В MaxPatrol SIEM упростили и ускорили процесс подключения новых источников событий — теперь это можно сделать примерно в два раза быстрее, чем раньше. Раньше на всё уходил месяц: нужно было поднимать стенд, получать события, писать правила нормализации, корреляции, обогащения.
Теперь в некоторых случаях можно обойтись без написания правил корреляции — достаточно правильно настроить нормализацию. Система применит к источнику уже готовые универсальные правила, разработанные экспертами.
Это особенно удобно, если речь идёт о редком или специфичном ПО — например, о внутренней SCADA-системе или NGFW, сделанном под заказ. Главное, чтобы данные с источника были грамотно нормализованы — тогда можно сразу использовать правила для выявления таких событий, как:
- входы от имени критически важных пользователей или учётных записей по умолчанию;
- действия с ролями и группами;
- отключение защитных механизмов;
- доступ к конфиденциальным данным;
- подозрительный трафик и обращения к вредоносным доменам;
- IoC в user agent'ах и другие признаки компрометации.
Помимо этого, улучшения коснулись и поведенческого анализа. Если в системе подключён модуль MaxPatrol BAD, то SIEM теперь умеет:
- группировать события с высоким уровнем риска;
- автоматически повышать приоритет инцидента, если BAD считает поведение подозрительным;
- определять, какие узлы подвергаются вредоносной активности (если несколько событий с высоким риском приходят с одного узла);
- блокировать события с высоким риском от случайного признания ложным срабатыванием — они сразу попадают в «чёрный список»;
- настраивать порог чувствительности к рискам через таблицу.
Кроме того, в системе появился новый пакет правил для анализа сетевого трафика по протоколам NetFlow и IPFIX — это позволяет отслеживать подозрительную активность и расширить покрытие инфраструктуры. В частности, можно отслеживать сканирование, брутфорс, SYN-flood и другие сетевые угрозы.
