Системы мониторинга событий безопасности - Все публикации

Не так давно компания ESET объявила об обновлении продукта «Офисный контроль и DLP Safetica». Нам было интересно посмотреть, можно ли рассматривать модуль Auditor, который является частью этого продукта, в качестве самостоятельного инструмента. Мы изучили то, какие возможности предоставляет данный модуль для оптимизации расходов на эксплуатацию программных и аппаратных средств, анализа производительности труда работников, а также для снижения рисков утечки данных.

Более половины компаний, утверждающих, что внедрили процесс проактивного поиска угроз, на самом деле занимаются реагированием на оповещения средств автоматизированной защиты. По сути, речь идёт об управлении событиями и уведомлениями (event and alert management), а не о Threat Hunting. Что это на самом деле такое, какие типовые ошибки реализации допускают команды ИБ, какие преимущества даёт внедрение правильных процессов поиска угроз? Знание ответов на эти вопросы, а также владение инструментами, которые помогают в проведении «охоты», существенно сказываются на эффективности Threat Hunting как подхода.

Для того чтобы обеспечить надлежащий уровень защиты информационной инфраструктуры от угроз, организации создают центры мониторинга и оперативного реагирования на инциденты информационной безопасности (Security Operations Center, далее — «SOC»), целью которых является быстрое реагирование на ИБ-инциденты с их последующим устранением. Но для эффективной борьбы с современными угрозами уже недостаточно просто создать SOC: необходимо оснастить его технологиями, актуальной информацией и знаниями. В этом могут помочь профильные сервисы «Лаборатории Касперского».

В ряде случаев корреляция инцидентов показывает, что события не просто связаны: одно и то же происшествие воспроизводится несколько раз с незначительными изменениями. Как быть с такими повторяющимися киберинцидентами, как работать с ними в SIEM- и IRP-системах?