Средства мониторинга событий информационной безопасности

Средства мониторинга событий информационной безопасности: контроль над происходящим внутри инфраструктуры

Средства мониторинга событий информационной безопасности помогают своевременно обнаружить действия и изменения, способные указывать на атаку, нарушение установленных правил либо техническую проблему. Корпоративная инфраструктура ежедневно создает большой объем журналов. Сведения поступают от серверов, рабочих станций, сетевого оборудования, приложений, средств защиты и систем управления доступом. Ручная обработка такого массива практически невозможна. Специализированные инструменты собирают значимые данные и сопоставляют их между собой, помогая быстрее замечать подозрительную активность.

Событие важно только в контексте

Одна неудачная попытка входа обычно не говорит об атаке. Ситуация выглядит иначе, если за короткий период фиксируются многочисленные обращения к разным учетным записям, а затем происходит успешная авторизация с необычного узла. Именно взаимосвязь нескольких признаков помогает увидеть то, что невозможно определить по отдельной записи. Источниками данных могут быть:

• Серверные платформы, регистрирующие административные и пользовательские действия.
• Рабочие станции, передающие сведения об активности локальных программных компонентов.
• Сетевое оборудование, фиксирующее соединения между сегментами инфраструктуры.
• Корпоративные приложения, отражающие обращения пользователей к информационным ресурсам.
• Защитные инструменты, обнаруживающие нарушения политик и потенциально опасные операции.

Сведения из разных источников приводим к форме, удобной для последующего анализа. Далее события связываем по времени, учетной записи, адресу узла, характеру операции и другим признакам. За счет корреляции разрозненные записи превращаются в последовательность, способную указать на развитие инцидента.

От обычной активности к аномалии

Статические правила хорошо обнаруживают заранее известные сценарии, однако инфраструктура постоянно меняется. Появляются новые сервисы, сотрудники получают дополнительные полномочия, меняются привычные маршруты обращения к ресурсам. Поэтому, мониторинг должен учитывать не только заранее заданные признаки нарушения, но и отклонения от нормального поведения.

Для подобных задач в портфеле Кросстех предусмотрена RUMA. Продукт ориентирован на мониторинг и выявление аномальной активности, что дает возможность обращать внимание на нетипичные события, требующие экспертной оценки. Совместное использование сведений из нескольких источников расширяет контекст, помогая точнее оценивать происходящее.

Сигнал должен приводить к действию

Большое количество уведомлений само по себе не повышает безопасность. Если специалисты ежедневно получают тысячи однотипных сообщений, действительно опасное событие может затеряться среди информационного шума. Поэтому, важной частью настройки становится определение приоритетов и условий, при которых требуется реакция. Наши мастера помогут связать мониторинг с особенностями конкретной инфраструктуры, чтобы сконцентрироваться на действительно значимых событиях. В результате, ваша организация получит не просто поток уведомлений, а источник для оперативного обнаружения подозрительной активности, разбора инцидентов и последующего повышения защиты.