MaxPatrol SIEM
Лидер на российском рынке SIEM-систем и основа крупнейших SOC в России с 2015 года
Обзор продукта
MaxPatrol Security Information and Event Management выявляет сложные атаки уже на этапе внедрения
Быстрый результат
Оперативно разворачивается и запускает мониторинг инфраструктуры за счет порядка 350 поддерживаемых источников и более 1300 экспертных правил «из коробки».
Актуальная экспертиза
Каждый месяц MaxPatrol SIEM автоматически пополняется новым пакетом экспертизы с правилами корреляции, механизмами обогащения, табличными списками. Плюс мы постоянно обновляем и улучшаем ранее загруженные правила.
Адаптация к изменениям
Продукт быстро адаптируется к изменениям в инфраструктуре и четко идентифицирует ИТ-активы. Классификация активов по группам облегчает настройку правил корреляции.
Помощь в принятии решений
В MaxPatrol SIEM встроен ML-помощник BAD (Behavioral Anomaly Detection). Это система second opinion, повышающая эффективность обнаружения атак за счет альтернативного метода оценки событий.
Enterprise-производительность
MaxPatrol SIEM может обрабатывать более 540 тысяч событий в секунду на одном ядре с полной экспертизой. В продукте используется разработанная нами СУБД LogSpace, которая потребляет в два раза меньше ресурсов, чем аналогичные решения open source.
Простота и удобство
Мы активно вкладываемся в analyst experience. Удобная карточка события позволяет просматривать связанные события, проверять потенциально опасные файлы и реагировать на инциденты в рамках одного окна.
1000+ успешных внедрений
MaxPatrol SIEM пользуются более 700 компаний
из разных отраслей: промышленность, транспорт, финансы, государственные организации и органы власти.
Экспертиза в MaxPatrol SIEM
Актуальные данные об угрозах автоматически поступают в MaxPatrol SIEM в виде пакетов экспертизы. Они содержат правила, параметры сбора и обработки событий ИБ, рекомендации по реагированию. Пакеты формируются на основе информации, которую специалисты PT Expert Security Center и наших R&D-подразделений вносят в базу знаний PT Knowledge Base.
Экспертиза Positive Technologies
- Аудит безопасности
- Расследование инцидентов ИБ
- Исследование угроз
- Пентесты
PT Knowledge Base
- Новые правила
- Рекомендации по реагированию
- Репутационные списки
MaxPatrol SIEM
- Выявление актуальных угроз
Сценарии по использованию
Специалисты по ИБ зачастую не располагают актуальными данными об инфраструктуре компании. Без этой информации сложно выявить слабые места в защите и вовремя принять необходимые меры. Более того, в инфраструктуре постоянно происходят изменения: подключаются и отключаются системы, меняются конфигурации. Поэтому мониторинг и управление событиями ИБ нуждаются в постоянной актуализации.
С помощью технологии детальной инвентаризации MaxPatrol SIEM позволяет контролировать изменения инфраструктуры в реальном времени:
- автоматически создает карточку актива, в которой ведется журнал его состояния;
- не дублирует активы при изменении IP- или MAC-адреса — благодаря идентификации по дополнительным параметрам (тип ОС, имя сетевого узла, признак виртуальности узла);
- позволяет собирать активы не только в статические, но и в динамические группы, которые автоматически адаптируются к изменениям в инфраструктуре. Это помогает легко настраивать работу правил корреляции и отслеживать системы с необновленным ПО, одинаковыми уязвимостями, открытыми портами и другими признаками активов.
Контроль полноты и качества сбора событий ИБ
Мониторинг ИБ начинается с подключения источников. Чем больше подключено систем, тем лучше понимание происходящего в инфраструктуре и больше уверенности в том, что инцидент информационной безопасности не останется незамеченным. MaxPatrol SIEM покрывает 310 различных источников и содержит более 8000 правил нормализации «из коробки».
Контролировать полноту подключения активов помогает технология детальной инвентаризации. А настройка мониторинга источников с учетом типичной активности (например, ночью событий меньше, чем днем) дает возможность оценить качество сбора событий ИБ.
MaxPatrol SIEM выявляет:
- недоступность источника,
- аномалии в распределении потока событий,
- задержку в получении событий от источника.
Кроме того, встроенный в систему чек-лист поможет самостоятельно оценить правильность её настройки.
Согласно обзору Anti-Malware.ru, критерием № 1 для российских компаний остается скорость работы и масштабируемость SIEM-системы. MaxPatrol SIEM стабилен в инфраструктурах любого размера и может обрабатывать более 540 000 событий в секунду (EPS) на одном ядре с подключением всех экспертных правил. Гибкая архитектура позволяет покрыть все удаленные филиалы, офисы, облачные ресурсы — и отслеживать состояние ИБ из одного окна.
Для обеспечения информационной безопасности компании недостаточно собрать данные со всех доступных источников. Основная ценность SIEM-систем заключается в экспертном контенте, выявляющем инциденты ИБ. С помощью правил, включенных в состав системы, MaxPatrol SIEM обнаруживает любые попытки нарушить киберустойчивость компании. Система содержит около 900 правил корреляции и покрывает 70% всех техник из матрицы MITRE ATT&CK.
С помощью ML-технологий система выявляет сложные целевые атаки, направленные на обход правил корреляции.
MaxPatrol SIEM позволяет:
- использовать автоматическую фильтрацию по белым спискам (whitelisting) для исключения ложных срабатываний.
- создавать правила корреляции, в том числе с помощью конструктора;
- настраивать правила корреляции под особенности инфраструктуры;
Чтобы избежать чрезмерного количества ложных срабатываний, зачастую используют белые списки. В то же время без дополнительного подтверждения вердикта повышается риск пропустить реальный инцидент. В MaxPatrol SIEM валидировать решение оператора по инциденту помогает ML-помощник BAD (Behavioral Anomaly Detection). Это система second opinion, повышающая эффективность обнаружения атак за счет альтернативного метода анализа событий и оценки достоверности каждой сработки по 100-балльной шкале. Сейчас BAD содержит около 30 моделей машинного обучения, на основе которых выявляются подозрительные события. Экспертные правила, также входящие в состав подсистемы, снижают риск получения некорректных результатов.
Часто требуется реагировать на инцидент незамедлительно. Например, остановить распространение шифровальщика, проникшего в один из сегментов сети. MaxPatrol SIEM, работая в связке с MaxPatrol EDR, помогает провести расследование инцидента ИБ и оперативно отреагировать на него. С помощью правил обогащения аналитик SOC может, не запрашивая дополнительных данных, подтвердить большинство инцидентов — и получить заранее неизвестные динамические данные, которые формируются в процессе развития атаки.
Пользователь MaxPatrol SIEM при валидации и расследовании инцидентов может:
- обращаться к сторонним системам и сервисам прямо из карточки события, в том числе проверять трафик в PT NAD, файлы в PT Sandbox и реагировать на событие с помощью MaxPatrol EDR;
- использовать в работе расширения, предложенные сообществом;
- кастомизировать карточку события под свои запросы — настраивать удобный набор визуализируемых полей с детализацией PDQL-фильтра;
- проверять гипотезы путем просмотра связанных корреляционных событий.
