MaxPatrol SIEM + MaxPatrol VM. Что дает синергия двух продуктов

• MaxPatrol SIEM и MaxPatrol VM объединяют систему выявления инцидентов и управление уязвимостями.  

• Анастасия Зуева и Сергей Сухорухов расскажут о теории и технических кейсах.  

• MaxPatrol 10 объединяет продукты Positive Technologies.  

• Включает уникальную технологию Security Asset Management для управления активами.  

• Помогает видеть все узлы в сети и собирать нужные параметры.  

• Позволяет идентифицировать активы без дублирования информации.  

• Переход от IP-адресов к активам для более точного анализа.  

• Возможность учитывать изменения инфраструктуры в реальном времени.  

• Классификация активов по значимости и влияние на систему.  

• Выявление актуальных атак и расследование инцидентов.  

• Хранение параметров активов для быстрого анализа инцидентов.  

• Определение важности узлов для фильтрации ненужной информации.  

• Система управления уязвимостями нового поколения.  

• Использование Security Asset Management для быстрого реагирования на новые уязвимости.  

• Постоянное обновление информации о сети.  

• Взаимное обогащение информации об активах.  

• Расследование инцидентов и уязвимостей.  

• Совместные отчеты и консолидация защиты и мониторинга.  

• Акцент на важности активов и их использовании на полную мощность.  

• Активы берутся из разных источников, что делает их важными для всех продуктов.  

• Asset Management позволяет управлять активами, созданными из событий.  

• Натак Discovery позволяет обновлять активы в реальном времени.  

• Использование Asset Management и NTAK Discovery улучшает корреляции и уменьшает объем работы.  

• Классические методы сбора данных, такие как сканирование в черном и белом ящике, остаются актуальными.  

• Заказчики могут использовать готовые данные из различных систем для сокращения усилий на начальных этапах.  

• Возможность создания активов вручную или через консолидированные системы.  

• Система позволяет создавать активы с параметрами и софтом.  

• Возможность создания искусственных активов для оценки уязвимостей.  

• Использование консолидированных систем, таких как Active Directory, для получения данных о хостах и их уязвимостях.  

• Использование различных профилей для сканирования в черном ящике.  

• Создание активов на основе найденных хостов.  

• Применение различных типов сканирования, таких как сервис, порт, софт и другие.  

• Использование белого ящика для аудита и создания учетных записей.  

• Применение динамических групп для автоматического сканирования.  

• Подключение различных источников данных для увеличения количества хостов.  

• Серверы, DNS-серверы и сетевые устройства создают активы.  

• Касперский Security Center создает активы с софтом и версиями.  

• Актуализация данных в режиме реального времени.  

• Анализ трафика для создания и обновления активов.  

• Важность активов в MaxPatrol 10.  

• Примеры использования запросов для анализа активов.  

• Запрос для выявления живых активов, участвующих в инцидентах.  

• Использование дат создания, обновления и устаревания для фильтрации.  

• Важность правильного сбора данных для предотвращения инцидентов.  

• Запрос для выявления уязвимых активов, которые не помогут приоритизировать инциденты.  

• Фильтрация хостов без значимости и с уязвимостями.  

• Возможность использования данных для устранения уязвимостей и назначения значимости.  

• Усовершенствованная корреляция для выявления уязвимостей на хостах.  

• Возможность создания инцидентов на основе значимости актива.  

• Пример с уязвимостью на MySQL сервере и попыткой эксплуатации.  

• Создание правил корреляции для выявления уязвимостей.  

• Использование табличного списка для обновления хостов.  

• Ветвления корреляционных правил для создания инцидентов разной критичности.  

• Предложение создать новый пакет экспертизы для SEM.  

• Усиление взаимного проникновения и обогащения продуктов.  

• Создание новых правил корреляции и переосмысление текущего контента.  

• Сравнение российских и иностранных решений по цене и качеству.  

• Вопросы о технической информации для расследования событий.  

• Особенности MaxPatrol SVM и его ограничения.  

• Версия СМ 23 отличается от новой версии ВМ.  

• ВМ позволяет управлять уязвимостями, контролировать устранение и определять приоритетные активы.  

• ВВМ содержит трендовые уязвимости, которые активно эксплуатируются злоумышленниками.  

• В предыдущих версиях СМ уязвимости обновлялись раз в полгода.  

• В ВМ процесс обновления уязвимостей регулярный и поставляется заказчикам.  

• ВВМ предоставляет виджеты и политики для работы с уязвимостями.  

• ВВМ хранит информацию об окружении, а не только об уязвимостях.  

• Внешние системы могут собирать уязвимости, но они не будут доступны в ВВМ.  

• ВВМ позволяет строить процесс работы с уязвимостями на основе политик и запросов.  

• ВВМ отличается от других продуктов, таких как MaxPatrol 8, наличием активов и уязвимостей.  

• ВВМ позволяет управлять уязвимостями через политики и запросы.  

• ВВМ не имеет активов, но может импортировать отчеты от MaxPatrol 8.  

• API ВВМ находится в процессе документирования.  

• В будущем появится официальный документ с описанием API.  

• В настоящее время можно использовать веб-интерфейс для изучения запросов.  

• ВВМ планирует сканировать контейнеры осенью или в начале следующего года.  

• Сканирование будет включать определение контейнеров, их версий и настроек.  

• Кластеризация ВВМ возможна, но требует тщательного планирования.  

• ВВМ не имеет режима комплаенс, который присутствует в MaxPatrol 8.  

• В планах добавить комплаенс в ВВМ, но это будет отдельный продукт.  

• ВВМ наращивает базу и планирует расширить её в будущем.  

• ВВМ имеет работу с активами, возможность определять уязвимости без повторного сканирования.  

• ВВМ позволяет легче выстроить процесс устранения уязвимостей и получать информацию от экспертов.  

• ВВМ может уменьшить трудозатраты на обработку уязвимостей.  

• Архитектура BPMN схожа с архитектурой SEM, но без сервера корреляции и обработки событий.  

• Можно развернуть две лицензии на одном сервере, используя одну кору и одного агента.  

• Это позволяет вести одну базу активов, назначать критичность и вести группы в одном месте, экономя время.  

• Характеристики хоста зависят от количества обрабатываемых активов.  

• Интеграция выполняется просто, если это одна инсталляция.  

• Рекомендуется совмещать кору с двумя лицензиями на одном сервере для удобства.  

• Можно ли иметь один продукт с полным функционалом "все включено"?  

• Рекомендуется посмотреть ланч метапродуктов для полного функционала.  

• Вопросы можно задавать в чате, где также можно продолжить общение и задать новые вопросы.  

• Рекомендуется посмотреть вебинары по продуктам для получения дополнительной информации.  

• Благодарность за активность и участие.  

• Приглашение в чат для дальнейшего общения и возможного проведения следующего вебинара на основе вопросов.  

• Прощание и благодарность за внимание.