SC SIEM замечает то, для чего ещё нет правила корреляции
В Security Capsule SIEM появился поведенческий анализ событий. Новый модуль запоминает обычную активность каждого хоста и отмечает отклонения: неизвестный тип события, новую программу, необычное значение поля, нетипичное время или резкое изменение количества событий.
Каждое срабатывание сопровождается объяснением причин и оценкой необычности. Аналитик видит, что именно изменилось, проверяет контекст и принимает решение: подтвердить наблюдение или отметить его ложным. Так правила корреляции получают дополнительный слой обнаружения, способный обратить внимание SOC на ранее неизвестное поведение.
Правила находят ожидаемое. Поведенческий анализ ищет необычное
Корреляционные правила незаменимы, когда команда знает признаки атаки и может описать их условиями. Но новый способ действий злоумышленника, изменение техники или аномальная активность внутри легитимного процесса могут не совпасть с заранее подготовленным сценарием.
Модуль MLEvents дополняет правила корреляции другим подходом: учится на истории событий инфраструктуры и сравнивает новые данные с тем, что обычно происходит на конкретном хосте. В фокус попадает не только известный индикатор, но и само изменение поведения.
От истории событий — к проверяемому сигналу
Поведенческий анализ встроен в рабочий процесс SOC: от обучения модели до подтверждения срабатывания и настройки точечных исключений.
- 01 Накопление истории SC SIEM получает стабильный поток событий от контролируемых источников
- 02 Обучение модели Формируется профиль обычного поведения хостов и типов событий
- 03 Проверка событий Новые данные сравниваются с профилем и оцениваются несколькими методами
- 04 Объяснение В карточке отображаются причины, оценка и исходное событие
- 05 Разбор аналитиком Специалист подтверждает срабатывание или отмечает его ложным
- 06 Настройка Команда уточняет модель и правила подавления на фактических данных
Какие изменения видит SC SIEM
Оператор получает не абстрактный балл, а понятную причину, по которой событие отличается от накопленного профиля.
Неизвестный тип события
Сообщение не похоже ни на один тип событий, известный модели.
Новая программа
Программа ранее не встречалась в инфраструктуре или на этом хосте.
Новое значение
В значимом поле появилось значение, нехарактерное для события или хоста.
Нетипичное время
Событие возникло в необычное для него время суток.
Новый источник
Хост, который раньше не отправлял события, появился в контролируемом потоке.
Необычный текст
В сообщении обнаружены редкие слова, структура или набор символов.
Аномалией может быть не только событие, но и тишина
MLEvents контролирует количество событий по отдельным хостам и по системе в целом. Если поток выходит за рассчитанные границы, SC SIEM создаёт срабатывание «Поток выше нормы» или «Поток ниже нормы».
Всплеск может указывать на массовую активность, ошибку конфигурации или развитие атаки. Падение потока помогает заметить остановку источника, потерю связи или другую ситуацию, при которой SOC рискует лишиться части наблюдаемости.
Несколько методов — один понятный результат для аналитика
Модуль сочетает профили поведения, статистические методы и алгоритмы поиска выбросов. Команда может управлять составом методов, их вкладом и способом объединения оценок.
Профили поведения
Новые хосты, программы, типы событий, значения полей и нетипичное время.
Структура события
Редкие сочетания признаков, новые слова и необычная форма сообщения.
Поиск выбросов
Isolation Forest, One-Class SVM, LOF, k-средних, DBSCAN, автоэнкодер и VAE.
Смысловая проверка
Дополнительная оценка текста события при подключённой модели эмбеддингов.
Модель учится, но контроль остаётся у команды SOC
Новые срабатывания поступают в отдельную очередь. Аналитик может открыть карточку, изучить причины и оценки методов, проверить исходное событие, добавить комментарий и изменить статус на «Подтверждено» или «Ложное».
Подтверждённая активность не включается в последующие обучения как нормальная. При ложном срабатывании специалист может создать точечное правило подавления — для конкретного хоста, типа события и выбранных причин. Правило можно проверить, пересмотреть или удалить.
Подтверждения, отметки ложных срабатываний, изменения правил и настроек, запуск обучения и выбор версии модели фиксируются в журнале действий пользователей.
Что поведенческий анализ даёт на практике
Дополнение правил корреляции
SOC получает сигналы о нетипичной активности, даже если готового сценария обнаружения для неё ещё нет.
Контекст вместо чёрного ящика
Причины, исходное событие и оценки методов позволяют проверить, почему система сочла активность необычной.
Контроль видимости
Отклонения потока помогают заметить всплеск телеметрии или снижение количества событий относительно нормы.
Настройка на своих данных
Профили формируются на истории конкретной инфраструктуры, а исключения уточняются командой по результатам реальной эксплуатации.
От набора известных признаков — к пониманию нормы
Поведенческий анализ расширяет модель обнаружения Security Capsule SIEM. Корреляционные правила продолжают выявлять известные последовательности и условия, а MLEvents добавляет наблюдение за отклонениями от нормального поведения.
Для команды SOC это единый процесс: увидеть необычную активность, понять причину сигнала, проверить исходные данные и зафиксировать решение в SC SIEM.
Проверьте поведенческий анализ на событиях своей инфраструктуры
На демонстрации команда ИТБ покажет обучение модели, очередь срабатываний, объяснение причин аномалии, контроль потока событий и работу правил подавления.
В рамках пилотного проекта можно оценить функционал на характерных для вашей инфраструктуры источниках и сценариях.
Подробнее о Security Capsule SIEM