Эволюция SIEM-системы

Уважаемые пользователи!

Новые и доработанные нормализаторы

С момента релиза KUMA 2.1 до релиза KUMA 3.0.3 было выпущено 99 пакетов обновлений с новыми или улучшенными нормализаторами. Среди них 63 обновлений, обеспечивающих поддержку новых источников событий, и 38 — улучшающих текущие нормализаторы. В них была добавлена поддержка дополнительных типов событий, реализованы различные доработки и исправления. Остальные обновления содержат постоянно улучшаемые правила корреляции, фильтры и другие ресурсы, ориентированные на повышение удобства использования.

В числе прочего в SIEM-систему добавили нормализаторы, позволяющие работать со следующими источниками событий:

• Cisco Prime (для событий системы Cisco Prime версии 3.10, поступающих по syslog);
• PowerDNS (для обработки событий PowerDNS Authoritative Server версии 4.5, поступающих по Syslog);
• Microsoft Active Directory Federation Service (AD FS) (для обработки событий Microsoft AD FS; нормализатор поддерживает работу с данным источником событий в KUMA, начиная с версии 3.0.1);
• Microsoft Active Directory Domain Service (AD DS) (для обработки событий Microsoft AD DS; нормализатор также поддерживает работу с данным источником событий в KUMA, начиная с версии 3.0.1);
• NetApp ([OOTB] NetApp syslog — для обработки событий системы NetApp версии ONTAP12, поступающих по syslog, а также [OOTB] NetApp file — для обработки событий системы NetApp версии ONTAP 9.12, хранящихся в файле);
• RedCheck Desktop (для обработки журналов системы RedCheck Desktop версии 2.6, хранящихся в файле);
• ИВК — Кольчуга-К;
• А-реал — Интернет Контроль Сервер;
• КриптПро — Ngate;
• Сетевые устройства MikroTik;
• СУБД PostgreSQL;
• СУБД MySQL;
• Солар — Дозор;
• Vmware — ESXi;
• Кибер Бэкап 16.5;
• Microsoft Office365.

Кроме того, эксперты доработали следующие нормализаторы:

• для продуктов компании Microsoft: переработана структура нормализатора, добавлена поддержка новых продуктов и дополнительных типов событий;
• для системы PT NAD: реализована поддержка событий актуальной версии продукта;
• для UNIX-подобных операционных систем — реализована поддержка дополнительных типов событий;
• для событий сетевых устройств Juniper (этот нормализатор был значительно переработан и оптимизирован);
• для системы Citrix NetScaler — реализована поддержка дополнительных типов событий.
  
  

Обновление правил корреляции

Улучшено наполнение всех существующих корреляционных правил из пакета SOC Content на русском языке — акцент был сделан на проверке логики правил и их доработке на основе реального опыта использования пользователями. Улучшили качество описания правил, в том числе в части полей описания инцидентов.

Наряду с обновлением русскоязычного пакета SOC Content мы выпустили и полноценный пакет SOC Content на английском языке, полностью синхронизирующий его контент с русскоязычной версией. С этого момента мы планируем осуществлять синхронное обновление пакетов на двух языках.

Сейчас на платформе доступно более 500 правил наряду с дополнительными инструментами, необходимыми для их работы, такими как активные листы, фильтры и словари.

Как обновления доставляются в SIEM-систему KUMA

Весь разрабатываемый контент распространяется через подсистему распространения обновлений Kaspersky Update Servers, что сокращает время его доставки до потребителей. Подсистема в автоматическом режиме запрашивает обновления и информирует о них, но решение о применении обновлений остается за оператором. Это позволяет администраторам быстро получать информацию о доступных пакетах контента, анализировать содержимое каждого обновления и принимать решение о внедрении новых ресурсов в инфраструктуру или об обновлении существующих ресурсов.

Подсистема обновлений значительно расширяет возможности KUMA по быстрому реагированию на изменения ландшафта угроз и инфраструктуры. Кроме того, возможность ее использования без прямого доступа к Интернету гарантирует, что обрабатываемые SIEM-системой данные не покинут периметр и будут защищены, а пользователи смогут получать последние обновления контента системы.

С полным перечнем поддерживаемых источников событий в Kaspersky Unified Monitoring and Analysis Platform версии 3.0.3 можно ознакомиться в разделе технической поддержки, где также доступна информация о правилах корреляции. Разумеется, обновление SIEM-системы не ограничивается только лишь новыми нормализаторами и детектирующей логикой — недавно мы также писали об улучшении пользовательского интерфейса, и автоматизации рутинных процессов.

______________________________________________________________________________________________________________________________________________________________________

Ознакомиться с полной статьей Вы можете здесь. Источник новости: www.kaspersky.ru

Помните, что не только Вашему бизнесу нужна защита! 
Защиту для домашних пользователей можно купить в интернет-магазине компании «ЮКОЛА-ИНФО». 

Если у Вас возникли вопросы или желаете получить консультацию по определенному решению — позвоните нам по телефонам:
+375 (17) 28 28 903 МГТС
+375 (29) 128 34 62 А1 (Viber)
+375 (33) 666 59 03 МТС

Приятной работы!