Активы становятся частью контекста расследования
Новый раздел «Активы» помогает обнаруживать объекты информационной инфраструктуры по данным подключённых источников, формировать контролируемый реестр и поддерживать сведения об активах в актуальном состоянии.
Security Capsule SIEM связывает сведения об активах с событиями, инцидентами, уязвимостями и аналитическими показателями. В результате оператор работает не только с отдельными записями телеметрии, но и с контекстом конкретного ресурса.
Почему службе ИБ важно видеть не только события, но и активы
Событие безопасности становится значительно полезнее, когда оператор понимает, к какому серверу, рабочей станции, программному компоненту или другому объекту инфраструктуры оно относится.
Неучтённые или неактуально описанные активы создают слепые зоны: затрудняют расследование инцидентов, оценку влияния угроз, анализ уязвимостей и определение приоритетов реагирования.
Новый функционал SC SIEM помогает сформировать единое представление об объектах, находящихся в контролируемой инфраструктуре.
Как SC SIEM формирует и актуализирует реестр активов
Сканирование выполняется непосредственно из раздела «Активы». SC SIEM получает сведения из настроенных источников, сопоставляет их с зарегистрированными объектами и формирует предложения для оператора.
- 01 Опрос источников Active Directory, Сканер-ВС и другие подключённые системы
- 02 Сопоставление Сравнение полученных сведений с существующими активами
- 03 Кандидаты Новые объекты и предложения по обновлению данных
- 04 Проверка Подтверждение, отклонение или пропуск предложений оператором
- 05 Регистрация Подтверждённый объект включается в основной реестр
- 06 Обогащение Актуализация идентификаторов, ПО и связей с источниками
От обнаруженного объекта — к подтверждённому активу
Новый раздел разделяет автоматический сбор сведений и управляемое решение оператора. Это позволяет использовать автоматизацию без потери контроля над составом реестра.
Обнаружение объектов
SC SIEM опрашивает подключённые источники данных и формирует перечень обнаруженных кандидатов в информационные активы.
Контроль достоверности
Оператор проверяет найденные записи и решает, какие объекты перенести в реестр активов, а какие исключить как неподтверждённые.
Обогащение сведений
Для зарегистрированных активов система получает новые идентификаторы, сведения об установленном ПО и связи с объектами-источниками.
Единая карточка актива
После подтверждения объект переносится в основной список активов. Для него становится доступна отдельная карточка ресурса с подробными сведениями, необходимыми для мониторинга и анализа защищённости.
Общие сведения
Основные атрибуты объекта, параметры актива и доступная информация о ресурсе.
Идентификаторы
Связанные с активом идентификаторы, полученные от разных источников данных.
Статистика
Сводные данные по событиям и инцидентам, относящимся к выбранному активу.
Уязвимости
Статистика выявленных уязвимостей, доступная в контексте конкретного ресурса.
Ручное и автоматическое обогащение
Оператор может запустить обогащение отдельно для выбранного актива. SC SIEM повторно обращается к подключённым источникам и выводит новые сведения, которые можно добавить в карточку: идентификаторы, установленное программное обеспечение и привязки к объектам в системах-источниках.
Для каждого актива также можно задать интервал автоматического обогащения. При необходимости автоматический опрос может быть отключён.
Что видно по зарегистрированным активам
В аналитических виджетах участвуют подтверждённые объекты, перенесённые в основной реестр. Это помогает оценивать состав инфраструктуры и связанную с активами активность.
Распределение активов
Количество зарегистрированных объектов с распределением по типам.
Статистика активов
Суммарные события и инциденты с разбивкой по уровням критичности.
Топ-5 активов
Пять объектов с наибольшей активностью за выбранный период.
График активности
Динамика событий и инцидентов по дням с разбивкой по критичности.
Что новый функционал даёт на практике
Поиск неучтённых объектов
Опрос подключённых источников и формирование кандидатов помогают сокращать слепые зоны в контролируемой инфраструктуре.
Поддержание актуальности
Ручное и автоматическое обогащение карточек уменьшает объём ручной сверки сведений между разными системами.
Приоритизация анализа
Топ активов, статистика событий, инцидентов и уязвимостей помогают быстрее выделять наиболее активные и требующие внимания объекты.
Контекст расследования
Единый контекст конкретного ресурса помогает оператору оценивать влияние инцидента на инфраструктуру.
От мониторинга событий — к контролю инфраструктуры
Появление раздела «Активы» развивает Security Capsule SIEM как единую платформу, объединяющую сведения об объектах инфраструктуры, событиях, инцидентах и выявленных уязвимостях.
Для службы информационной безопасности это означает возможность работать не с разрозненными записями из разных систем, а с подтверждёнными активами и связанным с ними контекстом в едином интерфейсе.
Новый раздел «Активы» уже доступен
На демонстрации команда ИТБ покажет сканирование подключённых источников, обработку кандидатов, карточку ресурса и аналитические виджеты.
Функционал можно также проверить в рамках пилотного проекта на инфраструктуре заказчика.
Скачать презентацию