Компания R-Vision выпустила версию R-Vision SIEM 2.5 — систему управления событиями информационной безопасности. Релиз отмечается нововведениями, направленными на улучшение аналитики, автоматизацию реагирования и повышение удобства работы SOC-команд.
Главное новшество — раздел «Покрытие MITRE ATT&CK», который показывает, какие техники и подтехники фреймворка уже покрываются существующими правилами детектирования.
Это помогает специалистам быстро понять, какие угрозы система распознаёт, а какие требуют доработки.
В R-Vision SIEM также появилась возможность управлять конечными устройствами напрямую — выполнять действия активного реагирования, например:
- удалять подозрительные файлы;
- изолировать заражённый узел;
- останавливать процессы;
- блокировать домены и IP-адреса через добавление записей в hosts (техника DNS Sinkholing).
Такие функции упрощают оперативное реагирование и позволяют аналитикам моментально пресекать угрозы без переключения между системами.
Обновление также затронуло пользовательский интерфейс и работу с событиями. Теперь можно:
- добавлять события в «Избранное», чтобы собирать все ключевые артефакты расследования в одном месте;
- сравнивать события построчно, чтобы видеть различия между текущим и эталонным инцидентом;
- создавать виджеты прямо из поиска и сразу визуализировать результаты.
Кроме того, дашборды теперь поддерживают переменные — достаточно изменить одно значение, чтобы обновился весь отчёт, что заметно ускоряет анализ.
В новой версии реализована обновлённая модель событий, основанная на принципе «субъект–объект». Она делает данные более понятными и единообразными для аналитиков и инженеров. Появилась поддержка динамических полей с JSON-структурами, к которым можно обращаться напрямую через RQL-запросы.
Другие улучшения:
- Поддержка сбора событий по FTP и SMB.
- Аудит изменений активных списков, включая действия пользователей и правил корреляции.
- Определение источников событий по маске, без привязки к конкретным точкам входа.
Как отмечают разработчики, новая версия делает SIEM более удобным инструментом для оперативного анализа и реагирования, когда аналитик может не только видеть картину событий, но и сразу действовать.
Сергей Хайрук, аналитик InfoWatch:
«Недавнее совместное исследование Ponemon Institute и Experian показывает, что утечки не особенно волнуют даже клиентов финансовых компаний. 55% участников опроса после уведомления о компрометации их данных не делают вообще ничего. Но это позиция, скажем так, простых клиентов.
Коммерческие организации напротив очень серьезно относятся к утечкам информации. Сейчас тема утечек раскручена донельзя, и любые информационные вбросы отражаются на репутации. В случае с публичными компаниями, сообщения об утечках прямо влияют на котировки. Достаточно вспомнить историю с утечкой в HTC, которая спровоцировала падение акций компании на 6,4%».