Пусть падают снежинки, а не письма от злоумышленников! Обезопасьте бизнес с Kaspersky Security для почтовых серверовРеклама, АО "Лаборатория Касперского", ИНН 7713140469, 16+Системы мониторинга событий безопасности
Системы сбора и анализа событий по информационной безопасности
Описание и назначение
Мониторинга событий информационной безопасности — это процесс проверки всех событий безопасности, получаемых от различных источников. Источниками событий могут быть антивирусные системы, журналы операционных систем, сканеры анализа защищенности инфраструктуры, сетевое оборудование и другие источники, расположенные в инфраструктуре организации.
Системы мониторинга событий можно разделить на следующие категории:
- SIEM — системы для управления событиями, полученными из различных источников, позволяющие анализировать события в режиме реального времени.
- UBA — системы, осуществляющие сбор и анализ действий пользователей для поиска возможных внутренних угроз и атак.
- UEBA — системы с функцией поиска аномалий в поведении сотрудников и различных систем.
- Системы контроля эффективности сотрудников, позволяющие анализировать действия пользователей на рабочем месте и контролировать их действия при работе с конфиденциальной информацией.
- Системы поиска и обнаружения атак, которые направлены на повышение уровня защищенности инфраструктуры организации.
Системы мониторинга событий позволяют проводить инвентаризацию ресурсов автоматизированными средствами, анализировать сетевые приложения, оборудование и веб-сервисы, сокращать затраты на проведение аудита, автоматизировать процесс управления уязвимостями и обеспечивать контроль соответствия политикам информационной безопасности, принятым в организации.
Системы мониторинга событий, как правило, состоят из четырех компонентов:
- Программные агенты. Такие агенты необходимы для обеспечения сбора информации, которая поступает от источников (программное обеспечение, средства защиты информации, аппаратные компоненты инфраструктуры).
- Сервер. Этот модуль позволяет выполнять обработку событий безопасности централизованно. Сервер аккумулирует информацию, которая поступает от программных агентов, и обрабатывает поступающие события на основе политик и правил, которые были настроены администраторами безопасности компании.
- Хранилище данных. Все события безопасности, которые поступают от агентов, передаются на хранение в хранилище данных. У администратора безопасности всегда есть возможность обратиться к событиям, которые были зарегистрированы в последние несколько недель, месяцев (в зависимости от размеров хранилища данных).
- Консоль управления. Для того чтобы настраивать параметры обработки поступающих событий безопасности, администратору безопасности предоставляется инструмент настройки — консоль централизованного управления. В ней же он может просматривать события информационной безопасности и обращаться к хранилищу данных.
Чтобы корректно настроить мониторинг событий, необходимо определить некоторые параметры и выполнить следующее:
- определить, что считать инцидентом информационной безопасности, и то, какие типы инцидентов могут быть присущи конкретной организации;
- определить, какие события могут предшествовать инциденту информационной безопасности;
- определить, что будет являться источником инцидента информационной безопасности;
- определить, какие риски могут быть связаны с выбранными инцидентами, и выстроить все риски в соответствии с их приоритетом и важностью в организации.
При выборе системы мониторинга событий необходимо учитывать количество источников событий, которые могут обрабатываться системой мониторинга, возможности анализа событий выбранной системы мониторинга, удобство пользования системой мониторинга (возможности консоли управления, детализация параметров настройки системы мониторинга), а также возможности системы мониторинга по визуализации данных и построению отчетов.
Список средств защиты
R-Vision Threat Intelligence Platform (TIP) – специализированная платформа анализа информации об угрозах
Сервис ESET Threat Intelligence предоставляет доступ к информации о деятельности киберпреступников
HP ArcSight осуществляет сбор, обработку, сопоставление и реагирование на такие события, предоставляя всеобъемлющие функции масштабируемости, защиты и отказоустойчивости.
IBM® QRadar® SIEM находит отклоонения, выявляет сложные угрозы и исключает ложные срабатывания. Это решение сводит данные из протоколов событий и сетевых потоков с тысяч конечных устройств и приложений, распределенных в сети.
McAfee Enterprise Security Manager — решение для управления информацией о безопасности и событиями безопасности (SIEM), обеспечивающее сбор информации об угрозах и интеграцию средств защиты с целью приоритизации, расследования и устранения угроз.
RSA NetWitness Suite оптимизирована для мониторинга широкого спектра атак, что обеспечивает повышенную степень понимания, необходимую специалистам по безопасности для эффективного пресечения вредоносной кампании, а не только точечной.
Splunk Enterprise Security (ES) — система управления информационной безопасностью и событиями, которая формирует подробную картину машинных данных, создаваемых различными технологиями безопасности (сеть, конечные точки, доступ).
Программный комплекс для обнаружения инцидентов ИТ, ИБ и бизнес-процессов в режиме реального времени на основе симптоматической модели, корреляции, с применением AI (Artificial Intelligence).
Zecurion Staff Control ведёт учёт рабочего времени и журналы действий сотрудников на рабочих местах, оценивает эффективность и проверяет деятельность персонала на соответствие корпоративным стандартам и политикам безопасности.
КОМРАД – гибкая и производительная система централизованного управления событиями информационной безопасности, совместимая с отечественными средствами защиты информации.