Компания Security Vision вывела на рынок продукт по реагированию на киберугрозы следующего поколения – Next Generation SOAR.
Security Vision Next Generation SOAR (NG SOAR) является композитом технологий и функций, сфокусированным прицельно на автоматическом обнаружении и решении киберинцидентов «на лету» в соответствии с полным циклом фаз обработки инцидента (NIST). NG SOAR базируется на единой платформе Security Vision.
Первая ласточка
Функции Security Vision NG SOAR на разных фазах обработки инцидентов (NIST) решают задачи таких систем, как AM, VM, SIEM, IRP, LM, SGRC, SOAR, TIP, UEBA и др., необходимые для фокусного реагирования на угрозы ИБ полного цикла. Это первый продукт такого рода на российском рынке.
В Security Vision NG SOAR реализованы механизмы детектирования инцидентов кибербезопасности и уникальные методы расследования и реагирования на основе технологии динамических плейбуков и машинного обучения. Все этапы обработки инцидентов максимально автоматизированы и созданы в рамках современного объектно-ориентированного подхода.
Автоматическая адаптация планов реагирования
Основная идея концепции динамических плейбуков заключается в автоматической адаптации планов реагирования под конкретную ситуацию сработавшего инцидента: система автоматически анализирует событие, его атрибуты, технику атаки, задействованные объекты и на основании этой информации автоматически выстраивает нужный плейбук с помощью входящих в продукт атомарных сценариев реагирования. За счет ретроспективного анализа окрестностей инцидента Security Vision NG SOAR определяет цепочку атаки и выстраивает реагирование, исходя из полученных объектов.
Такой подход не требует сложной предварительной разработки и настройки множества плейбуков, оценки и предрасчета маршрутов атакующего, достижимости инфраструктуры, расчета вариантов атаки, построения карт атак и инфраструктуры сети. Система каждый раз собирает подходящий план обработки инцидента.
Категорирование, сценарий и контрмеры
Security Vision NG SOAR может самостоятельно осуществить первичное категорирование поступивших от СЗИ оповещений, приоритизировать инциденты, выбрать подходящий сценарий реагирования и оперативно предпринять контрмеры по локализации инцидента для недопущения его распространения и нанесения значимого ущерба компании. Взаимодействие с СЗИ для выполнения действий по активному реагированию (отправки управляющих сигналов) целесообразно выполнять современными способами через API-интеграции, при этом для СЗИ, не поддерживающих API, сохраняется возможность подключения к ним по SSH, RPC, MSSQL и т. д.
В Security Vision NG SOAR применяются методы машинного обучения и статистического анализа свойств инцидентов для выявления аномалий и возможных незамеченных ранее киберинцидентов в инфраструктуре (механизм UEBA – User and Entity Behavior Analytics), а также для прогнозирования дальнейших шагов атакующих и развития инцидента для выбора оптимальных мер противодействия.
Полная картина опасности
Функциональность аналитики киберугроз (платформа Threat Intelligence Platform) и механизмы обогащения данных по инцидентам из внешних и внутренних (в т. ч. Data Lake) источников, доступные в NG SOAR, позволяют оценить контекст сведений по инциденту, предоставляя ИБ-аналитику полную картину опасности и масштаба инцидента, затронутых сущностей и элементов инфраструктуры, а также взаимосвязь инцидентов, артефактов, индикаторов компрометации друг с другом.
Security Vision NG SOAR также позволяет формировать и отправлять отчетность по киберинцидентам в НКЦКИ (через систему ГосСОПКА), ФинЦЕРТ (через интерфейс АСОИ), Роскомнадзор и в отраслевые CERT. Для автоматизации такого взаимодействия Security Vision NG SOAR предлагает встроенный функционал для отправки уведомлений и обмена данными с указанными структурами, а также для создания внутренней отчетности и визуализации состояния киберзащищенности компании.
