Security Vision представила новую версию платформы
17.05.2021
Изменения коснулись множества аспектов, от дизайна и архитектуры до наполнения модулей и принципов работы с данными.
Однако общий подход остался неизменным: Security Vision - это платформа автоматизации и оркестрации процессов информационной безопасности, гибкость которой позволяет оптимизировать практически любое направление деятельности ИБ. Вне зависимости от выбранных функциональных модулей (IRP/SOAR, SGRC) продукт меняет парадигму зонтичных решений, открывая огромное пространство возможностей.
Дизайн и взаимодействие с пользователем
- Пользовательский интерфейс стал еще более дружелюбным, появилась возможность выбора темной или светлой темы, а также поддержка нескольких языков.
- Появились функции быстрой фильтрации и сквозного поиска по всем объектам.
- Элементы управления теперь полностью функциональны на мобильных устройствах и планшетах.
Рабочие процессы
- Теперь объекты в системе не ограничены только одним рабочим процессом, а это снимает все ограничения на потенциал учета и автоматизации. Один и тот же объект, например, Техническое средство, теперь может иметь не зависящие друг от друга циклы анализа и обработки в модулях Инвентаризации, Оценки рисков и Расследования инцидента.
- Рабочие процессы теперь могут как запускаться при наступлении триггера в виде события или быть порождены другим рабочим процессом, так и стартовать по команде планировщика задач на регулярной основе.
- Совместная работа и тестирование рабочих процессов стали значительно удобнее благодаря появлению версионности.
Пользовательские модули и витрины
- Данные, полученные при инвентаризации активов и обработке инцидентов, бесшовно доступны при работе с рисками или аудитами. Однако теперь система предоставляет собственную пользовательскую витрину каждому пользователю.
Конструктор карточек объектов
- Теперь все возможности редактора карточек, такие как создание вкладок, графическое выделение, различные формы ввода и представления информации доступны в No-Code конструкторе. Уже на этапе создания объектов системы пользователь может задать шаблоны автозаполнения информации, создать правила для вводимых данных на основании справочников или регулярных выражений, а также указать поля для дедупликации.
Интеграции
- Теперь полученные на одном сервисе параметры авторизации могут быть использованы для получения данных и выполнения команд на другом.
- Интеграции поддерживают как процессную, так и микросервисную возможность запуска. Первая сохранена для большей скорости и совместимости со встроенными механизмами аутентификации. Контейнеры же позволяют на лету использовать промежуточные сервисы обработки данных.
Инциденты
- Появилась возможность вызова ручных операций не только из полной карточки инцидента, но и из краткой и даже из табличного представления.
- Cтала доступна автоматическая сводка по решению аналогичных инцидентов, на основании Базы знаний и решений.
- Назначение инцидентов на доступного сотрудника теперь может выполняться, исходя из его текущей загруженности и требуемых навыков.
- В карточках интегрированы различные виды таймеров, позволяющие как проводить расчет эффективности обработки, так и автоматически запускать эскалацию при просрочке согласованного уровня обслуживания.
- Появилась возможность встраивать в карточки инцидентов графические виджеты для более углубленного анализа.
- Расширены возможности работы с индикаторами компрометации.
- Добавлена возможность провести аналитику связанных инцидентов, индикаторов компрометации, отчетов исследователей и данных из платформ обогащения прямо из карточки инцидента.
Инвентаризация активов
- Появилась поддержка средств виртуализации, таких как VMware и Hyper-V.
- Инвентаризация распределенных подразделений и дочерних компаний теперь доступна с помощью механизма Конфигураций и Менеджеров коннекторов.
- Появился полноценный инструментарий по постановке и снятию активов с учета в рамках их жизненного цикла.
- Все изменения состояний активов, а также источники получения данных доступны во вкладке История.
Уязвимости
- Модуль Уязвимости платформы Security Vision позволяет консолидировать информацию с имеющихся сканеров уязвимостей, платформ управления обновлениями и других продуктов сбора и анализа данных, в частности со SkyBox.
- Пользователю доступны аналитические сводки с ресурсов Vulners.com, AttackerKB, VulDB и других коммерческих и свободно распространяемых источников.
- Карточка уязвимости теперь может быть снабжена информацией о наличии в сети интернет PoC эксплоитов, а также ссылкой на него, ориентировочной стоимостью разработки эксплоита на черном рынке и его текущей востребованностью среди злоумышленников.
- Пользователь может самостоятельно выбирать политику оценки уязвимостей, используя любые доступные параметры, внося изменения в существующие коэффициенты, либо пользоваться шаблонной оценкой.
- Политика устранения уязвимостей теперь позволяет задавать Соглашения (SLA) c ИТ департаментом, в рамках которых уязвимости должны быть устранены.
Аналитика киберугроз (TI)
- Помимо уже имеющейся двусторонней интеграции с ФинЦЕРТ через почтовое или online взаимодействия, в системе появилась возможность подключения коммерческих платформ Threat Intelligence, таких как Kaspersky, Group-IB, а также IBM X-Force Exchange. Полученные данные нормализуются, дедуплицируются и обогащаются при загрузке. Доступен функционал как исторического поиска в SIEM системах, так и поиск в реальном времени с использованием брокеров обработки больших данных.
Большие данные и модуль машинного обучения (ML)
- Работа с большими данными из программных брокеров сообщений позволяет системе получить доступ к значительно большему объему информации, нежели в SIEM.
- Доступен поиск в реальном времени индикаторов компрометации, а также выявление аномалий в сообщениях с сетевых и конечных устройств.
- Имеющиеся в системе алгоритмы глубокого обучения способны выявлять аномалии, анализируя миллионы событий в день, не требуя при этом значительных производственных мощностей и утилизации лицензии SIEM системы на массивный объем сообщений.
Аналитика и представления данных
- Виджеты, дашборды и отчеты любой сложности в новой версии портала можно создавать с использованием No-Code и Low-Code конструкторов. Пользователи могут самостоятельно настраивать drill-down до связанных виджетов или табличных представлений данных, загружать шаблоны отчетов, настраивать их регулярное формирование, отправку по e-mail или прикрепление в качестве доказательства соответствующего технического контроля.
Архитектура
- Новая версия стала полностью кроссплатформенной. Осталась поддержка установки компонентов на MS Windows, чтобы не потерять безопасного и быстрого функционала взаимодействия с системами под управлением ОС Microsoft, при этом как сама платформа, так и база данных, и коннекторы теперь доступны для установки на Astra Linux и Альт.
- Поддержка баз данных для хранения информации теперь пополнилась PostgreSQL.
Мультиарендность (Multitanancy)
- В новой версии доступна возможность физического разделения данных, обмена индикаторами и инцидентами между связанными компаниями, а также возможность совместного использования коннекторов реагирования.