Echo: a primeira Plataforma SOC com IA criada especificamente para Linux e Kubernetes. Do kernel ao veredito.
Detecção e resposta em tempo de execução para Linux, Kubernetes e nuvem, com agentes de IA que cuidam das suas operações de segurança de Nível 1 e Nível 2. O agente eBPF do Echo registra cada processo e conexão no momento em que acontecem. Com esse contexto completo, a IA do Echo pega o que outras ferramentas deixam passar, descarta falsos positivos, interrompe ataques em andamento e envia à sua equipe apenas o que precisa da atenção dela.
Eco
Para equipes de SOC, CISOs, operadoras de telecomunicações, usuários de IBM Power, MDRs, MSSPs, governo e qualquer pessoa que precise provar o que aconteceu.
Seus analistas vivem no ruído. O Echo parte da história completa.
O dia de um analista de SOC são milhares de alertas, a maioria falsos positivos, cada um um fragmento a ser montado a partir de logs e consoles. O Echo não parte dos alertas. Ele parte da cadeia causal completa, então não há nada para montar nem nada para adivinhar.
A fila de um analista hoje
❑Eles estão relacionados? Quem começou? Qual pod? Foi uma implantação de rotina? Um analista precisa montar tudo à mão, e uma IA que lê os mesmos alertas precisa adivinhar.
O que o Echo lê
✓A mesma atividade, registrada como aconteceu e vinculada por causa e efeito. O Echo raciocina sobre fatos, e você pode verificar cada um.
Os modelos de IA estão virando commodity. Dados completos e causais de tempo de execução não são.
Uma IA é tão boa quanto os seus dados.
As ferramentas de segurança tradicionais veem só uma parte do quadro, o que leva a ataques não detectados, falsos positivos e um trabalho enorme na resposta a incidentes. Com dados fidedignos completos, com qualidade de auditoria e vinculados por causa e efeito, uma IA consegue descobrir automaticamente o que de fato aconteceu.
Transformar essa percepção em um sistema em tempo real que reúne os dados, os vincula por causa, identifica atividades suspeitas e usa IA para decidir se são maliciosas.
Registrar cada processo, conexão e acesso a arquivos em milhares de hosts de uma empresa, vinculá-los em um grafo enorme que captura o contexto dos eventos e armazená-los por 90 dias, mantendo o consumo de CPU do host abaixo de 2%.
Usar modelos de IA locais e econômicos que entendem Linux, Kubernetes e sistemas em nuvem para fazer análise especializada de SOC.
A primeira Plataforma SOC com IA a tornar a visão realidade.
Outras ferramentas desligam sinais para que as pessoas deem conta. O Echo os mantém ligados.
Um ataque raramente começa pelo dano. Depois do acesso inicial, que pode vir de um exploit conhecido, de um zero-day sem assinatura ou de credenciais usadas silenciosamente, os atacantes exploram o ambiente. Eles fazem reconhecimento, escalam privilégios, estabelecem persistência e fazem pequenos movimentos laterais. Só depois agem sobre os seus objetivos.
Existem detecções para essa etapa intermediária, mas elas são ruidosas e difíceis de ajustar, então as equipes de SOC as desligam ou aprendem a ignorá-las. A maioria das ferramentas pega um ataque na porta de entrada, se o exploit for conhecido, ou no final, quando o dano já está em andamento.
Os sinais só sobrecarregam um SOC quando pessoas precisam lê-los. Os agentes de IA do Echo revisam cada um com todo o contexto causal, mantêm os sinais da etapa intermediária ligados e os vinculam em um único traçado, para que o Echo possa responder antes que o atacante alcance o seu objetivo.
Observa cada evento. Destaca a atividade que importa.
O Echo é um sistema em tempo real, não um processamento em lote. Cada evento atualiza o grafo causal no momento em que acontece, e cada etapa seguinte roda continuamente.
Nível 1 e Nível 2, resolvidos. A sua equipe parte da resposta.
Malicioso. contractor-17 abriu um shell interativo dentro de web-7f9c via kubectl exec, conectou-se a um host não reconhecido e tentou ler /etc/shadow. Nenhuma implantação ou ticket de mudança corresponde.
✓ Pod encerrado; o cluster se recuperou sozinho
❑ Rotacionar o token da conta de serviço de web-7f9c
"É como mágica. O Echo entrega aos nossos analistas um relatório pronto para auditoria respaldado por um dossiê completo da atividade do atacante."
Cinco dias de suposições com outras ferramentas. Minutos até as evidências com a Spyderbat.
Uma queda durante a madrugada derrubou o cluster Kubernetes de um cliente quando as conexões TLS começaram a falhar. Splunk, Datadog e o EDR do cliente não mostraram nada útil. Depois de cinco dias de investigação, e com um prestador de serviços negando qualquer mudança, o time de DevOps escalou o caso para a segurança.
Em minutos, a Spyderbat mostrou
"A Spyderbat tem componentes distintos que permitem ver as coisas como eram, como são e como deveriam ser."
"A Spyderbat é uma ótima opção para empresas que buscam uma proteção em tempo de execução rica e específica para Kubernetes."
Uma Plataforma SOC com IA que é dona dos seus dados e age sobre eles.
Dados no nível do kernel sob o seu controle
Cada ação de usuários e do sistema, visualizada e reproduzível na hora, por 90 dias.
Detectados enquanto acontecem
Abuso interno, configurações incorretas, zero-days e vulnerabilidades conhecidas, detectados e respondidos enquanto o ataque ainda está acontecendo.
Proteções e resposta automatizada
Aprende o comportamento normal de cada aplicação e bloqueia desvios. Ações integradas e personalizadas bloqueiam IPs ou encerram pods para que o cluster se recupere sozinho.
1 em 260 milhões chegou a uma pessoa
Esse foi um dia no nosso próprio ambiente. Todo o resto foi triado, investigado ou separado automaticamente.
Seus dados continuam sendo seus. Implante onde quiser.
O Echo é a Plataforma SOC com IA criada especificamente para Linux e Kubernetes.
A maior parte da experiência em segurança, e das ferramentas de segurança, nasceu nos endpoints Windows. O Echo foi criado para a infraestrutura em que as empresas modernas realmente rodam: servidores Linux, os clusters Kubernetes construídos sobre eles e a nuvem onde rodam.
Cada servidor, do bare metal à nuvem
RHEL, Ubuntu, Amazon Linux, Debian, Rocky e outras, em x86, ARM e IBM Power.
Clusters, pods e plano de controle
Siga um ataque por VMs, pods, namespaces e nós, até a carga de trabalho e a pessoa ou o processo que o iniciou.
AWS, híbrida e multicloud
Atividade em tempo de execução unida ao contexto da nuvem, como funções do IAM e tags.
A IA que você está colocando em produção
Servidores de modelos, agentes e pipelines também rodam em Linux e Kubernetes. Veja cada processo, arquivo e conexão que um agente toca.
O melhor teste são os seus próprios dados.
Cada forma é algo que aconteceu, conectado ao que o causou. Passe o mouse sobre uma para ver o que é e como ela se conecta ao resto do ataque.
A máquina Kubernetes onde tudo abaixo rodou. Cada etapa deste traçado aconteceu nela.
Levou a: sshd · contractor-17O login. contractor-17 se conectou por SSH às 13:58. Tudo abaixo remonta a esta sessão.
Causado por: nó do Kubernetes · Levou a: kubectl execcontractor-17 abriu uma sessão interativa dentro de um contêiner de produção em execução. Uma ferramenta de administração normal e uma porta de entrada comum. Sozinho, ruidoso demais para a maioria dos SOCs gerar alerta.
Causado por: sshd · contractor-17 · Levou a: containerd-shimO runtime de contêineres iniciando o comando solicitado dentro do pod. Ele liga o lado do host do traçado ao lado do contêiner.
Causado por: kubectl exec · Levou a: contexto do contêinerNamespace prod, pod web-7f9c, contêiner nginx. O Echo associa esse contexto a cada processo que roda dentro dele, então você sempre sabe onde ele rodou.
Causado por: containerd-shim · Levou a: nginx worker · pid 4127O servidor web. Ele serve páginas e não tem motivo para iniciar um shell.
Causado por: contexto do contêiner · Levou a: bash -iShell a partir do servidor web. Um shell interativo iniciado pelo nginx. Vinculado ao que veio antes, está claramente errado.
Causado por: nginx worker · pid 4127 · Levou a: consulta DNS, conexão para :4444, cat /etc/shadowUma consulta a rare-domain.example, um domínio raramente visto. Sozinho, é o tipo de sinal fraco que a maioria das ferramentas desliga.
Causado por: bash -iConexão de saída em uma porta incomum. Este é o reverse shell, o controle remoto do atacante. O Echo bloqueou este IP automaticamente.
Causado por: bash -i · Levou a: 203.0.113.44Acesso a credenciais. Uma tentativa de ler os hashes de senha armazenados.
Causado por: bash -iO servidor do atacante, fora da sua rede. A linha pontilhada mostra a conexão saindo do cluster.
Causado por: conexão para :4444