Информационная безопасность ·
SIEM-система: что это, как работает и как её внедрить
Разбираем, как SIEM выявляет инциденты, чем отличается от смежных классов, кому нужна и как пройти внедрение без типичных ошибок.
Внедрение ПО и ИБ
EDR: защита конечных точек
Внедряем системы обнаружения и реагирования на конечных точках, чтобы выявлять сложные атаки, которые обходят классический антивирус, и быстро на них реагировать.
Об услуге
Когда антивируса недостаточно
Целевые атаки редко начинаются с известного вредоносного файла. Злоумышленники используют легитимные инструменты администрирования, скрипты и украденные учётные данные, и сигнатурный антивирус такие действия не останавливает. Без телеметрии с конечных точек сложно понять, что произошло, какие узлы затронуты и как далеко зашла атака.
EDR собирает данные о процессах, сетевых соединениях и изменениях на устройствах, выявляет подозрительное поведение и позволяет реагировать: изолировать узел, завершить процесс, собрать артефакты. Мы разворачиваем систему, настраиваем правила под вашу инфраструктуру и помогаем выстроить процесс разбора инцидентов.
Задачи
Какие задачи решаем
Выявление сложных атак
Настраиваем правила обнаружения по поведению: подозрительные процессы, запуск скриптов, перемещение по сети. Видна вся цепочка атаки, а не отдельный файл.
Быстрое реагирование
Настраиваем сценарии реагирования: изоляцию узла от сети, завершение процессов, удаление файлов и сбор артефактов для расследования.
Меньше ложных срабатываний
Проводим пилот на части парка и настраиваем правила под вашу инфраструктуру, чтобы аналитики не тратили время на шум и не пропускали реальные угрозы.
Связка с SIEM и SOAR
Передаём события EDR в SIEM и SOAR для корреляции с другими источниками и автоматизации реагирования на типовые инциденты.
Состав работ
Что входит в работу
- Обследование инфраструктуры и модель угроз
- Подбор решения класса EDR или XDR
- Развёртывание сервера управления и агентов
- Настройка правил обнаружения и исключений
- Сценарии реагирования и изоляции узлов
- Интеграция с SIEM и SOAR
- Помощь в разборе инцидентов
- Обучение команды работе с консолью
Процесс
Как строится работа
Каждый этап заканчивается понятным результатом, который вы согласуете перед переходом к следующему.
- 01
Модель угроз
Анализируем инфраструктуру и типовые сценарии атак, определяем, какие события собирать и на что реагировать в первую очередь.
- 02
Пилот и правила
Разворачиваем EDR на пилотной группе, настраиваем правила обнаружения и снижаем число ложных срабатываний.
- 03
Развёртывание
Устанавливаем агенты на весь парк, настраиваем сценарии реагирования: изоляцию узла, завершение процессов, сбор артефактов.
- 04
Сопровождение
Помогаем разбирать инциденты, дорабатываем правила по результатам и обучаем вашу команду работе с консолью.
Кейсы
Избранные проекты
Отзывы
Цена, скорость и качество - так о нас говорят клиенты
Блэнси зарекомендовали себя как надёжные и профессиональные партнёры, способные быстро и качественно решать сложные задачи.
Чистая линияМарка мороженого № 1 в России, 2020
Благодарственные письма
FAQ
Частые вопросы
Зачем EDR, если есть антивирус?
Антивирус блокирует известные угрозы. EDR видит поведение и всю цепочку атаки, позволяет расследовать инцидент и быстро изолировать заражённый узел.
EDR заменяет SOC?
Нет, EDR - это инструмент. Реагирование ведёт ваша команда или внешний SOC, а мы помогаем выстроить процесс, правила и регламенты разбора инцидентов.
Какие решения используете?
Продукты класса EDR и XDR из реестра отечественного ПО, например решения Kaspersky или Positive Technologies, а также зарубежные. Выбираем под вашу инфраструктуру и требования.
Сколько занимает внедрение?
Обычно от нескольких недель. Срок зависит от размера парка, числа сценариев реагирования и готовности инфраструктуры, например наличия актуального перечня устройств.
EDR интегрируется с SIEM?
Да, события EDR передаются в SIEM и SOAR для корреляции с другими источниками и автоматизации реагирования. Интеграцию настраиваем в рамках внедрения.
Что нужно для старта?
Доступ к инфраструктуре, перечень устройств и понимание, какие системы для вас критичны. Это определяет приоритеты пилота.
Смежные услуги
Часто заказывают вместе
- Внедрение ПО и ИБАнтивирусная защитаРазворачиваем и настраиваем защиту рабочих станций, серверов и мобильных устройств с централизованным управлением из единой консоли.
- Внедрение ПО и ИБSIEMСобираем события со всей инфраструктуры в SIEM, коррелируем их и выявляем инциденты информационной безопасности в реальном времени.
- Внедрение ПО и ИБSOARАвтоматизируем обработку оповещений и реагирование на инциденты ИБ по заранее описанным сценариям, чтобы аналитики тратили меньше времени на рутину.
Блог
Статьи по теме
Новый проект
Обсудим вашу задачу
Опишите задачу в свободной форме. Ответим в рабочее время, уточним детали и предложим формат работы.