Управління SIEM-SOC

Які переваги дає управління SIEM і SOC?

SIEM і моніторинг безпеки з Wazuh

Wazuh — платформа безпеки з відкритим кодом, яка поєднує можливості XDR і SIEM. Ми встановлюємо агент Wazuh на ваші системи, збираємо журнали на центральному сервері та аналізуємо їх. Правила контролю цілісності файлів, виявлення шкідливого ПЗ, виявлення вразливостей і перевірки конфігурації ми налаштовуємо під ваше середовище. Наша команда SOC аналізує сповіщення та ділиться з вами записом про інцидент.

Що таке SIEM і SOC і чим вони відрізняються?

SIEM (Security Information and Event Management) — технологія, яка збирає журнали різних систем на одній платформі, зіставляє їх і створює сповіщення. SOC (Security Operations Center) — це команда та процес, які аналізують ці сповіщення та керують реагуванням на інциденти.

Самої SIEM недостатньо. Набір правил потрібно налаштувати під ваше середовище, а сповіщення має аналізувати аналітик. Інакше хибні тривоги приховують реальні інциденти. Наша послуга SIEM-SOC надає платформу та команду аналітиків разом.

Які джерела журналів відстежуються?

Джерела для моніторингу ми визначаємо разом із вами відповідно до вашого середовища. Типові джерела:

• Сервери Windows і Linux: журнали подій безпеки, спроби входу та зміни цілісності файлів.
• Міжмережеві екрани та мережеві пристрої: заблоковані з’єднання, VPN-сеанси та зміни конфігурації.
• Комп’ютери користувачів: результати виявлення шкідливого ПЗ і вразливостей агентом Wazuh.
• Бізнес-застосунки та бази даних: журнали застосунків, визначених в обсязі послуги.

За даними виробника, Wazuh також має можливості для захисту контейнерів і хмарних робочих навантажень. Чи входять ці джерела в обсяг послуги, ми погоджуємо з вами в договорі.

Як працює послуга SIEM-SOC?

1. Визначення джерел: разом із вами складаємо перелік систем і джерел журналів для моніторингу.
2. Встановлення: встановлюємо агент Wazuh на ваші системи та збираємо журнали на центральному сервері.
3. Налаштування правил: налаштовуємо правила контролю цілісності файлів, виявлення шкідливого ПЗ, вразливостей і перевірки конфігурації під ваше середовище.
4. Моніторинг: відстежуємо події безпеки 24/7.
5. Оцінювання: сповіщення аналізують наші SOC-аналітики.
6. Інформування: у разі реального інциденту зв’язуємося з вами з рекомендованими діями та ділимося записом про інцидент.
7. Записи та звітність: зберігаємо записи про події безпеки та реагування і надаємо їх у звіті для аудиту.

Індикатори загроз надходять із нашої послуги Управління кіберрозвідкою (CTI) і використовуються в SIEM-SOC як правила та кореляції. У межах послуги Управління міжмережевим екраном (Firewall) ми можемо передавати журнали міжмережевого екрана в SIEM. Виявлені вразливості перевіряємо за допомогою тестування на проникнення.

Наші партнери