ОБЗОР СИСТЕМЫ МОНИТОРИНГА СОБЫТИЙ ИНФОРМАЦИОННЫЙ БЕЗОПАСНОСТИ — MAXPATROL SIEM

 ВВЕДЕНИЕ

В современном цифровом мире, где информационные технологии играют ключевую роль в деятельности организаций, обеспечение безопасности информационных систем становится первоочередной задачей. С каждым годом количество кибератак и их сложность растет, что требует от организаций внедрения эффективных средств защиты. Одним из таких средств являются SIEM-системы (Security Information and Event Management — системы управления информационной безопасностью и событиями), которые позволяют централизованно управлять событиями безопасности и обеспечивать оперативное реагирование на инциденты.

Компоненты MP SIEM

MaxPatrol Security Information and Event Management от компании Positive Technologies — система комплексного мониторинга, основанная на принципах сбора, анализа, реагирования на события информационной безопасности и содержащая в себе уникальную базу знаний, накопленную за годы проведения масштабных исследований.

Для обеспечения оптимальной функциональности, гибкости конфигурации и масштабируемости инфраструктуры под требования заказчиков при проектировании и разработке MP SIEM используется многомодульный подход построения архитектуры [1], состоящей из следующих компонентов :

• MaxPatrol 10 Core (Ядро) – основной компонент системы, ее управляющий сервер, выполняющий функции централизованного хранения динамической информации и контроля остальных компонентов;
• MaxPatrol SIEM Server – выполняет обработку событий информационной безопасности (нормализацию, агрегацию, обогащение, корреляцию) и проводит полный цикл работы с инцидентами;
• MaxPatrol SIEM Events Storage (Хранилище) – обеспечивает централизованное хранение информации о событиях безопасности;
• MaxPatrol 10 Collector (Агент) – компонент, сканирующий активы IT-инфраструктуры организации и собирающий события с источников;
• PT Management and Configuration – обеспечивает управление пользователями системы, включая их аутентификацию, синхронизацию прав доступа, журналирование действий;
• PT Knowledge Base – единая база знаний для продуктов Positive Technologies, объединяющая в себе пакеты экспертизы, макросы, схему полей событий, сведения о возможном ПО на активах;
• PT Update and Configuration Service – сервис онлайн-обновления компонентов, обеспечивающий загрузку и установку актуальных версий.

ФУНКЦИИ И АЛГОРИТМ РАБОТЫ MP SIEM

Поскольку MaxPatrol SIEM комплексная система, ее функционал удобно представить в виде трех этапов работы с событиями и инцидентами:

1. Превентивные мероприятия – сбор данных с различных уровней информационной инфраструктуры для инвентаризации активов и их дальнейшего анализа.
2. Детективные мероприятия – анализ данных, в ходе которого выполняется обнаружения потенциальных угроз и инцидентов безопасности.
3. Мероприятия по реагированию – выполнение предустановленных сценариев и дальнейшая работа с инцидентами в случае срабатывания правил корреляции на предыдущем этапе.

Конкретные функции, выполняемые системой на каждом этапе, представлены в таблице 1.

Таблица 1.

Функции MP SIEM

На основе данных функций строится алгоритм работы MaxPatrol SIEM (рис. 1)

Рисунок 1. Алгоритм работы MP SIEM

1. Коллекторы собирают данные об IT-инфраструктуре предприятия и передают в MP SIEM Server.
2. MP SIEM Server обрабатывает входящий поток событий, приводит их к единому формату в соответствии с правилами нормализации и группирует согласно правилам агрегации. Затем дополняет данные о событиях, используя правила обогащения, и анализирует поток нормализованных событий по правилам корреляции для выявления событий ИБ.
3. Если подозрительных событий выявлено не было, MP SIEM Server передает их в MP SIEM Events Storage в исходном (необработанном) и в нормализованном виде для хранения, если произошла сработка правил корреляции, то, помимо передачи событий в хранилище, автоматически создается инцидент и отправляется уведомление ответственному оператору.
4. Оператор анализирует инцидент, если сработка не ложная, начинает расследование.

СРАВНЕНИЕ ОТЕЧЕСТВЕННЫХ РЕШЕНИЙ КЛАССА SIEM

Выбор SIEM-системы довольно важный аспект при проектировании системы защиты информации, поскольку правильно принятое решение может существенно повысить эффективность контроля информационной безопасности.

Сегодня на рынке SIEM-систем представлен широкий ряд подходящих под различные потребности устройств с различными характеристиками, причем после Указа Президента РФ от 1 мая 2022 г. №250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» [2] активно начали разрабатываться и внедряться отечественные системы.

Мной было выполнено сравнение систем класса SIEM от ключевых отечественных производителей: ООО «РуСИЕМ» (RuSIEM), Positive Technologies (MaxPatrol SIEM), НПО «Эшелон» (KOMRAD Enterprise SIEM), «Лаборатория Касперского» (Kaspersky Unified Monitoring and Analysis Platform), «СёрчИнформ» (СёрчИнформ SIEM) по ряду основных критериев. Результаты представлены в таблице 2.

Таблица 2.

Характеристики SIEM-систем

По результатам сравнения можно отметить следующее:

• Все системы ориентированы и на бизнес, и на государственный сектор, что отражается в поддержке отечественной ОС Astra Linux и в прохождении сертификации ФСТЭК;
• Все продукты имеют предустановленные наборы правил для различных источников, которые позволяют им работать “из коробки”, наибольшее количество содержит MaxPatrol SIEM (>900);
• Срок внедрения SIEM у большинства составляет примерно 4 недели, СерчИнформ предлагаю осуществить внедрение за 8 дней;
• Самые низкие характеристики требуются “СерчИнформ SIEM”, а самые высокие - MaxPatrol SIEM, при этом она же имеет наибольшую максимальную производительность.

Заключение

SIEM-системы являются важнейшим продуктом обеспечения информационной безопасности для предприятий из различных отраслей деятельности. Производители и вендоры предлагают сегодня множество вариантов в зависимости от требований заказчиков.

Лидирующим продуктом, как по основным характеристикам, так и по охвату рынка [3], в данной области является многофункциональная система MaxPatrol SIEM, разработанная на основе уникальной базы знаний и обладающая гибкой многомодульной архитектурой и богатым функционалом.