SentinelOne e Google Security Operations reformulam integração de telemetria para reduzir latência de alertas

O problema que a integração ataca é de arquitetura de pipeline. Segundo o Google Cloud Blog, o caminho convencional leva a telemetria de endpoint por buckets de nuvem intermediários, que exigem manutenção contínua e acrescentam atraso de processamento e taxas de armazenamento. A nova abordagem faz o SentinelOne enviar eventos direto ao Google Security Operations por APIs, sem esse salto.

São seis frentes de engenharia: esquema de dados de EDR modernizado, com eventos menores; ingestão direta por API; menor latência de streaming; filtros do Cloud Funnel para controlar o que é enviado; parsers, modelos de alerta e playbooks de SOAR feitos com as equipes Mandiant Incident Response e Managed Defense (isolamento automatizado de hosts, varreduras profundas de disco, extração de malware e enriquecimento de artefatos); e o prêmio de Intel Partner of the Year do Google Threat Intelligence. A entrega é gradual até o fim do ano, começando por clientes do Mandiant Managed Defense e do Mandiant Threat Defense. A fonte não traz números de redução de latência ou de tamanho de evento.

Para quem opera um SOC com SentinelOne e Google Security Operations, a mudança mexe em custo e tempo de detecção. Menos infraestrutura intermediária significa menos coisa para manter e monitorar. Vale validar na prática os ganhos de latência, já que a fonte é do próprio fornecedor e não publica métricas. Quem não é cliente Mandiant tende a esperar mais pelo rollout.