Компания R‑Vision сообщила о расширении функциональных возможностей технологии R‑Vision SIEM, чтобы усовершенствовать работу с поступающими событиями ИБ. Версия 1.3 включает в себя ряд обновлений: разработчик увеличил набор функций для сбора и обработки событий, внедрил новые инструменты для работы с контентом и поиском. А также добавил конструктор отчетов и расширил способы интеграции с внешними системами. Изменения повысят безопасность ИТ‑инфраструктуры заказчиков и увеличат эффективность работы специалистов ИБ.
R‑Vision продолжает развитие своих технологий для защиты данных и предотвращения кибератак. В новой версии собственной SIEM‑системы эксперты компании расширили функциональные возможности конвейера обработки событий, который позволяет аналитику SOC в графическом интерфейсе управлять функционалом сбора обработки данных. Так, к уже доступным точкам входа и выхода, шинам и нормализатору событий команда R‑Vision добавила новые элементы: агрегатор, маршрутизатор и фильтр. Это позволяет пользователям максимально вариативно настраивать работу с событиями, что особенно актуально при наличии большой инфраструктуры источников и систем.
Кроме того, изменения коснулись работы с объектами экспертизы. Каждый такой объект — это контентная часть продукта, которая содержит в себе написанную экспертизу по обработке и анализу событий ИБ. К ней относятся: правила нормализации и корреляции, активные списки, таблицы обогащения, а также модели событий. Команда R‑Vision усовершенствовала процесс подготовки объектов экспертизы, добавив новые функции. Теперь ИБ‑специалисты, помимо создания и изменения собственных правил, могут копировать и удалять элементы экспертизы, включать, выключать и обновлять используемые правила, использовать шаблоны и версионирование. Также в обновлении специалисты компании улучшили функционал валидации и тестирования правил, который помогает сотрудникам SOC проводить дополнительные проверки результативности разработанных ими правил в тестовой системе. Это позволяет избежать ошибок при подготовке контента и предварительно оценить его эффективность. Что, в свою очередь, снижает количество ложных срабатываний при их запуске и обеспечит быстродействие системы.
Также в R‑Vision SIEM 1.3 разработчик расширил функции инструмента поиска: добавил подсветку синтаксиса, подсказки к запросам, которые формируют аналитики SOC, быстрые фильтры прямо из событий ИБ, интерактивный прогресс‑бар и график распределения событий. А также поддержку всех ключевых функций запросов в базах данных, за счет чего аналитик сможет максимально быстро найти необходимые события в огромном потоке поступающих данных.
Важным нововведением в обновлении системы стало добавление в систему конструктора отчетов, который упрощает процесс предоставления отчетности. Конструктор помогает аналитику SOC создавать шаблоны отчетов и отправлять их в соответствии с установленным графиком. Это помогает руководству предприятий, использующих R‑Vision SIEM, всегда быть в курсе актуальной ситуации в центре мониторинга.
Существенные изменения затронули работу с внешними системами. Так, в версии 1.3 для аналитиков SOC был добавлен активный сбор событий из различных баз данных и по протоколу HTTP. Также в обновленной версии эксперты R‑Vision расширили интеграционные возможности, которые, в частности, помогают быстро перейти в интерфейсы систем R‑Vision SOAR, Endpoint и UEBA. Это позволяет собирать больше событий из различных систем и автоматически передавать инциденты для реагирования в SOAR.
Виктор Никуличев
Технология R‑Vision SIEM развивается очень динамично. Первое крупное обновление после выпуска продукта — шаг вперед к более усовершенствованной и многофункциональной системе, которая отвечает требованиям современных центров мониторинга и надежно защищает бизнес от возможных угроз. Компания продолжит работу по совершенствованию технологии SIEM, ориентируясь на обратную связь от заказчиков и исследования рынка, чтобы сохранять лидирующие позиции и оперативно реагировать на новые угрозы.
