Security Vision представила новую версию платформы

17.05.2021

Изменения коснулись множества аспектов, от дизайна и архитектуры до наполнения модулей и принципов работы с данными.

Однако общий подход остался неизменным: Security Vision - это платформа автоматизации и оркестрации процессов информационной безопасности, гибкость которой позволяет оптимизировать практически любое направление деятельности ИБ. Вне зависимости от выбранных функциональных модулей (IRP/SOAR, SGRC) продукт меняет парадигму зонтичных решений, открывая огромное пространство возможностей.

Дизайн и взаимодействие с пользователем

Пользовательский интерфейс стал еще более дружелюбным, появилась возможность выбора темной или светлой темы, а также поддержка нескольких языков.
Появились функции быстрой фильтрации и сквозного поиска по всем объектам.
Элементы управления теперь полностью функциональны на мобильных устройствах и планшетах.

Рабочие процессы

Теперь объекты в системе не ограничены только одним рабочим процессом, а это снимает все ограничения на потенциал учета и автоматизации. Один и тот же объект, например, Техническое средство, теперь может иметь не зависящие друг от друга циклы анализа и обработки в модулях Инвентаризации, Оценки рисков и Расследования инцидента.
Рабочие процессы теперь могут как запускаться при наступлении триггера в виде события или быть порождены другим рабочим процессом, так и стартовать по команде планировщика задач на регулярной основе.
Совместная работа и тестирование рабочих процессов стали значительно удобнее благодаря появлению версионности.

Пользовательские модули и витрины

Данные, полученные при инвентаризации активов и обработке инцидентов, бесшовно доступны при работе с рисками или аудитами. Однако теперь система предоставляет собственную пользовательскую витрину каждому пользователю.

Конструктор карточек объектов

Теперь все возможности редактора карточек, такие как создание вкладок, графическое выделение, различные формы ввода и представления информации доступны в No-Code конструкторе. Уже на этапе создания объектов системы пользователь может задать шаблоны автозаполнения информации, создать правила для вводимых данных на основании справочников или регулярных выражений, а также указать поля для дедупликации.

Интеграции

Теперь полученные на одном сервисе параметры авторизации могут быть использованы для получения данных и выполнения команд на другом.
Интеграции поддерживают как процессную, так и микросервисную возможность запуска. Первая сохранена для большей скорости и совместимости со встроенными механизмами аутентификации. Контейнеры же позволяют на лету использовать промежуточные сервисы обработки данных.

Инциденты

Появилась возможность вызова ручных операций не только из полной карточки инцидента, но и из краткой и даже из табличного представления.
Cтала доступна автоматическая сводка по решению аналогичных инцидентов, на основании Базы знаний и решений.
Назначение инцидентов на доступного сотрудника теперь может выполняться, исходя из его текущей загруженности и требуемых навыков.
В карточках интегрированы различные виды таймеров, позволяющие как проводить расчет эффективности обработки, так и автоматически запускать эскалацию при просрочке согласованного уровня обслуживания.
Появилась возможность встраивать в карточки инцидентов графические виджеты для более углубленного анализа.

Расширены возможности работы с индикаторами компрометации.
Добавлена возможность провести аналитику связанных инцидентов, индикаторов компрометации, отчетов исследователей и данных из платформ обогащения прямо из карточки инцидента.

Инвентаризация активов

Появилась поддержка средств виртуализации, таких как VMware и Hyper-V.
Инвентаризация распределенных подразделений и дочерних компаний теперь доступна с помощью механизма Конфигураций и Менеджеров коннекторов.
Появился полноценный инструментарий по постановке и снятию активов с учета в рамках их жизненного цикла.
Все изменения состояний активов, а также источники получения данных доступны во вкладке История.

Уязвимости

Модуль Уязвимости платформы Security Vision позволяет консолидировать информацию с имеющихся сканеров уязвимостей, платформ управления обновлениями и других продуктов сбора и анализа данных, в частности со SkyBox.
Пользователю доступны аналитические сводки с ресурсов Vulners.com, AttackerKB, VulDB и других коммерческих и свободно распространяемых источников.
Карточка уязвимости теперь может быть снабжена информацией о наличии в сети интернет PoC эксплоитов, а также ссылкой на него, ориентировочной стоимостью разработки эксплоита на черном рынке и его текущей востребованностью среди злоумышленников.
Пользователь может самостоятельно выбирать политику оценки уязвимостей, используя любые доступные параметры, внося изменения в существующие коэффициенты, либо пользоваться шаблонной оценкой.
Политика устранения уязвимостей теперь позволяет задавать Соглашения (SLA) c ИТ департаментом, в рамках которых уязвимости должны быть устранены.

Аналитика киберугроз (TI)

Помимо уже имеющейся двусторонней интеграции с ФинЦЕРТ через почтовое или online взаимодействия, в системе появилась возможность подключения коммерческих платформ Threat Intelligence, таких как Kaspersky, Group-IB, а также IBM X-Force Exchange. Полученные данные нормализуются, дедуплицируются и обогащаются при загрузке. Доступен функционал как исторического поиска в SIEM системах, так и поиск в реальном времени с использованием брокеров обработки больших данных.

Большие данные и модуль машинного обучения (ML)

Работа с большими данными из программных брокеров сообщений позволяет системе получить доступ к значительно большему объему информации, нежели в SIEM.
Доступен поиск в реальном времени индикаторов компрометации, а также выявление аномалий в сообщениях с сетевых и конечных устройств.
Имеющиеся в системе алгоритмы глубокого обучения способны выявлять аномалии, анализируя миллионы событий в день, не требуя при этом значительных производственных мощностей и утилизации лицензии SIEM системы на массивный объем сообщений.

Аналитика и представления данных

Виджеты, дашборды и отчеты любой сложности в новой версии портала можно создавать с использованием No-Code и Low-Code конструкторов. Пользователи могут самостоятельно настраивать drill-down до связанных виджетов или табличных представлений данных, загружать шаблоны отчетов, настраивать их регулярное формирование, отправку по e-mail или прикрепление в качестве доказательства соответствующего технического контроля.

Архитектура

Новая версия стала полностью кроссплатформенной. Осталась поддержка установки компонентов на MS Windows, чтобы не потерять безопасного и быстрого функционала взаимодействия с системами под управлением ОС Microsoft, при этом как сама платформа, так и база данных, и коннекторы теперь доступны для установки на Astra Linux и Альт.
Поддержка баз данных для хранения информации теперь пополнилась PostgreSQL.

Мультиарендность (Multitanancy)