Компания R-Vision выпустила версию R-Vision SIEM 2.5 — систему управления событиями информационной безопасности. Релиз отмечается нововведениями, направленными на улучшение аналитики, автоматизацию реагирования и повышение удобства работы SOC-команд.
Главное новшество — раздел «Покрытие MITRE ATT&CK», который показывает, какие техники и подтехники фреймворка уже покрываются существующими правилами детектирования.
Это помогает специалистам быстро понять, какие угрозы система распознаёт, а какие требуют доработки.
В R-Vision SIEM также появилась возможность управлять конечными устройствами напрямую — выполнять действия активного реагирования, например:
- удалять подозрительные файлы;
- изолировать заражённый узел;
- останавливать процессы;
- блокировать домены и IP-адреса через добавление записей в hosts (техника DNS Sinkholing).
Такие функции упрощают оперативное реагирование и позволяют аналитикам моментально пресекать угрозы без переключения между системами.
Обновление также затронуло пользовательский интерфейс и работу с событиями. Теперь можно:
- добавлять события в «Избранное», чтобы собирать все ключевые артефакты расследования в одном месте;
- сравнивать события построчно, чтобы видеть различия между текущим и эталонным инцидентом;
- создавать виджеты прямо из поиска и сразу визуализировать результаты.
Кроме того, дашборды теперь поддерживают переменные — достаточно изменить одно значение, чтобы обновился весь отчёт, что заметно ускоряет анализ.
В новой версии реализована обновлённая модель событий, основанная на принципе «субъект–объект». Она делает данные более понятными и единообразными для аналитиков и инженеров. Появилась поддержка динамических полей с JSON-структурами, к которым можно обращаться напрямую через RQL-запросы.
Другие улучшения:
- Поддержка сбора событий по FTP и SMB.
- Аудит изменений активных списков, включая действия пользователей и правил корреляции.
- Определение источников событий по маске, без привязки к конкретным точкам входа.
Как отмечают разработчики, новая версия делает SIEM более удобным инструментом для оперативного анализа и реагирования, когда аналитик может не только видеть картину событий, но и сразу действовать.
Сергей Хайрук, аналитик InfoWatch:
«С начала 2014 года мы зафиксировали чуть менее 80 утечек данных из американских учебных заведений. В подавляющем большинстве это утечки злонамеренного характера. Злоумышленники буквально охотятся за персональными данными студентов, преподавателей, выпускников, пользуясь относительно слабой защитой ПДн в вузах. Так в феврале 2014 года стало известно об инциденте в университете Северной Дакоты. Тогда утекло около 300 тыс. записей. От столь же масштабной утечки пострадал университет Мэриленда. Данные 146 тыс. человек скомпрометированы в университете Индианы. Если несколько лет назад сравнительно большая доля утечек из учебных заведений объяснялась халатностью персонала, сейчас впору говорить о целенаправленном интересе мошенников к университетским базам данных».