В MaxPatrol SIEM ускорили подключение источников и улучшили анализ риска

В MaxPatrol SIEM упростили и ускорили процесс подключения новых источников событий — теперь это можно сделать примерно в два раза быстрее, чем раньше. Раньше на всё уходил месяц: нужно было поднимать стенд, получать события, писать правила нормализации, корреляции, обогащения.

Теперь в некоторых случаях можно обойтись без написания правил корреляции — достаточно правильно настроить нормализацию. Система применит к источнику уже готовые универсальные правила, разработанные экспертами.

Это особенно удобно, если речь идёт о редком или специфичном ПО — например, о внутренней SCADA-системе или NGFW, сделанном под заказ. Главное, чтобы данные с источника были грамотно нормализованы — тогда можно сразу использовать правила для выявления таких событий, как:

• входы от имени критически важных пользователей или учётных записей по умолчанию;
• действия с ролями и группами;
• отключение защитных механизмов;
• доступ к конфиденциальным данным;
• подозрительный трафик и обращения к вредоносным доменам;
• IoC в user agent'ах и другие признаки компрометации.

Помимо этого, улучшения коснулись и поведенческого анализа. Если в системе подключён модуль MaxPatrol BAD, то SIEM теперь умеет:

• группировать события с высоким уровнем риска;
• автоматически повышать приоритет инцидента, если BAD считает поведение подозрительным;
• определять, какие узлы подвергаются вредоносной активности (если несколько событий с высоким риском приходят с одного узла);
• блокировать события с высоким риском от случайного признания ложным срабатыванием — они сразу попадают в «чёрный список»;
• настраивать порог чувствительности к рискам через таблицу.

Кроме того, в системе появился новый пакет правил для анализа сетевого трафика по протоколам NetFlow и IPFIX — это позволяет отслеживать подозрительную активность и расширить покрытие инфраструктуры. В частности, можно отслеживать сканирование, брутфорс, SYN-flood и другие сетевые угрозы.