Автоматизация и повышение эффективности процесса управления инцидентами ИБ в Полюс с помощью продукта R-Vision SOAR

1. Автоматизация и повышение эффективности процесса управления инцидентами ИБ.

2. Сокращение времени реагирования на инциденты и оптимизация трудозатрат сотрудников Департамента ИБ.

3. Обеспечение организации и координации работы команд реагирования на инциденты ИБ.

4. Формирование целостной картины по выявленным и устраненным инцидентам за счет предоставления детализированной отчетности и визуализации информации.

R-Vision Security Orchestration, Automation and Response (SOAR) — система оркестрации, автоматизации ИБ и реагирования на инциденты, которая агрегирует данные по инцидентам из множества источников, автоматизирует обогащение, реагирование и внедрение защитных мер, а также обеспечивает единое пространство для совместной работы ИБ-специалистов. R-Vision SOAR является ключевым инструментом для повышения эффективности центров мониторинга и реагирования на инциденты ИБ.

Основная сложность проекта – это осуществление плавного перевода выстроенных годами и реализуемых сотрудниками заказчика ИБ-процессов на новый инструмент автоматизации. В результате, благодаря собственной экспертизе вендор не только не нарушил существующие механизмы, но и усовершенствовал их, применив наилучшие мировые практики.

Дополнительной трудностью стала необходимость реализовать проект в крайне сжатые сроки, а также разработать кастомизированные коннекторы для подключения существующих средств защиты заказчика ввиду особенностей использования последних.

Проект затронул всю инфраструктуру организации, а это более 20 000 единиц следующих типов: пользовательские АРМ, серверы, использующие различное программное обеспечение и операционные системы, а также активное сетевое оборудование.

Перед тем, как перейти к описанию проекта отметим, что выбранное решение для реализации проекта полностью соответствует политике импортозамещения, которую Заказчик реализует на протяжении уже нескольких лет.

На первом этапе было проведено предпроектное обследование с детализированным сбором информации обо всех объектах автоматизации, в которых предполагается устанавливать компоненты R-Vision SOAR, осуществлен сбор информации о смежных системах и используемых средствах защиты. В результате была сформирована полная картина о текущем состоянии, описаны все текущие процессы реагирования на инциденты ИБ в организации и сформирована целевая картина.

На следующем этапе были произведены работы по установке, настройке и подключению R-Vision SOAR к системам Заказчика. В рамках этого этапа вендор осуществил интеграцию с почтовым сервером, контроллером домена, системой сбора и корреляции инцидентов ИБ и другими источниками данных. Кроме того, для обогащения инцидентов ИБ дополнительным контекстом осуществили подключение R-Vision SOAR к службе анализа подозрительных файлов и веб-ссылок на наличие вредоносного ПО VirusTotal, службе контроля и анализа доменных имен WhoIS и к системе управления IP-адресами заказчика. В результате интеграций продукта со всеми этими системами удалось организовать единый унифицированный процесс, который контролируется из интерфейса одного решения – R-Vision SOAR. Таким образом, у пользователей пропала необходимость мониторинга консолей управления других продуктов.

Далее, благодаря гибкости внедряемого решения, на базе существующих у Заказчика регламентов и процессов управления инцидентами ИБ были разработаны и внедрены 26 уникальных плейбуков (сценариев реагирования), отвечающих всем потребностям Заказчика и соответствующих лучшим мировым практикам. Также были сформированы четкие SLA для процессов реагирования и расследования инцидентов.

Заключительным этапом реализации проекта стало проведение комплексного обучения 16-специалистов заказчика работе с R-Vision SOAR. Программа обучения состояла из 1 теоретического и 6 практических блоков, раскрывающих весь функционал и возможности внедренного продукта, а также предоставляющих исчерпывающие знания пользователя о том, как работать с продуктом с учетом специфики заказчика и реализованных бизнес-процессов.

г. Москва, Красноярский край, Иркутская и Магаданская области, Республика Саха (Якутия)