В MaxPatrol SIEM ускорили подключение источников и улучшили анализ риска

В MaxPatrol SIEM ускорили подключение источников и улучшили анализ риска

В MaxPatrol SIEM ускорили подключение источников и улучшили анализ риска

В MaxPatrol SIEM упростили и ускорили процесс подключения новых источников событий — теперь это можно сделать примерно в два раза быстрее, чем раньше. Раньше на всё уходил месяц: нужно было поднимать стенд, получать события, писать правила нормализации, корреляции, обогащения.

Теперь в некоторых случаях можно обойтись без написания правил корреляции — достаточно правильно настроить нормализацию. Система применит к источнику уже готовые универсальные правила, разработанные экспертами.

Это особенно удобно, если речь идёт о редком или специфичном ПО — например, о внутренней SCADA-системе или NGFW, сделанном под заказ. Главное, чтобы данные с источника были грамотно нормализованы — тогда можно сразу использовать правила для выявления таких событий, как:

  • входы от имени критически важных пользователей или учётных записей по умолчанию;
  • действия с ролями и группами;
  • отключение защитных механизмов;
  • доступ к конфиденциальным данным;
  • подозрительный трафик и обращения к вредоносным доменам;
  • IoC в user agent'ах и другие признаки компрометации.

Помимо этого, улучшения коснулись и поведенческого анализа. Если в системе подключён модуль MaxPatrol BAD, то SIEM теперь умеет:

  • группировать события с высоким уровнем риска;
  • автоматически повышать приоритет инцидента, если BAD считает поведение подозрительным;
  • определять, какие узлы подвергаются вредоносной активности (если несколько событий с высоким риском приходят с одного узла);
  • блокировать события с высоким риском от случайного признания ложным срабатыванием — они сразу попадают в «чёрный список»;
  • настраивать порог чувствительности к рискам через таблицу.

Кроме того, в системе появился новый пакет правил для анализа сетевого трафика по протоколам NetFlow и IPFIX — это позволяет отслеживать подозрительную активность и расширить покрытие инфраструктуры. В частности, можно отслеживать сканирование, брутфорс, SYN-flood и другие сетевые угрозы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Баскетболисту Касаткину суд отказал в освобождении из-под стражи

Парижский суд отклонил ходатайство российского баскетболиста Даниила Касаткина об освобождении под судебный надзор. Заседание прошло без объяснения причин такого решения, несмотря на доводы защиты. Таким образом, спортсмен останется под арестом до следующих слушаний по делу об экстрадиции.

Российский баскетболист Даниил Касаткин был задержан во Франции в конце июня по запросу властей США. Однако известно об этом стало лишь спустя почти две недели.

Касаткину инкриминируется участие в переговорах от имени группировки операторов программ-вымогателей. По данным следствия, от действий злоумышленников пострадали около 900 американских организаций, включая два государственных агентства. Сам спортсмен все обвинения отрицает.

«Факты, вменяемые Касаткину в вину, крайне серьёзные: от его действий пострадали 900 американских компаний. Безумие считать гарантии Касаткина достаточными», — цитирует РИА Новости Спорт слова представителя обвинения в суде.

В начале заседания судья отметила, что в США Касаткину может грозить до 25 лет лишения свободы по статьям о компьютерном и электронном мошенничестве.

В итоге суд отклонил прошение об освобождении под судебный надзор. Как сообщил адвокат баскетболиста Фредерик Бело, слушания по вопросу экстрадиции в США назначены на сентябрь.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru