Системы мониторинга событий безопасности

Системы сбора и анализа событий по информационной безопасности

Вопрос
Задать вопрос

Описание и назначение

Мониторинга событий информационной безопасности — это процесс проверки всех событий безопасности, получаемых от различных источников. Источниками событий могут быть антивирусные системы, журналы операционных систем, сканеры анализа защищенности инфраструктуры, сетевое оборудование и другие источники, расположенные в инфраструктуре организации. 

Системы мониторинга событий можно разделить на следующие категории:

  • SIEM — системы для управления событиями, полученными из различных источников, позволяющие анализировать события в режиме реального времени.
  • UBA — системы, осуществляющие сбор и анализ действий пользователей для поиска возможных внутренних угроз и атак.
  • UEBA — системы с функцией поиска аномалий в поведении сотрудников и различных систем.
  • Системы контроля эффективности сотрудников, позволяющие анализировать действия пользователей на рабочем месте и контролировать их действия при работе с конфиденциальной информацией.
  • Системы поиска и обнаружения атак, которые направлены на повышение уровня защищенности инфраструктуры организации.

Системы мониторинга событий позволяют проводить инвентаризацию ресурсов автоматизированными средствами, анализировать сетевые приложения, оборудование и веб-сервисы, сокращать затраты на проведение аудита, автоматизировать процесс управления уязвимостями и обеспечивать контроль соответствия политикам информационной безопасности, принятым в организации.

Системы мониторинга событий, как правило, состоят из четырех компонентов:

  • Программные агенты. Такие агенты необходимы для обеспечения сбора информации, которая поступает от источников (программное обеспечение, средства защиты информации, аппаратные компоненты инфраструктуры).
  • Сервер. Этот модуль позволяет выполнять обработку событий безопасности централизованно. Сервер аккумулирует информацию, которая поступает от программных агентов, и обрабатывает поступающие события на основе политик и правил, которые были настроены администраторами безопасности компании.
  • Хранилище данных. Все события безопасности, которые поступают от агентов, передаются на хранение в хранилище данных. У администратора безопасности всегда есть возможность обратиться к событиям, которые были зарегистрированы в последние несколько недель, месяцев (в зависимости от размеров хранилища данных).
  • Консоль управления. Для того чтобы настраивать параметры обработки поступающих событий безопасности, администратору безопасности предоставляется инструмент настройки — консоль централизованного управления. В ней же он может просматривать события информационной безопасности и обращаться к хранилищу данных.

Чтобы корректно настроить мониторинг событий, необходимо определить некоторые параметры и выполнить следующее:

  • определить, что считать инцидентом информационной безопасности, и то, какие типы инцидентов могут быть присущи конкретной организации;
  • определить, какие события могут предшествовать инциденту информационной безопасности;
  • определить, что будет являться источником инцидента информационной безопасности;
  • определить, какие риски могут быть связаны с выбранными инцидентами, и выстроить все риски в соответствии с их приоритетом и важностью в организации.

При выборе системы мониторинга событий необходимо учитывать количество источников событий, которые могут обрабатываться системой мониторинга, возможности анализа событий выбранной системы мониторинга, удобство пользования системой мониторинга (возможности консоли управления, детализация параметров настройки системы мониторинга), а также возможности системы мониторинга по визуализации данных и построению отчетов.

Список средств защиты

TeleLinkSoft
0
0 отзывов
Kickidler предоставляет возможности онлайн-наблюдение, учет рабочего времени, контроль эффективности и нарушений, анализ инцидентов и пр.
SearchInform
0
0 отзывов
СёрчИнформ SIEM – система для мониторинга IT-инфраструктуры, анализа событий и уведомления о возникающих угрозах
SearchInform
0
0 отзывов
TimeInformer позволяет получать информацию об активности сотрудника посредством наблюдения за его компьютером
Стахановец
0
0 отзывов
Стахановец позволяет предотвратить утечки информации, выявить риски в действиях подчиненных, обнаружить факторы, влияющие на продуктивность персонала
R-Vision
0
0 отзывов
R-Vision Threat Intelligence Platform – это специализированная плат-форма, которая позволяет координировать информацию о киберугрозах
Eset
0
0 отзывов
Сервис ESET Threat Intelligence предоставляет доступ к информации о деятельности киберпреступников
Micro Focus
0
0 отзывов
HP ArcSight осуществляет сбор, обработку, сопоставление и реагирование на такие события, предоставляя всеобъемлющие функции масштабируемости, защиты и отказоустойчивости. 
IBM
0
0 отзывов
IBM® QRadar® SIEM находит отклоонения, выявляет сложные угрозы и исключает ложные срабатывания. Это решение сводит данные из протоколов событий и сетевых потоков с тысяч конечных устройств и приложений, распределенных в сети.
McAfee
0
0 отзывов
McAfee Enterprise Security Manager — решение для управления информацией о безопасности и событиями безопасности (SIEM), обеспечивающее сбор информации об угрозах и интеграцию средств защиты с целью приоритизации, расследования и устранения угроз.
Splunk
0
0 отзывов
Splunk Enterprise Security (ES) — система управления информационной безопасностью и событиями, которая формирует подробную картину машинных данных, создаваемых различными технологиями безопасности (сеть, конечные точки, доступ).