Управление событиями безопасности (SIEM / Security Information and Event Management)

Мониторинг и управление событиями ИБ

Превращаем разрозненный поток данных о событиях ИБ в действенные инсайты для защиты вашего бизнеса

Управление событиями безопасности - это услуга по внедрению и сопровождению систем SIEM, которые позволяют централизованно собирать, анализировать и коррелировать события информационной безопасности из разных источников.

Наша цель - сделать вашу ИТ-инфраструктуру непривлекательной мишенью для злоумышленников. Именно поэтому защита от iiii Tech руководствуется тремя фундаментальными принципами, которые формируют комплексный подход к безопасности:

Определить поверхность атаки
Уменьшить поверхность атаки
Увеличить стоимость атаки

Бизнес-Ценность внедрения SIEM

SIEM позволяет обнаруживать сложные многоэтапные атаки, которые незаметны для отдельных систем, на ранней стадии.
Это сокращает время от обнаружения угрозы до её нейтрализации (MTTR - Mean Time To Respond), минимизируя ущерб от инцидентов.

Централизованное хранение журналов и автоматизированное создание отчетов по событиям безопасности (например, о доступе к критическим данным) значительно упрощает прохождение аудитов и обеспечивает выполнение требований ФЗ-152, PCI DSS и других стандартов.

Вы получаете не просто «сырые» данные, а приоритизированные инциденты, сгруппированные по степени опасности. Это позволяет команде безопасности сосредоточиться на реальных угрозах, снижая уровень «шума» и повышая общую эффективность работы.

Поставку программного обеспечения

Развертывание выбранного решения

Интеграцию с ключевыми источниками событий (серверы, сети, СЗИ, приложения)

Конфигурирование правил корреляции под задачи бизнеса

Настройку дашбордов и отчетов для удобного контроля

Оптимизацию производительности и масштабируемости системы

Ежедневный мониторинг корректности работы SIEM

Обновление правил корреляции и подключение новых источников

Актуализацию системы под изменения в инфраструктуре и новые требования регуляторов

Консультации специалистов iiii Tech

Обработку инцидентов

Команда iiii Tech обладает опытом интеграции событий из множества источников. Обеспечим поддержку 24/7

Гарантируем:

Централизованный контроль за всеми событиями безопасности
Своевременное выявление инцидентов и угроз
Соответствие требованиям российского законодательства и стандартов ИБ
Увеличение стоимости атаки

1. Wazuh SIEM
2. RuSIEM (Security Vision SIEM)
3. Positive Technologies (MaxPatrol SIEM)

Вендор: Wazuh, RuSIEM, Positive Technologies

Сценарий 1

Сотрудник ИТ-отдела, имеющий расширенные права доступа, начал выгружать большие объемы клиентских данных на внешний FTP-сервер в нерабочее время. Ни одна из систем (DLP или сетевой мониторинг) по отдельности не подняла тревогу, так как действия вписывались в его права доступа.

Роль SIEM

Выявлено одновременное сочетание трёх нетипичных событий:
1) авторизация на сервере после 23:00
2) аномально большой объем трафика к внешнему ресурсу
3) успешный обход корпоративного прокси

SIEM автоматически сгенерировал инцидент с высоким приоритетом, что позволило службе безопасности остановить выгрузку данных до их полного раскрытия.

Сценарий 2

Злоумышленники использовали медленную (Slow-Rate) брутфорс-атаку на RDP-серверы, подбирая пароли с интервалом в 30-60 минут, чтобы обойти стандартные системы блокировки, основанные на лимите неудачных попыток в минуту.

Роль SIEM

Мы настроили правило корреляции, которое собирает и анализирует общее количество неудачных попыток входа с одного внешнего IP-адреса за последние 24 часа. Как только пороговое значение было превышено, SIEM сработал, инициировав автоматическое блокирование источника атаки на межсетевом экране, предотвратив компрометацию учетных записей и доступ к внутренней сети.

Сценарий 3

Антивирус на рабочей станции зафиксировал попытку запуска подозрительного файла, но нейтрализовал только часть угрозы. В результате, на компьютере остался «спящий» компонент, который через несколько дней начал сканирование внутренней сети в поисках уязвимых контроллеров домена.

Роль SIEM

Благодаря интеграции с логами антивируса, Active Directory и сетевым оборудованием, SIEM коррелировал следующие события:
1) старое, полузаблокированное предупреждение антивируса
2) новый всплеск сетевого трафика (сканирование портов) от этой же рабочей станции
3) неудачные попытки NTLM-аутентификации на других серверах.

Эта корреляция выявила, что рабочая станция является точкой заражения, что позволило немедленно изолировать узел и провести полную очистку, предотвратив горизонтальное распространение вредоносного ПО.

Свяжитесь с нами

Свяжитесь с нами для обсуждения внедрения, настройки или поддержки SIEM и централизованного контроля всех событий безопасности

Получить консультацию

Вам может быть интересно

Все статьи