Security Capsule SIEM

ОБОГАЩЕНИЕ ИНЦИДЕНТОВ

Модуль обогащения инцидентов интегрирован с системой Threat Intelligence (F6) и предоставляет детализированные сведения об источниках атак, инфраструктуре злоумышленников и используемых техниках. Это помогает выстраивать корреляцию по MITRE ATT&CK, выявлять скрытые связи и формировать проактивные сценарии защиты. Дополнительный контекст Threat Intelligence доступен оператору непосредственно в карточке инцидента и может быть получен по индикаторам в процессе расследования.

КОНТРОЛЬ ACTIVE DIRECTORY

Контроль Active Directory в SC SIEM — это гарантия того, что ключевая инфраструктура компании всегда под надёжным наблюдением. Руководитель получает уверенность: любые подозрительные изменения с учётными записями, группами или политиками фиксируются и не остаются незамеченными. Это снижает риск несанкционированного доступа и утечек, которые могут привести к репутационным и финансовым потерям.

Возможности модуля:

• Отслеживание изменений объектов AD и GPO;
• Контроль операций с учетными записями пользователей и групп;
• Аудит успешных и неуспешных попыток входа;
• Мониторинг сроков действия паролей и политик смены;
• Сохранение и анализ текущего состояния критичных объектов AD.

АКТИВЫ И АВТОМАТИЧЕСКАЯ ИНВЕНТАРИЗАЦИЯ

Раздел «Активы» помогает сформировать и поддерживать актуальный реестр объектов информационной инфраструктуры на основе сведений из уже подключённых к SC SIEM источников. Система опрашивает источники, обнаруживает новые рабочие станции, серверы и другие объекты и помещает их в список кандидатов для проверки оператором.

Оператор контролирует достоверность данных: применяет или отклоняет отдельные предложения, подтверждает кандидатов перед переносом в основной реестр и удаляет неподтверждённые записи. Такой подход снижает количество ложных связей и позволяет отделить полезные идентификаторы от сведений, полученных от нерелевантных источников.

При сканировании выполняется не только обнаружение новых активов, но и обогащение уже зарегистрированных: добавляются новые идентификаторы, сведения об установленном программном обеспечении и привязки к объектам-источникам. Доступно ручное и автоматическое периодическое обогащение.

УЯЗВИМОСТИ

SC SIEM интегрируется с ведущими отечественными сканерами (Сканер ВС, XSpider/MaxPatrol, RedCheck) и преобразует их длинные отчёты в структурированный веб-интерфейс. Данные о портах, службах и уязвимостях представлены в виде карточек узлов с рекомендациями по устранению. Результаты сканирования могут использоваться в корреляции событий, что позволяет связывать технические уязвимости с конкретными инцидентами безопасности.

ПОИСК И РУЧНОЕ РАССЛЕДОВАНИЕ

SC SIEM поддерживает оперативный поиск по событиям в MongoDB, а при необходимости — подключение опционального поискового слоя Elasticsearch. Оператор может использовать готовые шаблоны запросов для MongoDB и Elasticsearch, сохранять собственные поисковые задачи и быстро переключаться между сценариями проактивного поиска угроз, анализа инцидента и проверки гипотез.

В карточке инцидента доступна вкладка расследования с пользовательской хронологической шкалой. В неё можно добавлять события, связанные инциденты, IoC, URL, комментарии и заметки, формируя целостную картину атаки и действий аналитика в одном интерфейсе.

УПРАВЛЕНИЕ ИНЦИДЕНТОМ

SC SIEM поддерживает расширенное управление жизненным циклом инцидента. В карточке инцидента оператор может назначать ответственных пользователей и группы, устанавливать сроки выполнения, добавлять комментарии и переводить расследование по этапам в соответствии с внутренним процессом SOC.

Для инцидентов доступны 9 статусов расследования, а контроль допустимых переходов помогает поддерживать единообразный и управляемый процесс обработки. Дополнительно реализована доставка и выгрузка инцидентов во внешние процессы: JSON, webhook, электронная почта и Telegram.

ГОССОПКА

Для Значимых объектов критической информационной инфраструктуры (ЗОКИИ) незаменимым инструментом станет модуль ГосСОПКА.

Модуль ГосСОПКА в SC SIEM помогает компании соответствовать требованиям законодательства для ЗОКИИ и своевременно взаимодействовать с НКЦКИ. Руководитель получает уверенность, что организация не только защищена, но и выполняет все обязательные регуляторные процедуры, снижая риски штрафов и претензий надзорных органов.

Модуль ГосСОПКА интегрирован в SC SIEM и обеспечивает автоматизированное уведомление НКЦКИ о выявленных инцидентах ИБ. Поддерживается двустороннее взаимодействие: отправка сообщений, получение информационных бюллетеней, контроль статуса уведомлений. Всё это доступно в едином веб-интерфейсе, что упрощает выполнение регуляторных требований и сокращает нагрузку на специалистов SOC.

MITRE ATT&CK

В SC SIEM встроено отслеживание техник по матрице MITRE ATT&CK — от первоначального доступа (TA0001) и повышения привилегий (TA0004) до эксфильтрации данных (TA0010) и деструктивного воздействия (TA0040).

Система покрывает более 150 техник, а аналитик может расширять покрытие: создавать собственные правила корреляции или дорабатывать существующие под специфику инфраструктуры. Это помогает строить прозрачные сценарии реагирования и развивать защиту в логике мировых практик.

Если нужен полный перечень с детализацией покрытия по платформам и удобными фильтрами — откройте интерактивную матрицу.

ИНДИКАТОРЫ КОМПРОМЕТАЦИИ (IOCs)

Модуль IoC в SC SIEM позволяет заранее выявлять угрозы, сопоставляя активность в инфраструктуре с актуальными индикаторами компрометации. Руководитель получает уверенность, что специалисты ИБ видят не только сам факт атаки, но и её источник. Благодаря постоянным обновлениям от исследовательского центра CRATU, компания защищена 24/7 и всегда в курсе новых киберугроз.

Модуль IoC в SC SIEM автоматически сопоставляет события с индикаторами компрометации: IP-адресами, хешами, URL, доменами и другими артефактами. Поддерживается импорт из рассылок ФСТЭК и TI-платформ, ручная загрузка списков, присвоение тегов, критичности и логических групп. Специалисты могут фильтровать индикаторы для точного реагирования. IoC-фиды от CRATU регулярно пополняют базу, включая данные о десятках APT-группировок и кейсы реальных атак.

АНАЛИТИЧЕСКАЯ ПОДДЕРЖКА ИССЛЕДОВАТЕЛЬСКОГО ЦЕНТРА CRATU

Поддержка CRATU превращает SC SIEM в живую систему, которая постоянно обновляется новыми знаниями о киберугрозах. Компания получает не только продукт, но и встроенную экспертизу: свежие индикаторы компрометации, сценарии реагирования и рекомендации по защите от современных атак. Это снижает риски неожиданных инцидентов и повышает уверенность в том, что безопасность компании развивается вместе с угрозами.

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал

CRATU ThreatLens

CRATU ThreatLens — портал Threat Intelligence от CRATU для оперативной работы с индикаторами компрометации и аналитикой атак. Здесь собраны IOCs (IP/домены/URL/хэши), описания кампаний и семейств, связанная инфраструктура злоумышленников и поведенческие признаки. Портал помогает быстро проверить подозрительный артефакт, понять его контекст (откуда “прилетело”, с чем связано, насколько актуально). Всё — в одном месте, без ручного “гуглинга” по разрозненным источникам.

Следите за киберугрозами вместе с экспертами CRATU!
Анализ реальных атак, техники APT-групп, новые уязвимости, практические рекомендации и доля иронии — всё, как вы любите.

CRATU — ваш инсайдерский источник по кибербезопасности. Подписывайтесь на наш Telegram-канал