SIEM-системы

MaxPatrol SIEM — инновационная система, использующая полную модель инфраструктуры и механизм передачи в продукт экспертизы исследовательского центра Positive Research для эффективного выявления инцидентов ИБ с минимальными трудозатратами.

Внутри SIEM-системы информация об инфраструктуре постоянно обогащается данными из новых событий, сканирований, сетевого трафика и агентов на конечных точках, создавая полную IТ-модель предприятия. Благодаря понимаю инфраструктуры правила корреляции могут захватывать не только отдельные IP-адреса или hostname, но и более высокоуровневые категории — активы и динамические группы активов.

Во всех элементах решения MaxPatrol SIEM заложены единые принципы сбора и учета информации. Модули сбора и анализа сетевого трафика, данных с конечных точек, средства управления уязвимостями и моделирования угроз изначально разрабатывались Positive Technologies как часть новой платформы MaxPatrol. На основании полной модели инфраструктуры выполняется автоматическое построение топологии сети, это позволяет лучше понимать защищаемую инфраструктуру и потенциальную достижимость атак, упрощает расследование инцидентов.

Требования к команде эксплуатации SIEM-системы снижаются благодаря автоматизации процедур администрирования, построению полной модели инфраструктуры и топологии сети, жизнеспособности правил корреляции, использованию комплексной платформы MaxPatrol вместо множества разнородных решений ИБ, а также подключению актуальных источников данных без дополнительных затрат.

MaxPatrol SIEM LE — высокопроизводительный программно-аппаратный комплекс на базе программного продукта MaxPatrol SIEM, самый быстрый и доступный способ начать использовать SIEM-систему корпоративного уровня для выявления инцидентов ИБ и защиты IT-инфраструктур малого и среднего масштаба.

Передовые характеристики системы MaxPatrol SIEM достигаются за счет создания и постоянного обновления полной модели инфраструктуры, а также за счет механизма передачи в продукт экспертизы исследовательского центра Positive Research.

Все компоненты MaxPatrol SIEM разрабатывались как часть новой комплексной платформы управления безопасностью MaxPatrol и используют единые принципы обработки информации. Благодаря полной модели инфраструктуры выполняется автоматическое построение топологии сети, учитывающей конфигурацию сетевых устройств.

Доступны три модели комплекса MaxPatrol SIEM LE — для организаций с общим количеством сетевых узлов 250, 500 или 1000, переход между моделями выполняется при помощи простого апгрейда лицензии. MaxPatrol SIEM LE не содержит искусственных ограничений производительности, предлагает не менее 15 месяцев хранения данных на встроенных дисках (при среднем потоке 3000 EPS), до 5 лет с дополнительной аппаратной опцией, в режиме архивного хранения.

В ходе реализации проектов компания Positive Technologies подключает актуальные источники данных без дополнительных затрат, выполняет быструю миграцию с существующих SIEM-систем и обеспечивает единую техподдержку программно-аппаратного комплекса.

Работа SIEM позволяет увидеть более полную картину активности сети и событий безопасности, позволяющий решать все ключевых задачи для данного класса продуктов:

• качественный мониторинг того, что происходит в инфраструктуре компании;
• автоматическую корреляцию поступающих событий для выявления значимых;
• детектирование вредоносных программ;
• анализ сетевой активности, обнаружение сложных кибератак и неочевидных инцидентов;
• ретроспективное расследование инцидентов в области безопасности.

RuSIEM обеспечивает сбор событий информационной безопасности со всех узлов информационной инфраструктуры и всех подсистем, проводит автоматический анализ и корреляцию полученных событий с использованием алгоритмов машинного обучения, что позволяет без участия человека на ранней стадии выявлять инциденты информационной безопасности, в том числе сложные целенаправленные атаки, которые зачастую невозможно обнаружить каким-то одним средством информационной безопасности (антивирусом, межсетевым экраном, средством обнаружения вторжений и другими).

В новой версии KOMRAD Enterprise SIEM повышена стабильность сбора, фильтрации и корреляции событий информационной безопасности, увеличена производительность, реализована возможность самостоятельного подключения произвольных источников, переработан пользовательский интерфейс. Также впервые среди отечественных разработок систем подобного класса реализована кроссплатформенность: теперь поддерживается развертывание продукта на операционные системы семейств как Windows, так и Linux (Astra Linux, Ubuntu).

Ключевые характеристики KOMRAD Enterprise SIEM:

• централизованный сбор событий информационной безопасности с различных источников с помощью Syslog, WMI, SSH, FTP, SFTP, SNMP, sFlow, Netflow v5/v9 и SQL (MSSQL, MySQL, PostgreSQL, SQLite);
• разбор событий при помощи настраиваемых плагинов;
• фильтрация событий;
• визуализация данных;
• автоматическое выявление инцидентов по заданным директивам корреляции;
• гибкая настройка правил фильтрации и корреляции;
• инвентаризация информационных активов;
• управление инцидентами;
• агрегирование инцидентов;
• оповещение в реальном времени операторов системы;
• интеграция с ГосСОПКа;
• мониторинг компонентов системы;
• формирование отчетов;
• аудит действий пользователей.