Внедрение комплексной системы управления событиями и инцидентами информационной безопасности

1. Усилить уровень защищенности информационно-вычислительной инфраструктуры Заказчика.
2. Автоматизировать процесс управления событиями и инцидентами информационной безопасности.
3. Обеспечить непрерывный мониторинг IT-среды и сбор данных о событиях информационной безопасности.

1. Max Patrol SIEM, операционная система Windows Server 2019, ОС GNU / Linux;
2. операционные системы: Microsoft Windows Server 2019, Debian 10, Ubuntu 20 LTSB;
3. программное обеспечение: Max Patrol SIEM, NIDS Suricata, Security Vision, Zabbix.

Для Angara Security это был первый и уникальный опыт оказания услуги на сторонней SIEM. В кратчайшие сроки потребовалось переделать множество контента и процессов SOC. 

Благодаря этому Angara SOC сможет тиражировать опыт на другие SIEM системы, развивать услуги по мониторингу, быть вендоронезависимыми на рынке информационной безопасности.

Реализация проекта по построению эффективной системы мониторинга и реагирования на инциденты на базе продукта отечественного разработчика Positive Technologies, MaxPatrol SIEM в связке с Angara SOC.

Работы выполнялись рука об руку четко организованными командами Capital Group и Angara Security.

На первом этапе эксперты команды Angara Security провели обследование инфраструктуры Заказчика, глубоко проработали архитектуру, разработали техническое решение и проектную документацию системы. Выработали схему имплементации и приступили к интеграции.

Следующим этапом установили MP SIEM: были развернуты компоненты сбора, анализа и корреляции событий. Выполнено подключение более 20 типов источников с общим итоговым потоком событий более 4000 EPS (EPS = Событий в секунду), с потенциалом для расширения.

Проработали и согласовали детали подключения информационных и защитных систем Заказчика к инфраструктуре Angara SOC. Выполнили подключение, а затем осуществили перевод и адаптацию действующих сценариев выявления подозрений на инциденты Angara SOC на MP SIEM.

В результате внедрения у Capital Group появилась возможность:

1. управлять парком IT активов организации и осуществлять непрерывный сбор информации о состоянии активов (адреса, порты) и их взаимодействии;

2. собирать данные об учетных записях;

3. управлять учетными записями;

4. выявлять инциденты и реагировать на них;

5. выполнять мероприятия по сбору событий ИБ с активов;

6. агрегировать и анализировать события ИБ;

7. передавать события об инцидентах в систему корреляции событий SIEM;

8. накапливать историческую информацию об инцидентах, чтобы производить аналитику и прорабатывать эффективные меры реагирования на инциденты в будущем.

Интеграция SIEM Capital Group с Angara SOC позволила:

1. существенно сократить время реакции на события информационной безопасности;

2. сформировать ретроспективные выборки (отчеты) по компонентам ИТ-инфраструктуры;

3. перейти к управлению полным жизненным циклом событий в ИТ-инфраструктуре.