2. Подружить VM и SIEM

1.

SIEM + VM
как и зачем?
Антон Исаев
Ведущий специалист отдела развития
и продвижения инженерно-технической
экспертизы Positive Technologies
ptsecurity.com

2. Как работают VM и SIEM

ИНФРАСТРУКТУРА
VM
ОПЕРАТОР VM
Positive Technologies
ptsecurity.com
SIEM
ОПЕРАТОР SIEM

3. MaxPatrol 10

Сбор полной информации об инфраструктуре
Автоматическое определение активов, непрерывная
актуализация данных, учет изменений
ОСНОВА
PTSECURITY.COM
SECURITY ASSET
MANAGEMENT

4. MaxPatrol 10

MAXPATROL SIEM
MAXPATROL VM
ВЫЯВЛЕНИЕ ИНЦИДЕНТОВ ИБ
В РЕАЛЬНОМ ВРЕМЕНИ
ПОСТРОЕНИЕ ПРОЦЕССА УПРАВЛЕНИЯ
УЯЗВИМОСТЯМИ
SECURITY ASSET
MANAGEMENT
Обнаружение и приоритизация уязвимостей
Настройка политик сканирования и устранения уязвимостей
Контроль защищенности
Сбор полной информации об инфраструктуре
Автоматическое определение активов, непрерывная
актуализация данных, учет изменений
ВОЗМОЖНОСТИ
ОСНОВА
PTSECURITY.COM
Сбор и анализ событий
Выявление актуальных атак
Расследование сложных инцидентов

5. MaxPatrol 10

В ПАКЕТАХ
ЭКСПЕРТИЗЫ:
Сочетание двух сделает уровень безопасности
еще выше: события можно коррелировать с
уязвимостями и оперативно на них реагировать.
Правила выявления атак
Рекомендации по реагированию
Обновления параметров сбора
и обработки событий ИБ
В БАЗЕ
ЗНАНИЙ:
Правила расчета уязвимостей
Трендовые уязвимости
Рекомендации по устранению
выявленных уязвимостей
MAXPATROL SIEM
MAXPATROL VM
ВЫЯВЛЕНИЕ ИНЦИДЕНТОВ ИБ
В РЕАЛЬНОМ ВРЕМЕНИ
ПОСТРОЕНИЕ ПРОЦЕССА УПРАВЛЕНИЯ
УЯЗВИМОСТЯМИ
SECURITY ASSET
MANAGEMENT
Обнаружение и приоритизация уязвимостей
Настройка политик сканирования и устранения уязвимостей
Контроль защищенности
Сбор полной информации об инфраструктуре
Автоматическое определение активов, непрерывная
актуализация данных, учет изменений
ВОЗМОЖНОСТИ
ОСНОВА
PTSECURITY.COM
Сбор и анализ событий
Выявление актуальных атак
Расследование сложных инцидентов
ЭКСПЕРТИЗА PT

6. VM. Какие могут быть трудности

Название презентации
VM. Какие могут быть трудности
Нет
возможности
часто запускать
сканирование
Задержки в получении актуальных данных
об активах и уязвимостях
Задержки в получении данных о
результатах устранения уязвимостей
«Как выстроен процесс управления уязвимостями в российских
компаниях», Positive Technologies
Positive Technologies
ptsecurity.com
6

7. Чем полезен SIEM для VM

Минимизирует задержки
VM получает новые данные об активах
без сканирования
VM получает информацию об установленном ПО
Positive Technologies
ptsecurity.com
7

8. Общая база активов

События
API / системы IT /
ручной ввод
Сетевой
трафик
АКТИВ
PTSECURITY.COM
Сканирование

9. Как узнать все об активах?

Host Discovery
DHCP servers
* Discovery
DNS servers
* Pentest
Checkpoint, Cisco
Windows Updates Discovery
Kaspersky Security
Center
* Audit
и другие
SCCM
VmWare vCenter
PT NAD
PTSECURITY.COM
AD

10. Актуализация данных об обновлениях

Windows Update
SIEM
Конечный MP Agent
узел
Positive Technologies
Premerger
АКТИВЫ
VM
ОПЕРАТОР VM
ptsecurity.com
10

11. Актуализация данных о ПО

Windows Update
SIEM
Конечный MP Agent
узел
Positive Technologies
Premerger
АКТИВЫ
VM
ОПЕРАТОР VM
ptsecurity.com
11

12. SIEM. Какие могут быть трудности

Название презентации
SIEM. Какие могут быть трудности
Приоритизация
задач
Для корректной приоритизации
событий ИБ нужны
характеристики узла
SIEM
ИНЦИДЕНТЫ
Операторы SIEM не занимаются
asset management
ОПЕРАТОРЫ
SOC
АКТИВЫ
Positive Technologies
ptsecurity.com
СБОР ДАННЫХ
ОБ УЗЛЕ
12

13. Чем полезен VM для SIEM

Обогащает данными об активах
В SIEM есть возможность написать корреляции с
учетом обогащенных контекстных данных об активах
VM помогает автоматизировать работу с активами
в SIEM
Positive Technologies
ptsecurity.com
13

14. Автоматизация работы с активами

ИНФРАСТРУКТУРА
АКТИВЫ
Табличные
списки
SIEM
VM
Positive Technologies
ptsecurity.com
14

15.

PTSECURITY.COM
15

16.

PTSECURITY.COM
16

17.

Демо
корреляции
PTSECURITY.COM
17

18.

Коробочные
корреляции
с учетом
контекста
Positive Technologies
ptsecurity.com 18

19. «MaxPatrol 10, покажи мне …»

Кейс №1:
… Живые активы, которые могут участвовать в инцидентах и
потребуют дополнительного времени на сбор данных
Positive Technologies
ptsecurity.com

20. «MaxPatrol 10, покажи мне …»

Кейс №2:
… Живые уязвимые активы, которые не помогут мне приоритизировать
инциденты в соответствии с их значимостью
Positive Technologies
ptsecurity.com

21. SIEM + VM. Зачем?

Название презентации
SIEM + VM. Зачем?
Экономия вычислительных ресурсов
Продукты работают с единой базой
активов
Экономия человеческих ресурсов
Продукты решают проблемы друг друга
и снижают затраты времени операторов
Positive Technologies
ptsecurity.com
21

22. Спасибо за внимание

Телеграм-канал о новостях продуктов
Positive Technologies:
t.me/ptproductupdate
Задать вопрос о функционале MaxPatrol 10:
t.me/MPSIEMChat
Positive Technologies
ptsecurity.com