MaxPatrol SIEM 5.0 позволяет проводить ретроспективный анализ данных

MaxPatrol SIEM 5.0 позволяет проводить ретроспективный анализ данных

Positive Technologies обновила систему выявления инцидентов MaxPatrol SIEM. Новая версия (5.0) позволяет проводить ретроспективный анализ и мониторинг информационной безопасности в распределенных инфраструктурах. Также в продукте появились конструкторы правил корреляции и отчетов и ряд улучшений, упрощающих работу оператора системы.

Одна из ключевых новинок — конструктор правил корреляции: теперь собственные правила пользователь MaxPatrol SIEM может создавать в несколько кликов, не используя какой-либо специальный язык программирования. В конструкторе используются макросы для быстрой подстановки часто применяемых или сложных для самостоятельного написания фрагментов программного кода. Набор предустановленных макросов регулярно пополняется и может расширяться пользователем самостоятельно.

В системе появилась возможность проводить ретроспективный анализ по индикаторам компрометации. С его помощью MaxPatrol SIEM поможет обнаружить атаку, произошедшую в прошлом, и предотвратить ее дальнейшее развитие. Продукт содержит ежедневно пополняемую базу индикаторов Positive Technologies, а также поддерживает индикаторы компрометации, разработанные «Лабораторией Касперского» и Group-IB. Пользователь системы должен разово активировать функцию проверки событий ИБ с помощью индикаторов компрометации, а далее MaxPatrol SIEM в автоматическом режиме запускает ретроспективный анализ при каждом пополнении базы индикаторов.

Расширились возможности мониторинга для компаний с крупной иерархической инфраструктурой: теперь можно получать актуальные данные о состоянии ИБ во всей организации в любой момент и выявлять распределенные атаки на инфраструктуру отдельного подразделения или целого предприятия. Инструментарий системы позволяет визуализировать архитектуру и иерархию развернутых конфигураций MaxPatrol SIEM и настроить прозрачные правила обмена информации между ними.

В новой версии MaxPatrol SIEM пользователи смогут формировать собственные отчеты с данными об активах, событиях и инцидентах в выбранный интервал времени (при этом рекомендованный производителем системы срок хранения данных составляет три месяца, в архивах — до полугода). Информация в отчет подгружается в виде виджетов (доступны стандартные и пользовательские виджеты). Структура и внешний вид отчета настраиваются в удобном конструкторе с привычным интерфейсом, аналогичным Microsoft Word.

Сделаны и другие улучшения, нацеленные на повышение удобства работы с продуктом. Расшились варианты визуализации данных: появились новые диаграммы и табличная форма представления информации на дашбордах. Упростились наиболее актуальные сценарии работы оператора: например, теперь пользователь может создавать задачи сбора событий и сканирования активов путем копирования уже существующих, что позволило сократить время внедрения SIEM в крупной инфраструктуре почти в два раза. Еще одно полезное новшество: возможность сравнивать состояния актива, информация о которых была собрана в разные моменты времени, или просмотреть все последовательные изменения его состояния между этим моментами. Это позволит сократить трудозатраты при расследовании инцидентов или анализе причин изменения уровня защищенности, а также уменьшить число необходимых для этого инструментов.

«MaxPatrol SIEM — уже зрелый продукт: на крупнейших проектах скорость обработки событий достигает 60 тысяч в секунду. Поэтому сейчас мы сфокусировались на том, чтобы упростить процессы, которые ранее были сложными и занимали много времени. С этой задачей, например, справляются конструкторы правил корреляции и отчетов, которые появились в новой версии», — прокомментировал директор Positive Technologies по разработке продукта MaxPatrol SIEM Алексей Андреев.

За прошедшие четыре года с момента выхода продукта на рынок, он внедрен более чем в 150 компаниях промышленной, транспортной и финансовой отраслей, а также в государственных учреждениях и органах власти. По итогами сследования, проведенного компанией IDC в 2018 году, MaxPatrol SIEM входит в тройку лидеров российского рынка SIEM-систем, занимая на нем 24,5%. 

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Уязвимость в модемах Qualcomm актуальна для миллионов Samsung Galaxy

Компания Samsung подтвердила, что раскрытая на прошлой неделе уязвимость в чипсетах Qualcomm Technologies линейки MSM затрагивает ее Android-устройства. Согласно описанию Check Point, данная брешь позволяет получить доступ к истории звонков и СМС-сообщениям пользователя, а также прослушивать его разговоры.

Системы на чипе MSM (Mobile Station Modem) производства Qualcomm Technologies обеспечивают подключение мобильных устройств к сетям 2G, 3G, 4G и 5G. По словам авторов опасной находки, уязвимость CVE-2020-11292 в MSM связана с использованием проприетарного протокола QMI (Qualcomm MSM Interface), позволяющего Android обмениваться данными с процессором модема.

Эксплуатация уязвимости осуществляется передачей в MSM запроса с параметрами в TLV-формате (Type-Length-Value), способного при обработке вызвать переполнение буфера в куче. В итоге автор атаки сможет скрытно установить вредоносный код на смартфон и шпионить за жертвой. Данную проблему можно также использовать для разблокировки СИМ-карты с целью обхода ограничений, установленных сервис-провайдером.

Исследователи известили Qualcomm о своей находке в октябре прошлого года. Разработчик выпустил патч и предоставил исходники OEM-провайдерам в декабре.

Чипсеты MSM присутствуют во многих мобильных устройствах, однако далеко не все из них используют QMI — по данным Check Point, порядка 30% всех смартфонов в мире. Выявленная экспертами проблема затронула также изделия Samsung, и производитель начал выпускать соответствующие обновления.

Этот процесс, по словам вендора, был запущен еще в январе, и с выходом майских обновлений для Android большую часть устройств Samsung, по ее оценкам, удалось защитить от эксплойта. Сколько из них в реальности получили патчи, определить трудно из-за большой фрагментарности экосистемы Android. Как бы то ни было, создатель популярных смартфонов призывает пользователей не пренебрегать обновлениями и всегда устанавливать их по мере выхода.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru