MaxPatrol SIEM + MaxPatrol VM. Что дает синергия двух продуктов

• MaxPatrol SIEM и MaxPatrol VM объединяют систему выявления инцидентов и управление уязвимостями.  

• Анастасия Зуева и Сергей Сухорухов расскажут о теории и технических кейсах.  

• MaxPatrol 10 объединяет продукты Positive Technologies.  

• Включает уникальную технологию Security Asset Management для управления активами.  

• Помогает видеть все узлы в сети и собирать нужные параметры.  

• Позволяет идентифицировать активы без дублирования информации.  

• Переход от IP-адресов к активам для более точного анализа.  

• Возможность учитывать изменения инфраструктуры в реальном времени.  

• Классификация активов по значимости и влияние на систему.  

• Помогает в расследовании инцидентов и анализе событий.  

• Хранит параметры активов для быстрого анализа инцидентов.  

• Автоматическое определение важности узлов для фильтрации ненужной информации.  

• Система для управления уязвимостями нового поколения.  

• Строит карту сети и автоматически пересчитывает уязвимости.  

• Быстрое реагирование на новые уязвимости и постоянное обновление информации.  

• Взаимное обогащение информации об активах.  

• Возможность расследования инцидентов и создания совместных отчетов.  

• MaxPatrol 10 как технологическая основа для метапродуктов.  

• Акцент на важности активов и их использовании на полную мощность.  

• Активы берутся из разных источников, что делает их важными для всех продуктов.  

• Asset Management позволяет управлять активами, созданными из событий.  

• Натак Discovery позволяет обновлять активы в реальном времени.  

• Использование Asset Management и NTAK Discovery улучшает корреляции и уменьшает объем работы.  

• Классические методы сбора данных, такие как сканирование в черном и белом ящике, остаются актуальными.  

• Заказчики могут использовать готовые данные из различных систем для сокращения усилий на начальных этапах.  

• Возможность создания активов вручную или через консолидированные системы.  

• Система позволяет создавать активы с параметрами и софтом.  

• Возможность создания искусственных активов для оценки уязвимостей.  

• Использование консолидированных систем, таких как Active Directory, для получения данных о хостах и их уязвимостях.  

• Использование различных профилей для сканирования в черном ящике.  

• Создание активов на основе найденных хостов.  

• Применение различных типов сканирования, таких как сервис, порт, софт и другие.  

• Переход к белому ящику для аудита и создания учетных записей.  

• Использование динамических групп для автоматизации процессов.  

• Подключение различных источников данных для увеличения количества хостов.  

• Серверы, DNS-серверы и сетевые устройства создают активы.  

• Обновление информации о софте и версиях в режиме реального времени.  

• Анализ трафика для получения данных о хостах.  

• MaxPatrol 10 помогает управлять активами и инцидентами.  

• Возможность создания запросов для фильтрации активов по различным параметрам.  

• Важность правильного использования данных для приоритизации инцидентов.  

• Усовершенствованная корреляция для выявления уязвимостей на хостах.  

• Возможность создания табличного списка для проверки наличия уязвимостей.  

• Приватизация инцидентов с учетом значимости актива.  

• Уязвимость на хосте MySQL DB Server.  

• Событие от системы IDS о попытке эксплуатации уязвимости.  

• Создание инцидентов только на уязвимых хостах для снижения количества ложных срабатываний.  

• Создание правил корреляции на основе значимости и софта.  

• Использование табличного списка для автоматического обновления хостов.  

• Ветвления корреляционных правил для создания инцидентов с разной критичностью.  

• Предложение создать новый пакет экспертизы для WMM.  

• Усиление взаимного проникновения и обогащения продуктов.  

• Создание новых правил корреляции и переосмысление текущего контента.  

• Сравнение российских и иностранных решений по цене и качеству.  

• Вопросы о технической информации для расследования событий.  

• Особенности и ограничения MaxPatrol WMM и WMM.  

• Версия СМ 23 отличается от новой версии ВМ.  

• ВМ позволяет управлять уязвимостями, контролировать устранение и определять приоритетные активы.  

• В ВМ есть трендовые уязвимости, которые активно эксплуатируются злоумышленниками.  

• В предыдущих версиях СМ уязвимости обновлялись раз в полгода.  

• В ВМ процесс обновления уязвимостей регулярный и поставляется заказчикам.  

• В ВМ есть виджеты и политики для работы с уязвимостями.  

• ВМ хранит информацию об окружении, а не только об уязвимостях.  

• Внешние системы могут собирать уязвимости, но они не будут доступны в ВМ.  

• ВВМ позволяет строить процесс работы с уязвимостями без необходимости повторного сканирования.  

• MP-8 работает с результатами сканирования, а не с активами.  

• ВВМ имеет механизмы политик и запросов для работы с уязвимостями.  

• В MP-8 нет активов, только результаты сканирования.  

• API ВМ находится в процессе документирования.  

• Рабочие записи и официальный документ будут доступны в ближайшее время.  

• Можно создать актив вручную и использовать его для внешних систем.  

• Планируется сканировать контейнеры осенью или в начале следующего года.  

• Будут определяться контейнеры, их настройки и версии.  

• Кластеризация систем зависит от требований и регламентов.  

• В ВМ нет комплаенса, он будет добавлен в будущем.  

• Комплаенс будет отдельным продуктом, но в единой платформе.  

• ВВМ наращивает базу и расширяет возможности.  

• ВВМ работает с активами, определяет уязвимости без повторного сканирования.  

• Легче выстроить процесс устранения уязвимостей.  

• Возможность получать информацию о трендовых уязвимостях от экспертов.  

• Архитектура BPMN схожа с архитектурой SEM, но без сервера корреляции и обработки событий.  

• Можно развернуть две лицензии на одном сервере, используя одну кору и одного агента.  

• Это позволяет вести одну базу активов, назначать критичность и вести группы в одном месте, экономя время.  

• Характеристики хоста зависят от количества обрабатываемых активов.  

• Интеграция выполняется просто, если это одна инсталляция.  

• Рекомендуется совмещать кору с двумя лицензиями на одном сервере для удобства.  

• Можно ли иметь один продукт с полным функционалом "все включено"?  

• Рекомендуется посмотреть ланч метапродуктов для полного функционала.  

• Вопросы можно задавать в чате, где также можно продолжить общение и задать новые вопросы.  

• Рекомендуется посмотреть вебинары по продуктам для получения дополнительной информации.  

• Благодарность за активность и участие.  

• Приглашение в чат для дальнейшего общения и возможного проведения следующего вебинара на основе вопросов.  

• Прощание и благодарность за внимание.