Рост числа кибератак, усложнение схем атакующих и острая нехватка специалистов по информационной безопасности заставляют организации всё активнее внедрять автоматизированные системы реагирования. Одним из таких решений стала Security Vision NG SOAR — платформа, которая объединяет управление инцидентами, оркестрацию средств защиты и машинное обучение.
По оценкам экспертов, в мире сейчас открыто более 3,5 миллиона вакансий для специалистов по кибербезопасности, и каждая автоматизация в SOC становится реальным спасением.
NG SOAR, сертифицированный всеми регуляторами (ФСТЭК, ФСБ и Минобороны РФ), помогает компаниям выстраивать процессы реагирования с минимальным участием человека, подключая все источники данных и инструменты безопасности в единую экосистему.
Система позволяет работать по стандартным фазам обработки инцидента — от обнаружения и анализа до устранения и восстановления, полностью автоматизируя каждую стадию. Главный элемент продукта — динамические плейбуки, которые подстраиваются под контекст инцидента: тип атаки, используемые техники и доступные средства защиты. Таким образом, система сама формирует сценарий реагирования и предлагает аналитикам оптимальные шаги.
«Мы остановили выбор на Security Vision SOAR, поскольку автоматизация существенно снижает трудозатраты на уведомления и отчётность, а также ускоряет анализ уязвимостей и управление конфигурациями», — рассказал Андрей Нуйкин, начальник отдела обеспечения безопасности информационных систем компании «Евраз».
Security Vision NG SOAR интегрируется с центрами реагирования регуляторов — ГосСОПКА НКЦКИ, FinCERT ЦБ, а также с внешними ИБ-сервисами: песочницами, антивирусами, платформами Threat Intelligence и решениями для управления уязвимостями. Всё это даёт возможность выстраивать полную цепочку реагирования — от обнаружения до отчёта.
В продукт встроены ML-модели, которые анализируют накопленный опыт SOC-команд:
- определяют вероятность ложноположительных срабатываний (False Positive);
- находят похожие инциденты и подсказывают, как они решались ранее;
- дают рекомендации по действиям на разных этапах расследования;
- отвечают на вопросы аналитиков по документации и базе знаний.
«На базе Security Vision можно реализовать практически любой сценарий реагирования. Подход low-code и встроенные ML-инструменты позволяют быстро адаптировать систему под специфику конкретной инфраструктуры», — отметил Вячеслав Касимов, директор департамента информационной безопасности Московского кредитного банка.
Кроме того, NG SOAR поддерживает визуальные графы связей, интерактивные карты атак и тепловые карты техник MITRE ATT&CK. Это помогает специалистам не только отслеживать ход атаки, но и понимать, какие методы используют злоумышленники, и какие средства защиты оказались наиболее эффективными.
«Мы перезапустили нашу IRP-платформу на базе Security Vision — это позволило кратно ускорить реагирование на инциденты», — поделился опытом Павел Гончаров, заместитель директора по развитию Solar JSOC.
Сегодня решения Security Vision применяются в финансовом секторе, госсекторе и крупных коммерческих SOC. Компании отмечают, что российские разработки этого класса уже достигли уровня зрелости западных аналогов и нередко превосходят их по функциональности и возможностям интеграции.
Комментирует Сергей Хайрук, аналитик InfoWatch: