SIEM, антифрод і Service Desk в одному рішенні
У Cybrexon ми поєднуємо правила SIEM і антифроду, аналітику подій, керування вразливостями та вбудований Service Desk. Доступні графічний редактор правил, кореляція подій, SQL-запити й спільні дашборди. Команда може перевірити вихідні дані спрацювання, стан ураженого сервера, призначення та історію дій щодо інциденту.
Отримати безкоштовний тріалФільтри за полями й вихідним текстом, групування, агрегати та часові графіки. Із групи результату можна відкрити відповідні події з тими самими умовами й періодом. Пошуки та налаштування аналітики зберігаються для повторного використання.
Умови за полями, регулярні вирази, довідкові списки, пороги й часові вікна. Кілька наборів подій можна пов’язати за спільними полями та заданою послідовністю — наприклад, невдалі входи з подальшим успішним.
Алерт зберігає відомості про правило та події спрацювання. В інциденті доступні пов’язані алерти й вразливості, виконавець, строки, обговорення та файли. Історія показує зміни статусів і призначень.
Налаштовуються зовнішні HTTP-дії та сповіщення електронною поштою, у Telegram, Slack і Microsoft Teams. Результати дій і доставки доступні для перевірки. Автоматичне закриття алерта виконується після підтвердженого успіху, якщо таке налаштування ввімкнено.
У CMDB видно призначення сервера, відповідальних, його джерела та останнє надходження подій. Можна налаштувати сповіщення про зупинення й відновлення збирання; внутрішні IP та пакети доступні за ввімкненої інвентаризації.
Правило можна пов’язати зі статтею бази знань. У результаті спрацювання доступний вибраний ранбук із кроками перевірки та реагування. Права на статті задаються за ролями й категоріями.
ПРАВИЛА ВИЯВЛЕННЯ
Правило створюється з пошуку або в редакторі. Умови доступні в графічному й текстовому поданні; окремо задаються джерела, поріг, часове вікно, групування та результат спрацювання. Перед увімкненням правило можна перевірити на збережених подіях.
Групи AND/OR, порівняння значень, регулярні вирази, перевірка наявності полів і довідкові списки. Вкладені групи визначають, до яких умов застосовуються виключення.
Підрахунок подій, унікальних значень і числові агрегати. Окремі лічильники за користувачем, адресою або сервером. Зв’язок кількох наборів подій і перевірка їхнього порядку в часовому вікні.
Попередній перегляд показує збіги, приклади прийнятих і виключених подій та результат перевірки умов. Тест не створює робочих алертів і не виконує зовнішніх дій.
Тип результату, критичність, категорія, виконавець і ранбук задаються в правилі. Повторні спрацювання однієї групи можна об’єднувати в запис; окремо вмикається створення пов’язаного інциденту.
У конструкторі вибираються поля групування, показники та подання результату. SQL дає змогу задати фільтри, групування, агрегати й сортування запитом. Наприклад, порахувати помилки за серверами, унікальні адреси клієнтів або середній час відповіді API за вибраний період.
Інцидент поєднує пов’язані алерти й вразливості; заявки ведуть запити на допомогу та налаштування. Кожен запис має номер, виконавця, пріоритет і строк. Обговорення зберігає коментарі та вкладення, а історія — зміни виконавця й статусу з автором і часом.
Зі звіту сканера зберігаються уражений актив, критичність, CVE/CVSS за наявності, докази та рекомендації. Повторні сканування доповнюють історію знахідки. Відповідальний фіксує усунення, прийняття ризику або хибне спрацювання; відсутність знахідки в одному звіті не закриває її автоматично.
База знань зберігає інструкції розслідування, процедури реагування, нотатки й контакти. У правилі вибирається конкретний ранбук, який можна відкрити під час роботи зі спрацюванням. Матеріали мають версії та обмеження доступу.
У межах послуги надаємо списки шкідливих адрес та індикаторів компрометації, зокрема дані CERT. Правила зіставляють із ними поля подій і формують спрацювання для розслідування.
Спільні дашборди показують таблиці, показники, TOP і часові графіки. З віджета можна відкрити вихідні дані з тими самими умовами. Для звітів вибираються період, розділи й поля. Журнал аудиту фіксує автора, час, тип дії та відповідний об’єкт.
Приклад перевірки: на дашборді видно зростання кількості помилок, перехід із графіка відкриває відповідні події, алерт показує дані спрацювання, а інцидент — виконавця та історію роботи. Для автоматичної дії окремо видно результат і час виконання.
ІНТЕГРАЦІЇ ТА НАЛАШТУВАННЯ
Парсери витягують поля з журналів інфраструктури та власних застосунків. Назви й типи полів налаштовуються для пошуку, SQL-аналітики та правил. Графічний редактор дає змогу задати умови за цими даними, пороги й послідовності подій; доступи, сповіщення та зовнішні дії налаштовуються окремо.
У візуальному редакторі парсера задаються розпізнавання формату, поля й перетворення. Тест на прикладі показує результат розбору до публікації. У картці події доступні витягнуті поля та збережений оригінал.
У графічному редакторі або текстовому виразі задаються умови за полями та виключення. Налаштовуються поріг, групування, часове вікно, послідовність подій і активний час правила з часовим поясом.
Ролі обмежують доступ до потоків подій, категорій та окремих операцій. Перегляд, зміну й експорт можна дозволяти окремо. Журнал аудиту зберігає автора, час, дію та об’єкт зміни.
ПРИКЛАД НАЛАШТУВАННЯ ПРАВИЛА
Для виявлення розвідки вебзастосунку можна вибрати характерні шляхи, згрупувати запити за адресою джерела й сервером і задати поріг за п’ять хвилин. Довірені сканери виключаються через довідковий список. Тест показує, які події задовольняють умови.
Парсер витягує адресу клієнта, сервер, шлях і результат запиту. Тест показує значення полів разом із вихідною подією.
Шляхи об’єднуються групою OR. Через AND додаються інші умови й виключення адрес довірених сканерів.
Для кожної пари «адреса — сервер» рахується кількість подій або унікальних шляхів за вікно. Задаються поріг і період об’єднання повторних спрацювань.
Попередній перегляд показує збіги, виключені приклади й результати перевірки умов. Після перевірки вмикаються правило та вибрані дії.
Для правила можна вибрати канали доставки й налаштований HTTP-запит до зовнішньої системи. В алерті відображаються успіх, помилка або пропуск дії; історія доставки показує результат надсилання повідомлення. За налаштованого автоматичного закриття алерт закривається після підтвердженого успіху зовнішньої дії.
ІНЖЕНЕРНА КОМАНДА CYBREXON
Підключаємо джерела, налаштовуємо парсери, правила SIEM і антифроду, дашборди та сповіщення. Допомагаємо розбирати спрацювання й результати сканувань; у межах Enterprise ведемо моніторинг і реагування. Про виявлені критичні проблеми та вразливості повідомляємо в межах послуги.
АНТИФРОД
Правила використовують події авторизації, операцій та API: обліковий запис, адресу, суму, результат та ідентифікатор операції. Можна рахувати повтори й унікальні дії, порівнювати суми з порогом і пов’язувати послідовності подій. Спрацювання зберігають дані для перевірки й можуть автоматично створювати пов’язані інциденти.
Серія невдалих входів і наступний успішний вхід пов’язуються за користувачем і сервером. Поріг, часове вікно та порядок подій задаються в правилі; вихідні події доступні для перевірки.
Правила рахують події й унікальні операції, перевіряють суми та послідовності дій. За наявності стабільного ідентифікатора повторні повідомлення про одну операцію можна враховувати один раз у підрахунку унікальних значень.
Запити групуються за адресою, обліковим записом або сервісом. Умови враховують шлях, метод, результат і частоту звернень; довідкові списки задають виключення для довірених джерел.
СТВОРЕННЯ Й ПЕРЕВІРКА ПРАВИЛ
Графічний редактор задає умови, групування й послідовності подій. Тест на збереженій історії показує збіги та пояснює, які умови виключили приклади подій. Для подальшого аналізу доступні SQL-запити й перехід до вихідних записів.
ПЕРЕВІРКА ОПЕРАЦІЙ І РОБОТИ КОМАНДИ
SQL і візуальна аналітика дають змогу порахувати операції за користувачами, адресами й періодами, а потім відкрити події вибраної групи. Пов’язані алерти можна включити до інциденту. Історія покаже зміни виконавця та статусу, обговорення — коментарі й вкладення, а алерт — результат автоматичної дії.
Склад правил залежить від полів, які передає застосунок. Інтеграції та дії в транзакційних системах визначаються окремо для кожного впровадження.
Обговорити антифродПЛАНИ
Від допомоги з першими джерелами до моніторингу й реагування нашою командою. Кожен план визначає можливості рішення та обсяг участі фахівців; ІТ-команда компанії зберігає інструменти для самостійного аналізу й роботи з інцидентами.
Перевірте виявлення загроз на своїх даних.
Почніть виявляти загрози та працювати з інцидентами — з готовими правилами й підтримкою інженерів.
Виявляйте загрози й шахрайство, знаходьте зв’язки між подіями та контролюйте усунення вразливостей.
Доручіть моніторинг, виявлення загроз і реагування команді, яка розробляє рішення.
eLearning
Власна система навчання, готові курси та програми під завдання вашої компанії. Допомагаємо зробити підготовку співробітників постійним процесом: від вступного навчання під час прийняття на роботу до регулярного оновлення знань.
Включайте навчання в адаптацію співробітників, підготовку до нових завдань та оновлення внутрішніх правил. Готові й індивідуальні курси — в одній системі.
Підібрати програму навчанняДопоможіть співробітникам розпізнавати типові загрози та безпечно працювати з корпоративною інформацією. Базова підготовка для всієї команди з акцентом на ситуації, з якими люди стикаються щодня.
Дайте співробітникам знання, необхідні саме в їхній роботі. Курси з окремих напрямів інформаційної безпеки для різних ролей, завдань і рівнів підготовки. Зокрема, безпечна розробка із застосуванням перевірених галузевих практик.
Підготуйте співробітників до роботи з вимогами щодо захисту інформації та персональних даних. Навчання допомагає застосовувати необхідні правила в щоденній роботі з урахуванням галузі та діяльності компанії.
Навчайте співробітників на правилах і робочих ситуаціях вашої компанії. Розробляємо курси на основі внутрішніх політик, процесів і матеріалів.
Можна обговорити конкретні джерела, формати подій, правила виявлення, запити аналітики та порядок роботи з інцидентами. За цими завданнями визначаються налаштування, інтеграції та необхідний обсяг участі фахівців.
Інфраструктура, застосунки й доступні події
Графічний редактор правил, кореляція й SQL-аналітика
Вразливості, розслідування, автоматизації та моніторинг
Ми розробляємо рушій виявлення, графічні редактори правил і парсерів, аналітику, CMDB та Service Desk. Особливості форматів подій, необхідні умови виявлення й інтеграції можна обговорювати безпосередньо з нашою інженерною командою.
Фахівці допомагають підключати системи, налаштовувати SIEM і антифрод, досліджувати інциденти та працювати з результатами сканувань. Enterprise включає моніторинг і реагування нашою командою; обсяг участі визначається планом.
Перевіряємо організацію моніторингу, налаштування та практики безпеки. Результат — виявлені проблеми, рекомендації та матеріали для планування виправлень.