Информационная безопасность ·
SIEM-система: что это, как работает и как её внедрить
Разбираем, как SIEM выявляет инциденты, чем отличается от смежных классов, кому нужна и как пройти внедрение без типичных ошибок.
Внедрение ПО и ИБ
SOAR: автоматизация реагирования
Автоматизируем обработку оповещений и реагирование на инциденты ИБ по заранее описанным сценариям, чтобы аналитики тратили меньше времени на рутину.
Об услуге
Меньше рутины в реагировании
После внедрения SIEM и EDR поток оповещений растёт, а команда остаётся прежней. Аналитики вручную собирают данные по каждому событию, проверяют адреса и учётные записи, пишут письма и заводят задачи. Типовые инциденты отнимают время, а на сложные его не хватает.
SOAR берёт на себя повторяющиеся шаги: сбор и обогащение данных, уведомления, блокировки и заведение задач по плейбукам. Мы анализируем текущий процесс реагирования, подключаем источники, разрабатываем сценарии для приоритетных инцидентов и обучаем команду. Критичные решения остаются за аналитиком.
Задачи
Какие задачи решаем
Поток оповещений
Собираем оповещения из SIEM, EDR, почты и других источников в одном месте, обогащаем их контекстом и отсеиваем дубли и ложные срабатывания.
Типовые инциденты
Разрабатываем плейбуки автоматической и полуавтоматической обработки типовых инцидентов: фишинговых писем, заражения узла, подозрительного входа.
Скорость реакции
Автоматизируем блокировку адресов и учётных записей, изоляцию узлов через EDR и уведомление ответственных, чтобы сократить время от оповещения до действия.
Учёт инцидентов
Ведём инциденты в единой карточке с историей действий, связываем их с service desk и получаем отчёты по времени и результатам реагирования.
Состав работ
Что входит в работу
- Аудит процессов реагирования на инциденты
- Установка и настройка SOAR-платформы
- Интеграция с SIEM, EDR, почтой и service desk
- Обогащение оповещений контекстом
- Плейбуки для приоритетных сценариев
- Карточки и учёт инцидентов
- Отчёты по времени и результатам реагирования
- Обучение команды и развитие сценариев
Процесс
Как строится работа
Каждый этап заканчивается понятным результатом, который вы согласуете перед переходом к следующему.
- 01
Анализ процессов
Разбираем, как сейчас обрабатываются инциденты, где узкие места и какие шаги можно автоматизировать без потери контроля.
- 02
Интеграции
Подключаем SOAR к SIEM, EDR, почте, service desk и другим источникам оповещений и данных, проверяем обмен на тестовых событиях.
- 03
Плейбуки
Разрабатываем сценарии автоматической и полуавтоматической обработки типовых инцидентов, тестируем их на реальных оповещениях.
- 04
Эксплуатация и развитие
Обучаем команду, дорабатываем плейбуки и подключаем новые сценарии по мере роста зрелости процессов.
Кейсы
Избранные проекты
Отзывы
Цена, скорость и качество - так о нас говорят клиенты
Блэнси зарекомендовали себя как надёжные и профессиональные партнёры, способные быстро и качественно решать сложные задачи.
Чистая линияМарка мороженого № 1 в России, 2020
Благодарственные письма
FAQ
Частые вопросы
Что автоматизирует SOAR?
Рутинные шаги реагирования: сбор данных по инциденту, обогащение, уведомления, блокировки и заведение задач. Всё это выполняется по заранее описанным сценариям.
Нужен ли SOAR без SIEM?
Обычно SOAR работает в связке с SIEM и EDR как источниками событий, но может интегрироваться и с другими системами: почтой, service desk, средствами защиты.
Какие решения внедряете?
Платформы класса SOAR из реестра отечественного ПО, например Security Vision или R-Vision. Подбираем под ваши процессы и набор интеграций.
Полностью ли уходит ручная работа?
Нет, критичные решения остаются за аналитиком. SOAR берёт на себя рутину и ускоряет реакцию на типовые инциденты, освобождая время для сложных.
Сколько занимает внедрение?
Зависит от числа интеграций и плейбуков. Начинаем с нескольких приоритетных сценариев, чтобы автоматизация начала работать раньше, затем расширяем охват.
Что нужно для старта?
Описание текущих процессов реагирования и доступ к системам-источникам. Если процессы не описаны, начнём с их аудита и описания.
Смежные услуги
Часто заказывают вместе
- Внедрение ПО и ИБSIEMСобираем события со всей инфраструктуры в SIEM, коррелируем их и выявляем инциденты информационной безопасности в реальном времени.
- Внедрение ПО и ИБEDRВнедряем системы обнаружения и реагирования на конечных точках, чтобы выявлять сложные атаки, которые обходят классический антивирус, и быстро на них реагировать.
- Интеграции и аналитикаИнтеграцииСвязываем сайт или сервис с CRM, 1С, оплатой, доставкой и внешними API, чтобы данные не терялись, статусы обновлялись автоматически, а сотрудники не переносили их вручную.
Блог
Статьи по теме
Новый проект
Обсудим вашу задачу
Опишите задачу в свободной форме. Ответим в рабочее время, уточним детали и предложим формат работы.