SIEM Alertix 3.9 с новым функционалом упростит работу аналитиков ИБ

Функция реагирования в Alertix 3.9 реализована благодаря совершенно новому функционалу управления скриптами: связанные с правилами корреляции, они автоматически отображаются в воркспейсах. При этом предусмотрена возможность передавать переменные из события в сценарий. Например, в скрипт из воркспейса автоматически поступают такие параметры события, как имя пользователя, домен, адрес источника и назначения, на основе чего осуществляется ограничение доступа к скомпрометированному хосту или УЗ. Автоматическая передача параметров ускоряет процесс реагирования и сокращает трудозатраты специалиста, а кроме того, скрипты могут быть использованы для обработки и обогащения данных как в рамках воркспейса, так и при работе с блокнотом аналитика.

Помимо усовершенствования управления скриптами SIEM Alertix 3.9 получил обновлённую страницу обзора с удобным интерфейсом для упрощения навигации. Поиск теперь можно проводить не только по индексам, но и по обсерверам. Это позволяет работать с конкретными источниками данных без привязки к ранее созданным индексам и структуре, делая запросы более точечными. Для удобства аналитиков в «Обзор» добавлены вкладки с поддержкой датасетов, что даёт возможность оперативно перейти к нужному фильтру или набору данных в рамках одного окна.

Благодаря обновлению в модуле инвентаризации можно хранить информацию об операционных системах, ПО и аппаратном обеспечении, что также помогает при расследовании. Также теперь доступен сбор данной информации силами агентов Alertix.

Изменения коснулись и основного прикладного функционала SIEM. Так, в Alertix 3.9 реализована возможность обогащения событий от RST Cloud, которые обновляются на ежедневной основе. К пользователям поступают уже предварительно обработанные, нормализованные и отфильтрованные данные об угрозах. Это снижает шум и минимизирует количество ложных срабатываний.

Подробности в Release Notes