Разработчик систем цифровизации и кибербезопасности R-Vision представил версии R-Vision SIEM 2.8 и 2.9. Обновления расширяют возможности поиска и расследований, упрощают контроль за сбором и обработкой событий, а также добавляют новые инструменты для управления агентами, мониторинга производительности и настройки хранения данных, сообщили блогу Игнатий Цукергохер в пресс-службе компании.
Расширены возможности поиска и расследований
В R-Vision SIEM 2.9 расширились возможности работы с данными в поисковых запросах. Теперь можно:
- одновременно использовать несколько активных списков;
- оператор JOIN в языке RQL поддерживает не только активные списки, но и хранилища событий;
- в одном запросе можно использовать несколько JOIN, сопоставляя данные из разных источников.
Изменения также затронули работу с результатами поиска:
- для панели группировки появился табличный режим, возможность изменять её ширину и просматривать статистику по выбранной группе;
- в карточке найденной записи теперь отображается, из какого хранилища или активного списка она была получена.
Упростилась работа аналитиков во время расследования:
- из карточки оповещения теперь можно перейти к связанным с ним событиям в разделе «Поиск»;
- исключение для правила корреляции можно создать непосредственно из корреляционного события, без необходимости отдельно искать правило и вручную переносить условия.
Кроме того, в версии 2.9 оптимизировано выполнение поисковых запросов, что позволяет снизить задержки и вероятность ошибок.
Контроль источников и работа с конвейерами
Появились графики входящего EPS в разделе «Аудит источников». Теперь в интерфейсе SIEM можно отслеживать интенсивность потока событий как от отдельных источников, так и через точки входа.
В версии 2.9 также появилась:
- новая точка входа WMI (WinRM) с оптимизированной производительностью, возможностью выбирать журналы Windows и меньшими требованиями к правам учётной записи;
- поддержка WebSocket;
- для SMB появилась возможность указать дату, начиная с которой необходимо собирать файлы.
Серьёзно доработан интерфейс конвейеров:
- перейти к нужному конвейеру теперь можно непосредственно из таблицы или карточки коллектора;
- новые элементы можно создавать прямо из связи, копировать, выделять группой и удалять одновременно;
- для ряда точек входа появился сброс позиции чтения;
- для диагностики специалисты теперь могут открывать логи конкретного конвейера, не просматривая журналы всего коллектора.
Управление агентами перенесено в интерфейс SIEM
Появилась возможность централизованно обновлять R-Vision Endpoint через веб-интерфейс SIEM. Администратор может загрузить необходимые установочные файлы в систему и централизованно обновить версию агента на конечных узлах.
Из интерфейса также можно управлять удалением агентов: полностью удалить агент с конечного устройства или удалить сведения о нём из R-Vision SIEM.
Контроль производительности и обработки событий
Появились новые инструменты для контроля работы SIEM под нагрузкой:
- для корреляторов и правил корреляции добавлен отдельный Grafana-дашборд;
- для правил корреляции теперь можно устанавливать лимиты на потребление CPU и оперативной памяти, количество корреляционных окон и число генерируемых событий. Если конкретное правило превышает установленный лимит, система отключает его только на том корреляторе, где возникла проблема;
- для Syslog, NetFlow и Socket появился дополнительный локальный буфер;
- для мониторинга SIEM добавлены новые варианты виджетов метрик и возможность создавать собственные виджеты с помощью запросов PromQL.
Хранилища и визуализация
Появился конструктор хранилищ событий. При их создании можно выбрать движок таблицы ClickHouse, задать PRIMARY KEY и ORDER BY, а при использовании ReplacingMergeTree — настроить удаление дублирующихся записей.
Также появился минимальный суммарный срок хранения данных по всем томам, который помогает защититься от преждевременного удаления событий, необходимых для расследования.
Обновления получили и дашборды:
- виджеты событий и активных списков теперь могут одновременно использовать несколько источников данных;
- для круговых диаграмм можно выбирать отображение абсолютных значений или процентов;
- работа со столбчатыми диаграммами стала удобнее при большом количестве значений.
«Для нас развитие R-Vision SIEM начинается с того, как специалисты работают с системой каждый день. Именно обратная связь пользователей показывает, где аналитик тратит время на лишние действия, какой информации не хватает инженеру для диагностики и что мешает команде решать реальные задачи SOC.
В версиях 2.8 и 2.9 мы отвечали на такие запросы: упростили поиск и расследования, добавили больше инструментов для контроля источников и конвейеров, перенесли управление агентами в интерфейс SIEM. Параллельно продолжили работать над производительностью и устойчивостью системы.
Нам важно, чтобы результат этих изменений был заметен не только в Release Notes, но и в повседневной работе — когда привычные задачи решаются быстрее и требуют меньше усилий»
Денис Матюхин, руководитель продукта R-Vision SIEM
