkeit der Daten als Hauptkriterium an. Aggregationspipelines können Daten verkleinern, indem der Kontext bewertet wird.  Durch die Konvertierung von Flussdatensätzen in eine aggregierte Matrix, die angibt, wer mit wem kommuniziert hat, kann die Datengröße um das 10-fache schrumpfen. Es ist dann immer noch möglich, Fragen zu beantworten wie „Haben wir mit dieser Entität kommuniziert?“. Dadurch wird die Datentreue bewahrt und die Nützlichkeit der Information bewertet, anstatt Daten abrupt wegzuwerfen.

Kostensenkung

Die Anreicherung von Alarm-, Ereignis- und Telemetriedaten mit Benutzer-, Anlagen- und Bedrohungsdatenkontext wird oft mehrmals in verschiedenen Lösungen durchgeführt. Ähnlich verhält es sich mit der Ausführung von Erkennungsinhalten, wie z. B. Sigma-Regeln. Wird die Anreicherung und Ausführung von Erkennungsinhalten an den Netzwerkrand verlagert, wird doppelter Aufwand vermieden. Daten werden dort gespeichert, wo es am kostengünstigsten ist, und dennoch ist sichergestellt, dass dieselben angereicherten Daten konsistent für alle Arbeitslasten zur Verfügung stehen.

Tenzir verfolgt eine einfache Philosophie: Composable Data Flow Pipelines. Jeder kann einfach Pipelines erstellen, indem er Operatoren wie Unix-Pipes oder PowerShell-Befehle verbindet, mit dem Unterschied, dass die Operatoren speziell für Sicherheitsdaten ausgelegt sind.

Zielgruppe

Vallentin erklärt: „Unsere Technologie kann andere übertreffen. Seit der Markteinführung sind wir auf dem Radar der Fortune-50-Unternehmen. Unsere Zielgruppe sind große Unternehmen mit eigenen Sicherheitsteams, die unter Budgetkürzungen leiden.“

Die datenschutzkonforme Lösung von Tenzir kann Unternehmen helfen, ihre Compliance-Sorgen zu lindern.  Der Kunde behält die Hoheit über seine Daten, es gibt keinen Vendor Lock-in.

Auch der Channel soll eingebunden werden. Tenzir ist interessiert an der Zusammenarbeit mit Distributoren und Systemhäusern. Die strategischen Partnerschaften sollen gestärkt werden.

The rapid growth of cybersecurity data coupled with cloud computing has resulted in security information and event management (SIEM), data and cloud costs consuming a significant portion of security budgets. This financial burden not only limits organizations‘ ability to invest in critical security measures, but also their ability to proactively defend against ever-evolving threats.

Tenzir’s answer to this problem is SecDataOps and Tenzir Pipelines. SecDataOps leverages the most efficient data flows. Effectively detecting, investigating and responding to threats increasingly means mastering data. Security teams need a new strategic approach that considers cost management and financial operations (FinOps) as primary outcomes: Security Data Operations (SecDataOps) aims to minimize the cost of data, whether compute or storage, while maximizing the value and use of data.

Controlling SIEM, cloud, and other data costs means strategically and aggressively deciding what data to share and in what form.

Much of the information contained in security events is erroneous, repetitive, or otherwise data-sparse and easily compressed. By filtering, deduplicating, and compressing data at the edge before it reaches expensive consumption-based services and solutions, cost savings can range from 30% to 80%. Getting the right data to the right place at the right time can dramatically reduce SIEM, cloud and data costs.

Data Aggregation

Data retention policies are often based on simply offloading older data. However, different types of data have different business and lifetime values. Instead of simply deleting the oldest data, Tenzir’s unique aggregation algorithm uses the relative importance of data as the primary criterion. Aggregation pipelines can shrink data by evaluating context.  By converting flow records into an aggregated matrix of who communicated with whom, data size can be reduced by a factor of 10. It is still possible to answer questions such as „Did we communicate with this entity?“ This preserves data fidelity and assesses the usefulness of the information, rather than discarding data abruptly.

Reduce costs

Enriching alarm, event, and telemetry data with user, asset, and threat context is often done multiple times in different solutions. Similarly, the execution of detection content, such as sigma rules, is often duplicated. Moving detection content enrichment and execution to the network edge eliminates duplication. Data is stored where it is most cost effective, while ensuring that the same enriched data is consistently available to all workloads.

Tenzir follows a simple philosophy: composable data flow pipelines. Anyone can easily create pipelines by connecting operators such as Unix pipes or PowerShell commands, except that the operators are designed specifically for security data.

Target audience

Vallentin explains, „Our technology can outperform others. We’ve been on the radar of Fortune 50 companies since we launched. Our target audience is large enterprises with internal security teams that are suffering from budget cuts.“

Tenzir’s privacy-compliant solution can help companies address their compliance concerns.  Customers retain sovereignty over their data and there is no vendor lock-in.

The channel is also expected to be involved. Tenzir is interested in working with distributors and system integrators. Strategic partnerships will be strengthened.