Разработчик средств защиты «Лаборатория Касперского» объявила о выпуске новой платформы Kaspersky CyberTrace, которая позволяет поддерживать полный цикл работ со сведениями об угрозах: собирает информацию о них из различных источников, приводит их к общему формату, позволяет анализировать как в режиме реального времени, так и в историческом разрезе. Решение даёт возможность выявлять индикаторы компрометации в инфраструктуре организации, проводить всесторонний анализ и приоритизировать обнаруженные киберинциденты, определять наиболее эффективную стратегию реагирования на них, а также обмениваться сведениями о выявленных угрозах с доверенными организациями, такими как центры реагирования или партнеры по обеспечению защиты.
Анализ киберугроз и хакерских атак
Платформа принимает сведения об угрозах в машиночитаемых форматах JSON, STIX, XML и CSV: как в открытых форматах, так и от «Лаборатории Касперского» и других коммерческих поставщиков. Пользователи даже могут создавать собственные потоки сведений об уязвимостях в собственном формате. В качестве источников информации могут использоваться сервисы предупреждения об угрозах Threat Intelligence, системы анализа логов и системы реагирования на события ИБ (SIEM). Платформа поддерживает архитектуру работы с несколькими предприятиями, тем самым позволяет использовать ее для предоставления сервисов безопасности (MSSP) или в крупных компаниях, где есть необходимость анализировать события различных организаций или дочерних отделений.
Продукт предназначен для построения центров реагирования на инциденты (SOC) в крупных компаниях или для операторов коммерческих услуг по защите корпоративных сетей. Сопоставление данных об известных инцидентах с событиями, которые происходят в инфраструктуре предприятия и в средствах защиты, позволяют выявить случаи реальных целенаправленных атак. В качестве исходных данных могут использоваться самые разнообразные источники сведений об уязвимостями и используемые злоумышленниками методы атак, которые могут поставляться в виде сервисов различными поставщиками, одним из которых может быть и сервис Threat Intelligence самой «Лаборатории Касперского». Однако использовать можно и любую другую информацию, как открытую, так и коммерческую. Причем можно проанализировать качество каждого источника и оценить его полезность для обнаружения наиболее сложных атак.
«ИБ-специалистам важно оперативно обнаруживать критичные оповещения систем безопасности, чтобы принимать взвешенные решения об их передаче группам реагирования, — пояснил Артём Карасёв, старший менеджер по продуктовому маркетингу «Лаборатории Касперского». — Платформа Kaspersky CyberTrace даёт такую возможность за счёт её совместного использования с потоками данных “Лаборатории Касперского”. Кроме того, подобный симбиоз помогает снизить нагрузку на аналитиков безопасности и предотвратить их выгорание, более эффективно использовать имеющиеся ресурсы и сосредоточить усилия на работе с серьезными инцидентами».
Система обеспечения информационной безопасности по типу SOAR
Новую платформу можно отнести к классу решений SOAR (Security Orchestration, Automation and Response — оркестрация, автоматизация и реагирование на инциденты для служб ИБ), которые уже несколько лет как присутствуют на рынке. Конечно, российское решение лучше соответствует потребностям отечественных заказчиков, но сам тип продукта не является новым. Насколько полно разработчикам из «Лаборатории Касперского» получилось реализовать в CyberTrace наиболее сложные и необходимые для отражения атак инструменты автоматизации и оперативного реагирования пока не совсем понятно, хотя определенные движения в этом направлении компания очевидно делает. Сейчас, когда из-за пандемии периметр защиты предприятий сильно расширился и службам ИБ приходится следить за большим количеством пользователей и сервисов, которые находятся за пределами корпоративной сети, именно автоматизация процессов достоверного обнаружения атак и оперативного реагирования на них является одной из наиболее важных. Похоже выпуск CyberTrace является шагом в этом направлении со стороны отечественного производителя, однако насколько большой этот шаг — покажет время.
