Значительная часть изменений появилась благодаря обратной связи специалистов, которые ежедневно работают с R-Vision SIEM. Новые возможности затронули весь цикл работы с событиями — от подключения источника и контроля поступления данных до поиска, корреляции, расследования и визуализации результатов.
Расширены возможности поиска и расследований
В R‑Vision SIEM 2.9 расширились возможности работы с данными в поисковых запросах. Теперь можно одновременно использовать несколько активных списков, а оператор JOIN в языке RQL поддерживает не только активные списки, но и хранилища событий. При этом в одном запросе можно использовать несколько JOIN, сопоставляя данные из разных источников.
Изменения также затронули работу с результатами поиска. Для панели группировки появился табличный режим, возможность изменять ее ширину и просматривать статистику по выбранной группе. В карточке найденной записи теперь отображается, из какого хранилища или активного списка она была получена.
Упростилась работа аналитиков во время расследования. Из карточки оповещения теперь можно перейти к связанным с ним событиям в разделе «Поиск», а исключение для правила корреляции — создать непосредственно из корреляционного события, без необходимости отдельно искать правило и вручную переносить условия.
Кроме того, в версии 2.9 оптимизировано выполнение поисковых запросов, что позволяет снизить задержки и вероятность ошибок.
Добавлены инструменты для контроля источников и работы с конвейерами
Одним из изменений для инженеров стало появление графиков входящего EPS в разделе «Аудит источников». Теперь в интерфейсе SIEM можно отслеживать интенсивность потока событий как от отдельных источников, так и через точки входа. Это помогает быстрее замечать изменения в потоке и диагностировать проблемы со сбором данных.
В версии 2.9 также появилась новая точка входа WMI (WinRM) с оптимизированной производительностью, возможностью выбирать журналы Windows и меньшими требованиями к правам учетной записи. Добавлена поддержка WebSocket, а для SMB появилась возможность указать дату, начиная с которой необходимо собирать файлы.
Серьезно доработан и интерфейс конвейеров. Перейти к нужному конвейеру теперь можно непосредственно из таблицы или карточки коллектора. Новые элементы можно создавать прямо из связи, копировать, выделять группой и удалять одновременно. Для ряда точек входа также появился сброс позиции чтения.
Для диагностики специалисты теперь могут открывать логи конкретного конвейера, не просматривая журналы всего коллектора.
Управление агентами перенесено в интерфейс SIEM
В версии 2.8 появилась возможность централизованно обновлять R‑Vision Endpoint через веб-интерфейс SIEM. Администратор может загрузить необходимые установочные файлы в систему и централизованно обновить версию агента на конечных узлах.
Из интерфейса также можно управлять удалением агентов: полностью удалить агент с конечного устройства или удалить сведения о нем из R‑Vision SIEM.
Это сокращает количество операций, которые необходимо выполнять непосредственно на конечных узлах, и упрощает управление агентской инфраструктурой.
Усилен контроль производительности и обработки событий
В версиях 2.8–2.9 появились новые инструменты для контроля работы SIEM под нагрузкой.
Для корреляторов и правил корреляции добавлен отдельный Grafana-дашборд. Он позволяет отслеживать ключевые показатели работы корреляции и быстрее выявлять причины проблем с производительностью.
Для правил корреляции теперь можно устанавливать лимиты на потребление CPU и оперативной памяти, количество корреляционных окон и число генерируемых событий. Если конкретное правило превышает установленный лимит, система отключает его только на том корреляторе, где возникла проблема. Остальные правила и другие экземпляры этого же правила продолжают работать.
Изменения затронули и прием событий по UDP. Для Syslog, NetFlow и Socket появился дополнительный локальный буфер. Разделение приема и дальнейшей обработки событий снижает риск их потери при интенсивном потоке.
Для мониторинга SIEM также добавлены новые варианты виджетов метрик и возможность создавать собственные виджеты с помощью запросов PromQL.
Расширены возможности работы с хранилищами и визуализацией данных
В версии 2.9 появился конструктор хранилищ событий. При их создании можно выбрать движок таблицы ClickHouse, задать PRIMARY KEY и ORDER BY, а при использовании ReplacingMergeTree — настроить удаление дублирующихся записей.
Также появился минимальный суммарный срок хранения данных по всем томам, который помогает защититься от преждевременного удаления событий, необходимых для расследования.
Обновления получили и дашборды. Виджеты событий и активных списков теперь могут одновременно использовать несколько источников данных. Для круговых диаграмм можно выбирать отображение абсолютных значений или процентов, а работа со столбчатыми диаграммами стала удобнее при большом количестве значений.
Для нас развитие R‑Vision SIEM начинается с того, как специалисты работают с системой каждый день. Именно обратная связь пользователей показывает, где аналитик тратит время на лишние действия, какой информации не хватает инженеру для диагностики и что мешает команде решать реальные задачи SOC.
В версиях 2.8 и 2.9 мы отвечали на такие запросы: упростили поиск и расследования, добавили больше инструментов для контроля источников и конвейеров, перенесли управление агентами в интерфейс SIEM. Параллельно продолжили работать над производительностью и устойчивостью системы.
Нам важно, чтобы результат этих изменений был заметен не только в Release Notes, но и в повседневной работе — когда привычные задачи решаются быстрее и требуют меньше усилий.
