Информационная безопасность ·
SIEM-система: что это, как работает и как её внедрить
Разбираем, как SIEM выявляет инциденты, чем отличается от смежных классов, кому нужна и как пройти внедрение без типичных ошибок.
Внедрение ПО и ИБ
Внедрение SIEM: мониторинг событий ИБ
Собираем события со всей инфраструктуры в SIEM, коррелируем их и выявляем инциденты информационной безопасности в реальном времени.
Об услуге
Единая картина событий безопасности
Журналы событий есть у каждого сервера, сетевого устройства и средства защиты, но по отдельности они мало что говорят. Подбор пароля, вход с нового адреса и выгрузка данных могут выглядеть обычными событиями в трёх разных системах. Увидеть в них одну атаку можно только при сопоставлении.
SIEM собирает и нормализует журналы, связывает события правилами корреляции и сигнализирует об инцидентах. Мы подключаем источники, настраиваем правила под ваши сценарии, снижаем число ложных срабатываний, готовим дашборды и обучаем аналитиков. Для объектов КИИ учитываем требования 187-ФЗ и взаимодействие с ГосСОПКА.
Задачи
Какие задачи решаем
Журналы в одном месте
Подключаем сетевое оборудование, серверы, приложения и средства защиты, настраиваем нормализацию и проверяем полноту и качество данных.
Выявление инцидентов
Настраиваем правила корреляции под приоритетные сценарии: подбор паролей, аномальные входы, распространение вредоносного ПО, подозрительные выгрузки данных.
Отчёты и дашборды
Готовим дашборды для аналитиков и отчёты для руководства, чтобы состояние безопасности было видно без ручного разбора журналов.
Требования регуляторов
SIEM помогает выполнять требования по мониторингу и реагированию, в том числе для объектов КИИ и ГосСОПКА, как часть комплекса мер защиты.
Состав работ
Что входит в работу
- Аудит источников событий и сценариев мониторинга
- Подбор SIEM-платформы под объём событий
- Установка и подключение источников журналов
- Нормализация и контроль качества данных
- Правила корреляции и снижение ложных срабатываний
- Дашборды и отчёты
- Интеграция с EDR и SOAR
- Регламенты и обучение аналитиков
Процесс
Как строится работа
Каждый этап заканчивается понятным результатом, который вы согласуете перед переходом к следующему.
- 01
Источники и сценарии
Определяем, какие системы подключать (сеть, серверы, приложения, средства защиты) и какие инциденты выявлять в первую очередь.
- 02
Подключение источников
Подключаем источники, настраиваем сбор и нормализацию журналов, проверяем полноту и качество данных.
- 03
Правила корреляции
Настраиваем правила выявления инцидентов, дашборды и отчёты, снижаем число ложных срабатываний до рабочего уровня.
- 04
Эксплуатация и развитие
Обучаем аналитиков, передаём регламенты, дорабатываем правила по мере появления новых источников и угроз.
Кейсы
Избранные проекты
Отзывы
Цена, скорость и качество - так о нас говорят клиенты
Блэнси зарекомендовали себя как надёжные и профессиональные партнёры, способные быстро и качественно решать сложные задачи.
Чистая линияМарка мороженого № 1 в России, 2020
Благодарственные письма
FAQ
Частые вопросы
Что даёт SIEM?
Единую картину событий безопасности: SIEM собирает журналы со всей инфраструктуры, коррелирует их и сигнализирует об инцидентах, которые не видны в отдельных системах.
Какие решения внедряете?
SIEM-платформы из реестра отечественного ПО, например MaxPatrol SIEM или Kaspersky KUMA, а также зарубежные. Выбираем по объёму событий, бюджету и требованиям регуляторов.
SIEM закрывает требования регуляторов?
SIEM помогает выполнять требования по мониторингу и реагированию, в том числе для объектов КИИ и ГосСОПКА, но это часть комплекса мер, а не готовое соответствие.
Сколько источников можно подключить?
От нескольких до сотен. На старте подключаем критичные системы, затем расширяем перечень по мере готовности правил и команды.
Нужен ли отдельный аналитик?
Для эксплуатации нужен сотрудник или внешний SOC, который разбирает инциденты. Мы настраиваем систему, передаём регламенты и обучаем вашу команду.
Что нужно для старта?
Перечень систем-источников, доступ к ним и приоритетные сценарии мониторинга. Если сценарии не определены, сформируем их на первом этапе.
Смежные услуги
Часто заказывают вместе
- Внедрение ПО и ИБEDRВнедряем системы обнаружения и реагирования на конечных точках, чтобы выявлять сложные атаки, которые обходят классический антивирус, и быстро на них реагировать.
- Внедрение ПО и ИБSOARАвтоматизируем обработку оповещений и реагирование на инциденты ИБ по заранее описанным сценариям, чтобы аналитики тратили меньше времени на рутину.
- Внедрение ПО и ИБNGFWЗащищаем периметр сети, сегментируем трафик и контролируем доступ приложений и пользователей с помощью межсетевых экранов нового поколения.
Блог
Статьи по теме
Новый проект
Обсудим вашу задачу
Опишите задачу в свободной форме. Ответим в рабочее время, уточним детали и предложим формат работы.