SIEM, антифрод и Service Desk в одном решении
В Cybrexon мы объединяем правила SIEM и антифрода, аналитику событий, управление уязвимостями и встроенный Service Desk. Доступны графический редактор правил, корреляция событий, SQL-запросы и общие дашборды. Команда может проверить исходные данные срабатывания, состояние затронутого сервера, назначения и историю действий по инциденту.
Получить бесплатный триалФильтры по полям и исходному тексту, группировки, агрегаты и временные графики. Из группы результата можно открыть подходящие события с теми же условиями и периодом. Поиски и настройки аналитики сохраняются для повторного использования.
Условия по полям, регулярные выражения, справочные списки, пороги и временные окна. Несколько наборов событий можно связать по общим полям и заданной последовательности — например, неудачные входы с последующим успешным.
Алерт хранит сведения о правиле и события срабатывания. В инциденте доступны связанные алерты и уязвимости, исполнитель, сроки, обсуждение и файлы. История показывает изменения статусов и назначений.
Настраиваются внешние HTTP-действия и уведомления по email, в Telegram, Slack и Microsoft Teams. Результаты действий и доставки доступны для проверки. Автоматическое закрытие алерта выполняется после подтверждённого успеха, если включена такая настройка.
В CMDB видны назначение сервера, ответственные, его источники и последнее поступление событий. Можно настроить уведомления об остановке и восстановлении сбора; внутренние IP и пакеты доступны при включённой инвентаризации.
Правило можно связать со статьёй базы знаний. В результате срабатывания доступен выбранный ранбук с шагами проверки и реагирования. Права на статьи задаются по ролям и категориям.
ПРАВИЛА ДЕТЕКТИРОВАНИЯ
Правило создаётся из поиска или в редакторе. Условия доступны в графическом и текстовом представлении; отдельно задаются источники, порог, временное окно, группировка и результат срабатывания. Перед включением правило можно проверить на сохранённых событиях.
Группы AND/OR, сравнения значений, регулярные выражения, проверка наличия полей и справочные списки. Вложенные группы определяют, к каким условиям применяются исключения.
Подсчёт событий, уникальных значений и числовые агрегаты. Отдельные счётчики по пользователю, адресу или серверу. Связь нескольких наборов событий и проверка их порядка во временном окне.
Предпросмотр показывает совпадения, примеры принятых и исключённых событий и результат проверки условий. Тест не создаёт рабочие алерты и не выполняет внешние действия.
Тип результата, критичность, категория, исполнитель и ранбук задаются в правиле. Повторные срабатывания одной группы можно объединять в запись; отдельно включается создание связанного инцидента.
В конструкторе выбираются поля группировки, показатели и представление результата. SQL позволяет задать фильтры, группировку, агрегаты и сортировку запросом. Например, посчитать ошибки по серверам, уникальные адреса клиентов или среднее время ответа API за выбранный период.
Инцидент объединяет связанные алерты и уязвимости; заявки ведут запросы на помощь и настройки. У каждой записи есть номер, исполнитель, приоритет и срок. Обсуждение сохраняет комментарии и вложения, а история — изменения исполнителя и статуса с автором и временем.
Из отчёта сканера сохраняются затронутый актив, критичность, CVE/CVSS при наличии, доказательства и рекомендации. Повторные сканы дополняют историю находки. Ответственный фиксирует устранение, принятие риска или ложное срабатывание; отсутствие находки в одном отчёте не закрывает её автоматически.
База знаний хранит инструкции расследования, процедуры реагирования, заметки и контакты. В правиле выбирается конкретный ранбук, который можно открыть при работе со срабатыванием. Материалы имеют версии и ограничения доступа.
В рамках услуги предоставляем списки вредоносных адресов и индикаторов компрометации, включая данные CERT. Правила сопоставляют с ними поля событий и формируют срабатывания для расследования.
Общие дашборды показывают таблицы, показатели, TOP и временные графики. Из виджета можно открыть исходные данные с теми же условиями. Для отчётов выбираются период, разделы и поля. Журнал аудита фиксирует автора, время, тип действия и затронутый объект.
Пример проверки: на дашборде виден рост ошибок, переход из графика открывает соответствующие события, алерт показывает данные срабатывания, а инцидент — исполнителя и историю работы. У автоматического действия отдельно видны результат и время выполнения.
ИНТЕГРАЦИИ И НАСТРОЙКА
Парсеры извлекают поля из журналов инфраструктуры и собственных приложений. Имена и типы полей настраиваются для поиска, SQL-аналитики и правил. Графический редактор позволяет задать условия по этим данным, пороги и последовательности событий; доступы, уведомления и внешние действия настраиваются отдельно.
В визуальном редакторе парсера задаются распознавание формата, поля и преобразования. Тест на примере показывает результат разбора до публикации. В карточке события доступны извлечённые поля и сохранённый оригинал.
В графическом редакторе или текстовом выражении задаются условия по полям и исключения. Настраиваются порог, группировка, временное окно, последовательность событий и активное время правила с часовым поясом.
Роли ограничивают доступ к потокам событий, категориям и отдельным операциям. Просмотр, изменение и экспорт могут разрешаться отдельно. Журнал аудита сохраняет автора, время, действие и объект изменения.
ПРИМЕР НАСТРОЙКИ ПРАВИЛА
Для обнаружения разведки веб-приложения можно выбрать характерные пути, сгруппировать запросы по адресу источника и серверу и задать порог за пять минут. Доверенные сканеры исключаются через справочный список. Тест показывает, какие события удовлетворяют условиям.
Парсер извлекает адрес клиента, сервер, путь и результат запроса. Тест показывает значения полей вместе с исходным событием.
Пути объединяются группой OR. Через AND добавляются другие условия и исключение адресов доверенных сканеров.
Для каждой пары «адрес — сервер» считается число событий или уникальных путей за окно. Задаются порог и период объединения повторных срабатываний.
Предпросмотр показывает совпадения, исключённые примеры и результаты проверки условий. После проверки включаются правило и выбранные действия.
Для правила можно выбрать каналы доставки и настроенный HTTP-запрос во внешнюю систему. В алерте отображаются успех, ошибка или пропуск действия; история доставки показывает результат отправки сообщения. При настроенном автоматическом закрытии алерт закрывается после подтверждённого успеха внешнего действия.
ИНЖЕНЕРНАЯ КОМАНДА CYBREXON
Подключаем источники, настраиваем парсеры, правила SIEM и антифрода, дашборды и уведомления. Помогаем разбирать срабатывания и результаты сканирований; в рамках Enterprise ведём мониторинг и реагирование. О выявленных критических проблемах и уязвимостях сообщаем в рамках услуги.
АНТИФРОД
Правила используют события авторизации, операций и API: учётную запись, адрес, сумму, результат и идентификатор операции. Можно считать повторы и уникальные действия, сравнивать суммы с порогом и связывать последовательности событий. Срабатывания сохраняют данные для проверки и могут автоматически создавать связанные инциденты.
Серия неудачных входов и следующий успешный вход связываются по пользователю и серверу. Порог, временное окно и порядок событий задаются в правиле; исходные события доступны для проверки.
Правила считают события и уникальные операции, проверяют суммы и последовательности действий. При наличии стабильного идентификатора повторные сообщения об одной операции можно учитывать один раз в подсчёте уникальных значений.
Запросы группируются по адресу, учётной записи или сервису. Условия учитывают путь, метод, результат и частоту обращений; справочные списки задают исключения для доверенных источников.
СОЗДАНИЕ И ПРОВЕРКА ПРАВИЛ
Графический редактор задаёт условия, группировку и последовательности событий. Тест на сохранённой истории показывает совпадения и объясняет, какие условия исключили примеры событий. Для дальнейшего анализа доступны SQL-запросы и переход к исходным записям.
ПРОВЕРКА ОПЕРАЦИЙ И РАБОТЫ КОМАНДЫ
SQL и визуальная аналитика позволяют посчитать операции по пользователям, адресам и периодам, затем открыть события выбранной группы. Связанные алерты можно включить в инцидент. История покажет изменения исполнителя и статуса, обсуждение — комментарии и вложения, а алерт — результат автоматического действия.
Состав правил зависит от полей, которые передаёт приложение. Интеграции и действия в транзакционных системах определяются отдельно для каждого внедрения.
Обсудить антифродПЛАНЫ
От помощи с первыми источниками до мониторинга и реагирования нашей командой. Каждый план определяет возможности решения и объём участия специалистов; ИТ-команда компании сохраняет инструменты для самостоятельного анализа и работы с инцидентами.
Проверьте обнаружение угроз на своих данных.
Начните выявлять угрозы и работать с инцидентами — с готовыми правилами и поддержкой инженеров.
Выявляйте угрозы и мошенничество, находите связи между событиями и контролируйте устранение уязвимостей.
Поручите мониторинг, выявление угроз и реагирование команде, которая разрабатывает решение.
eLearning
Собственная система обучения, готовые курсы и программы под задачи вашей компании. Помогаем сделать подготовку сотрудников постоянным процессом: от вводного обучения при приёме на работу до регулярного обновления знаний.
Включайте обучение в адаптацию сотрудников, подготовку к новым задачам и обновление внутренних правил. Готовые и индивидуальные курсы — в одной системе.
Подобрать программу обученияПомогите сотрудникам распознавать типовые угрозы и безопасно работать с корпоративной информацией. Базовая подготовка для всей команды с акцентом на ситуации, с которыми люди сталкиваются каждый день.
Дайте сотрудникам знания, необходимые именно в их работе. Курсы по отдельным направлениям информационной безопасности для разных ролей, задач и уровней подготовки. Включая безопасную разработку с применением проверенных отраслевых практик.
Подготовьте сотрудников к работе с требованиями по защите информации и персональных данных. Обучение помогает применять необходимые правила в ежедневной работе с учётом отрасли и деятельности компании.
Обучайте сотрудников на правилах и рабочих ситуациях вашей компании. Разрабатываем курсы на основе внутренних политик, процессов и материалов.
Можно обсудить конкретные источники, форматы событий, правила обнаружения, запросы аналитики и порядок работы с инцидентами. По этим задачам определяются настройки, интеграции и необходимый объём участия специалистов.
Инфраструктура, приложения и доступные события
Графический редактор правил, корреляция и SQL-аналитика
Уязвимости, расследования, автоматизации и мониторинг
Мы разрабатываем движок обнаружения, графические редакторы правил и парсеров, аналитику, CMDB и Service Desk. Особенности форматов событий, необходимые условия обнаружения и интеграции можно обсуждать напрямую с нашей инженерной командой.
Специалисты помогают подключать системы, настраивать SIEM и антифрод, исследовать инциденты и работать с результатами сканирований. Enterprise включает мониторинг и реагирование нашей командой; объём участия определяется планом.
Проверяем организацию мониторинга, настройки и практики безопасности. Результат — выявленные проблемы, рекомендации и материалы для планирования исправлений.