Корреляция и управление событиями информационной безопасности

ИТ-инфраструктура современной компании, как правило, является гетерогенной и состоит из большого количества элементов разных производителей и различного назначения. При работе этих устройств формируются журналы регистрации различных форматов и интенсивности поступления событий.

Для эффективной обработки вышеуказанного потока событий с целью выявления инцидентов и своевременного на них реагирования требуется применение специализированных средств автоматизации по сбору и анализу событий безопасности (Security Information and Event Management — SIEM).

SIEM-система собирает информацию, анализирует ее (и генерирует предупреждающее сообщение), складывает в базы данных, анализирует поведение на основании предыдущих наблюдений (и генерирует предупреждающее сообщение).

На практике схема реализуется с помощью соответствующих компонентов:

• Агенты (сбор данных из различных источников);
• Серверы-коллекторы (аккумуляция информации, поступившей от агентов);
• Сервер баз данных (хранение информации);
• Сервер корреляции (анализ информации).

Таким образом, применение SIEM-решений позволяет существенно оптимизировать работу по анализу журналов регистрации с целью выявления и пресечения инцидентов ИБ. Кроме оптимизации управления инцидентами ИБ, применение данных автоматизированных средств позволяет выполнить требования, предъявляемые со стороны международных стандартов, таких как PCI DSS и других.

Компания ARinteg предоставляет услуги по внедрению систем управления событиями ИБ, на базе решений:

Positive Technologies MaxPatrol SIEM

В MaxPatrol SIEM информация об инфраструктуре постоянно обогащается данными из новых событий, результатов сканирований, сетевого трафика и агентов на конечных точках, создавая полную IT-модель предприятия.

Изменения IT-инфраструктуры автоматически отображаются в модели инфраструктуры и учитываются в работе корреляционных правил, не требуя трудоемкой ручной перенастройки.

Платформа MaxPatrol использует общепризнанный стандарт CVSS и позволяет приоритизировать активы, группы активов, события и уязвимости и присвоить им стандартизированные метрики в рамках единой платформы.

В SIEM-систему включена широкая функциональность удаленного безагентного сбора данных с поддержкой основных видов транспорта. Помимо этого, используются дополнительные агенты для анализа сетевой активности и сбора низкоуровневой информации с конечных точек.

Глубокое понимание инфраструктуры, автоматическая адаптация системы к изменениям и уникальный механизм передачи ИБ-экспертизы в продукт MaxPatrol SIEM позволяют эффективно выявлять новые угрозы и целенаправленные атаки.