INTEGRATION

Trellix

Améliorer la visibilité sur les actifs OT IT dans Nozomi Vantage aux données de télémétrie endpoint fournies par Trellix EDR.

A propos de

Trellix

Trellix EDR est une plateforme endpoint et de réponse endpoint offrant un inventaire des hôtes, la recherche active de menaces et une visibilité en temps réel sur l’ensemble des terminaux de l’entreprise. En intégrant Trellix EDR à Nozomi Vantage, les équipes de sécurité bénéficient d’une vue consolidée des actifs gérés dans OT informatiques (IT) et OT , grâce à l’importation directe des données télémétriques endpoint dans Vantage. Cela enrichit le registre des actifs avec des données fiables provenant du plan de gestion de Trellix, ce qui accélère les enquêtes sur les incidents, réduit les angles morts dans les environnements d’infrastructures critiques et permet aux analystes de corréler les données télémétriques EDR et XDR avec les observations OT sans avoir à changer de console.

Caractéristiques

Types de données d'importation

Vantage les éléments suivants depuis

Trellix EDR

Enrichissement des détails des actifs et création de nouveaux actifs dans Vantage
Trellix EDR fournit des informations telles que endpoint , ses adresses IP et MAC, la version du système d'exploitation, la version de l'agent, les balises et l'horodatage de la dernière activité, afin d'enrichir Vantage existantes Vantage et de créer de nouvelles fiches d'actifs pour les terminaux qui ne sont pas encore détectés sur le OT .

Cas d'utilisation conjoints

Mise en corrélation des signaux Trellix avec les alertes OT
Lorsque Nozomi Vantage une alerte d’anomalie concernant un périphérique situé dans un OT , l’analyste peut accéder directement à la fiche EDR Trellix de ce même périphérique dans Vantage examiner les détections récentes, les événements de prévention, l’état d’isolation et l’intégrité de l’agent, le tout sans quitter le workflow Vantage . Cette corrélation intercouches permet de déterminer si une anomalie au niveau de la couche réseau coïncide avec une activité observée par Trellix, ce qui réduit le temps nécessaire pour confirmer ou écarter un incident.
Combler les lacunes en matière d'inventaire des actifs dans les domaines de l'informatique (IT) et OT
Les appareils enregistrés par Trellix EDR mais qui n’ont pas encore été détectés par les capteurs Nozomi sont automatiquement créés sous forme de nouvelles fiches d’actifs dans Vantage. Ces fiches contiennent le nom d’hôte, le système d’exploitation, l’état de l’agent et l’horodatage de la dernière détection, informations issues du plan de gestion de Trellix. Les équipes OT peuvent analyser cet inventaire unifié afin d’identifier les actifs non surveillés ou insuffisamment protégés dans les zones industrielles et les infrastructures critiques, puis hiérarchiser le déploiement des capteurs en conséquence.
Validation de la couverture de la gestion des actifs dans les domaines de l'informatique (IT) et OT
Les données issues de Trellix EDR sont recoupées avec l'inventaire des ressources observées sur le réseau Vantage, ce qui permet de mettre en évidence les ressources présentes dans l'une des sources mais absentes de l'autre.

Conditions préalables à l'intégration

Vantage Nozomi Vantage actif auquel le rôle « configuration des connecteurs » a été attribué au compte administrateur
Locataire Trellix EDR disposant d'un client API auquel ont été accordées des autorisations de lecture sur les appareils
Cohérence des noms d'hôte, des adresses IP ou des adresses MAC entre les ressources enregistrées par Trellix EDR et celles Vantage, afin de permettre une corrélation précise des ressources et la déduplication
Connectivité réseau sortante entre Vantage le endpoint de l'API de l'outil source endpoint HTTPS (cette condition préalable est une valeur par défaut de déploiement et peut être adaptée à votre environnement)
Connectivité réseau sortante entre Vantage le endpoint de l'API de l'outil source endpoint HTTPS (cette condition préalable est une valeur par défaut de déploiement et peut être adaptée à votre environnement)