Вышла новая версия программы MaxPartol SIEM 2.0

Компания Positive Technologies сообщает о выходе новой версии системы сбора и анализа событий информационной безопасности — MaxPatrol SIEM 2.0. Данную версию отличают упрощенный подход к формированию корреляционных правил, а также расширенные возможности по расследованию инцидентов, основанному на ретроспективном мониторинге состояния всех активов IT-инфраструктуры.

В результате кардинально снижается число ложных срабатываний системы при работе с большими объемами данных. Также в MaxPatrol SIEM 2.0 была значительно расширена база знаний о поддерживаемых источниках данных (в том числе отечественных). Модернизированный интерфейс новой версии позволяет работать с наибольшей эффективностью.

«Год назад мы выпустили первый релиз MaxPatrol SIEM, и к сегодняшнему дню уже выполнено около полусотни внедрений и "пилотов" в компаниях разного масштаба, в различных сферах бизнеса. В ходе проектной работы у нас сформировалось представление о задачах, с которыми каждый день сталкивается подавляющее большинство специалистов по информационной безопасности. При работе над новой версией продукта мы, среди прочего, ставили перед собой цель создать удобный и эффективный инструмент, максимально соответствующий потребностям пользователя», — поясняет Владимир Бенгин, руководитель отдела поддержки продаж, Positive Technologies.

MaxPatrol SIEM 2.0 оперирует не только событиями ИБ, но и реальными сущностями инфраструктуры в любой момент времени — аккумулирует всю информацию о сети, ее узлах и конфигурациях (в том числе о виртуальных машинах), позволяя построить полную модель IT-инфраструктуры и видеть всю картину происходящего.

Также система дает возможность использовать в правилах корреляции любую информацию об активах (от перечня установленного ПО, прав доступа до списка уязвимостей) и оценивать степень риска каждого инцидента. Благодаря этому в разы снижается частота ложных срабатываний системы, а ИБ-специалисты получают инструмент оперативного расследования инцидентов безопасности с привязкой к конкретным объектам наблюдения.

Обновленный интерфейс системы обеспечивает гибкую работу с данными (включая механизмы сортировки, группировки, фильтрации, поиска, переработанные в соответствии с насущными потребностями ИБ-специалиста) и позволяет формировать отчеты различной сложности, отражающие реальное состояние информационной безопасности (в том числе «из коробки»).

В новой версии реализована возможность создания правил корреляции, в соответствии с которыми разрозненные события объединяются в инциденты, прямо из веб-интерфейса. В результате процесс ручного создания правил в некоторых случаях сократился до нескольких минут.

Продукт обладает обширной базой знаний о поддерживаемых источниках (совместим с оборудованием ведущих зарубежных вендоров, позволяет подключать в качестве источников событий средства защиты большинства отечественных производителей: Dr.Web, Kaspersky Lab, «Континент», «С-Терра», InfoWatch, Secret Net, ViPNet) и имеет более 100 преднастроенных правил корреляции.

MaxPatol SIEM 2.0 является решением enterprise-уровня, соответствующим всем требованиям по стабильности и производительности в условиях высоконагруженных корпоративных систем.

Технические инновации и полностью открытый API MaxPatol SIEM 2.0 позволяют осуществлять его внедрение или переход с других решений класса SIEM практически незаметно для бизнес-процессов организации.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

MaxPatrol SIEM способен выявить горизонтальное перемещение атакующих

В MaxPatrol SIEM загружен второй пакет экспертизы, выявляющий атаки с применением одной из тактик модели MITRE ATT&CK для операционной системы Windows. Теперь пользователи MaxPatrol SIEM могут детектировать активность злоумышленников не только с использованием тактик «Выполнение» и «Обход защиты», но и тактики «Горизонтальное перемещение». Это позволяет обнаружить попытки расширения присутствия атакующих в сети до того, как они получат контроль над инфраструктурой.

Злоумышленники используют техники горизонтального перемещения для получения доступа и управления удаленными системами в сети, установки вредоносных программ и постепенного расширения присутствия в инфраструктуре. Основная цель атакующих — определение администраторов в сети, их компьютеров, ключевых активов и данных, чтобы в конечном счете получить полный контроль над инфраструктурой. В пакет экспертизы вошли 18 правил корреляции, которые помогают выявить наиболее актуальные техники.

«Критически важно детектировать активность атакующего на начальных этапах горизонтального перемещения, — комментирует Антон Тюрин, руководитель отдела экспертных сервисов PT Expert Security Center. — Если он завладеет административными привилегиями, то сможет получить доступ к любым учетным записям и серверам и таким образом быстро расширить свое присутствие вплоть до контроля над инфраструктурой. Для пользователей MaxPatrol SIEM мы разработали набор правил, который позволяет выявлять самые распространенные шаги злоумышленников».

Загруженный в MaxPatrol SIEM пакет экспертизы позволяет выявить следующие действия злоумышленников в рамках горизонтального перемещения:

  • Нелегитимное подключение к системам по протоколу удаленного рабочего стола Remote Desktop Protocol (RDP).
  • Попытки перехвата сеанса пользователя по протоколу RDP.
  • Использование учетных записей уровня администратора для удаленного доступа к системам через протокол Server Messаge Block (SMB), с тем чтобы передавать файлы и запускать их.
  • Удаленное копирование файлов на систему жертвы для развертывания хакерских инструментов и удаленного их выполнения.
  • Использование связующего программного обеспечения Distributed Component Object Model (DCOM). С его помощью злоумышленники, работающие от имени пользователя с соответствующими привилегиями, могут удаленно выполнять команды.
  • Применение механизма администрирования Windows Remote Management (WinRM) для работы с удаленными системами, например для запуска исполняемого файла, изменения системного реестра или приложений Windows.

Дополнительно в пакет включены правила, которые выявляют техники атакующих, относящиеся по матрице ATT&CK к тактике «Выполнение». Практика расследований, проводимых командой PT Expert Security Center, показывает, что такие техники применяются и для горизонтального перемещения. Например, удаленное создание задач, применение утилиты администрирования WinExec для выполнения команд и расширения присутствия, использование Windows Management Instrumentation (WMI) для управления и доступа к удаленным системам, попытки доступа к файловым ресурсам на удаленных системах.

Это второй пакет экспертизы из специальной серии, в создании которой участвует команда PT Expert Security Center — для покрытия всех 12 тактик матрицы MITRE ATT&CK. Каждый пакет из серии будет направлен на выявление атак с применением одной или нескольких тактик. До конца 2019 года серия пакетов экспертизы дополнится пакетами для выявления тактик закрепления (Persistence), получения учетных данных (Credential Access) и разведки (Discovery).

Пакеты экспертизы, уже загруженные в MaxPatrol SIEM, пополняются правилами по мере появления новых техник, тактик и процедур атак. Так, одновременно с выходом пакета экспертизы для выявления горизонтального перемещения первый пакет из серии дополнен двумя правилами корреляции.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru