Компания R-Vision выпустила версию R-Vision SIEM 2.5 — систему управления событиями информационной безопасности. Релиз отмечается нововведениями, направленными на улучшение аналитики, автоматизацию реагирования и повышение удобства работы SOC-команд.
Главное новшество — раздел «Покрытие MITRE ATT&CK», который показывает, какие техники и подтехники фреймворка уже покрываются существующими правилами детектирования.
Это помогает специалистам быстро понять, какие угрозы система распознаёт, а какие требуют доработки.
В R-Vision SIEM также появилась возможность управлять конечными устройствами напрямую — выполнять действия активного реагирования, например:
- удалять подозрительные файлы;
- изолировать заражённый узел;
- останавливать процессы;
- блокировать домены и IP-адреса через добавление записей в hosts (техника DNS Sinkholing).
Такие функции упрощают оперативное реагирование и позволяют аналитикам моментально пресекать угрозы без переключения между системами.
Обновление также затронуло пользовательский интерфейс и работу с событиями. Теперь можно:
- добавлять события в «Избранное», чтобы собирать все ключевые артефакты расследования в одном месте;
- сравнивать события построчно, чтобы видеть различия между текущим и эталонным инцидентом;
- создавать виджеты прямо из поиска и сразу визуализировать результаты.
Кроме того, дашборды теперь поддерживают переменные — достаточно изменить одно значение, чтобы обновился весь отчёт, что заметно ускоряет анализ.
В новой версии реализована обновлённая модель событий, основанная на принципе «субъект–объект». Она делает данные более понятными и единообразными для аналитиков и инженеров. Появилась поддержка динамических полей с JSON-структурами, к которым можно обращаться напрямую через RQL-запросы.
Другие улучшения:
- Поддержка сбора событий по FTP и SMB.
- Аудит изменений активных списков, включая действия пользователей и правил корреляции.
- Определение источников событий по маске, без привязки к конкретным точкам входа.
Как отмечают разработчики, новая версия делает SIEM более удобным инструментом для оперативного анализа и реагирования, когда аналитик может не только видеть картину событий, но и сразу действовать.
Комментирует Сергей Хайрук, аналитик InfoWatch:
«Сейчас бывшему сотруднику предъявлены обвинения в компьютерном взломе. Однако если полиция докажет, что злоумышленник собирался продать полученные данные или использовать их в мошеннических целях, его действия, скорее всего, переквалифицируют и предъявят более тяжкое обвинение в «краже личности». Впрочем, интересно другое – информационная система госпиталя оказалась совершенно не подготовлена к саботажу со стороны уволенного сотрудника. Складывается ощущение, что руководство госпиталя даже не рассматривало риск неправомерных действий персонала в отношении данных пациентов».