Positive Technologies выпустила новую версию (6.1) системы выявления инцидентов безопасности MaxPatrol SIEM. Она позволяет быстро находить и актуализировать IT-активы с устаревшими данными, хранить инциденты в базе данных PostgreSQL и следить за загруженностью коррелятора.
Собирайте данные об активах быстрее и контролируйте их актуальность
Ранее при запуске сбора данных задачи на сканирование сети сразу распределялись по агентам. Это могло приводить к неравномерной загруженности агентов и накоплению очередей из задач. Теперь задачи распределяются по агентам по мере освобождения их ресурсов. В результате агенты нагружаются более равномерно и данные об IT-активах в сети актуализируются быстрее.
Чтобы постоянно поддерживать актуальность информации об IT-инфраструктуре, пользователи MaxPatrol SIEM 6.1 могут задавать срок устаревания сведений об активах. Отслеживать активы с неактуальными данными можно с помощью специального виджета и фильтрации активов.
Как назначить срок актуальности данным об активах
При расследовании инцидентов важно отслеживать изменения на IT-активах. Ранее фильтрация по базе данных позволяла увидеть данные об активах только по состоянию на текущий момент. Для поиска сведений об их состоянии в прошлом приходилось заходить в карточку каждого отдельного актива. В MaxPatrol SIEM 6.1 в строке поиска можно задавать конкретный момент или период времени в прошлом: для этого предусмотрены специальные поля в интерфейсе и PDQL-запросы 1.
Храните инциденты в PostgreSQL
Выявленные инциденты безопасности в MaxPatrol SIEM теперь хранятся в системе управления базами данных PostgreSQL. Ранее в продукте использовалась СУБД Microsoft SQL Server, которая ограничивала размер базы данных до 10 ГБ. При достижении этого объема приходилось очищать базу вручную или докупать лицензию на SQL Server без лимита. С переходом на PostgreSQL пользователи MaxPatrol SIEM не ограничены в объеме сведений об инцидентах, которые могут храниться и обрабатываться в продукте.
«Мы выбрали СУБД PostgreSQL, поскольку она кроссплатформенная, работает и на Windows, и на Linux, — комментирует Алексей Андреев, управляющий директор департамента исследований и разработки Positive Technologies. — Это важно, поскольку в следующей версии MaxPatrol SIEM мы планируем дать пользователям возможность полностью устанавливать продукт на Linux».
Создавайте дашборды с любым количеством виджетов и делитесь ими с коллегами
В MaxPatrol SIEM 6.1 появились дополнительные возможности для работы с дашбордами. Теперь пользователи могут разместить на дашборде любое количество виджетов в оптимальном порядке. Ширину виджета можно менять. Также дашбордами теперь можно делиться с коллегами. Для этого дашборд нужно сохранить как шаблон, которым могут воспользоваться другие пользователи текущей инсталляции MaxPatrol SIEM. Еще одно изменение — появление двух новых виджетов, которые позволяют контролировать количество активов без указанного уровня значимости и актуальность сведений об активах (предварительно нужно задать срок их устаревания).
Изменения в дашбордах
Используйте новые поля таксономии в правилах нормализации и корреляции
В MaxPatrol SIEM 6.1 добавлены новые поля событий, связанные с аутентификацией пользователей, действиями с учетными записями и группами, запуском процессов и выполнением запросов. Их можно начать применять в правилах нормализации событий 2 и правилах обнаружения угроз (правилах корреляции).
В следующей версии продукта появятся задокументированные схемы нормализации для самых популярных категорий событий, чтобы унифицировать процесс сбора данных. Это нужно, поскольку эксперты Positive Technologies, партнеры компании и пользователи MaxPatrol SIEM используют различные подходы к написанию правил нормализации. В результате одни и те же типы данных могут собираться из источников по-разному. Это усложняет выявление инцидентов ИБ, поскольку при написании правил корреляции приходится учитывать особенности нормализации событий для каждого источника. Унификация процесса сбора данных упростит выявление сложных атак и расширит полноту поиска и отчетов в MaxPatrol SIEM.
С выходом MaxPatrol SIEM 7 мы будем рекомендовать партнерам и заказчикам использовать задокументированные схемы нормализации для сбора данных с новых источников. Специалисты Positive Technologies будут придерживаться схем при выпуске новых правил нормализации и постепенно перепишут все поставляемые нами правила нормализации и корреляции с учетом обновленной таксономии.
Следите за загруженностью коррелятора
MaxPatrol SIEM 6.1 определяет правила корреляции, которые потребляют больше всего оперативной памяти и дополнительно нагружают коррелятор. Это позволяет понять, какие правила стоит переписать или донастроить, чтобы они срабатывали точнее — без долгого ожидания недостающих условий срабатывания.
Что пропало в MaxPatrol SIEM 6.1
MaxPatrol SIEM больше не поддерживает:
- агент Endpoint Monitor, который был призван контролировать активность на файловых серверах и рабочих станциях (мы планируем пересмотреть подход к этой функции);
- систему Zabbix как средство мониторинга работы MaxPatrol SIEM. Вместо Zabbix рекомендуем использовать Telegraf и Grafana: они проще настраиваются и удобнее в работе.
Данные об уязвимостях на активах отображаются в MaxPatrol SIEM 6.1, только если есть лицензия на право пользования системой управления уязвимостями MaxPatrol VM.
Другие изменения
MaxPatrol SIEM 6.1 поддерживает импорт данных в базу знаний PT Knowledge Base, новые версии поискового движка Elasticsearch и операционной системы Debian. Продукт обновляется и устанавливается на 25% быстрее за счет оптимизации инсталлятора.
Более детально познакомиться с новой версией MaxPatrol SIEM вы можете на вебинаре 4 марта.
Проверьте возможности MaxPatrol SIEM на вашей инфраструктуре
Начните выявлять инциденты ИБ с помощью экспертизы Positive Technologies
- Positive Data Query Language, PDQL — язык, который разработан в Positive Technologies для написания запросов к базе знаний при обработке событий, инцидентов, динамических групп активов и табличных списков в MaxPatrol SIEM.
- Правила нормализации позволяют привести все события, поступающие в MaxPatrol SIEM от разных источников данных (от ОС, средств защиты информации, из журналов, СУБД и других элементов IT-инфраструктуры), к единому формату, чтобы было удобнее анализировать и обрабатывать их.