R-Vision SIEM

Один из ключевых компонентов системы информационной безопасности в организации, отвечающий за мониторинг инфраструктуры, своевременное выявление инцидентов и киберугроз, их расследование и реагирование. R-Vision SIEM спроектирована для бесперебойной работы в быстро развивающихся, высоконагруженных и сложных геораспределённых инфраструктурах.

Решаемые задачи

• Централизованный сбор и управление потоками событий
• Непрерывный мониторинг инфраструктуры и контроль изменений
• Выявление инцидентов и киберугроз в режиме реального времени
• Получение контекста, расследование и реагирование

Преимущества

R-Vision SIEM обеспечивает высокую производительность, выдерживая нагрузку 500k+ EPS на один узел. Распределённая корреляция и возможность горизонтального масштабирования за счёт добавления коллекторов позволяют равномерно распределять нагрузку и быстро адаптировать систему под рост инфраструктуры.

Решение построено на современной микросервисной архитектуре и поддерживает централизованное управление системой, мультиарендность и работу с изолированными сегментами сети.

В состав продукта входит богатая экспертиза «из коробки»: более 850 правил корреляции, 200+ источников событий и покрытие MITRE ATT&CK® 75%. Обновление пакетов экспертизы происходит каждые две недели и сопровождается рекомендациями по анализу, локализации и устранению выявленных инцидентов.

Открытый API, большое количество интеграций и инструменты для создания собственных правил детектирования обеспечивают гибкость внедрения, а оптимизация хранения событий и управление ресурсами позволяют эффективно использовать инфраструктуру и масштабировать систему без избыточных затрат.

Функциональные возможности

— Организация сбора и обработки событий

Сбор событий в R‑Vision SIEM организован с помощью конвейера обработки событий, который помогает выстроить работу с потоком событий: подключить источники сбора данных, настроить нормализацию, указать хранилище.

— Выявление инцидентов с помощью правил корреляции

Анализ событий в R‑Vision SIEM происходит в режиме реального времени. Система содержит обширный контент-пак, который постоянно обновляется.

Для создания собственных правил корреляции предусмотрен графический редактор, а также их можно написать, используя код на языке VRL, который помогает создавать правила без ограничений в их логике.

Есть встроенные подсказки и тестирование для оптимизации процесса разработки. Также есть функция версионирования для контроля разрабатываемого контента.

— Расследование и реагирование на инциденты

Работая в связке с R‑Vision SOAR, R‑Vision SIEM помогает провести расследование инцидента ИБ и оперативно на него отреагировать.

— Обогащение контекстом и данными Threat Intelligence

Дополнительный модуль R‑Vision TIP, предназначенный для анализа информации о киберугрозах, позволяет снизить нагрузку на SIEM‑систему за счёт работы с индикаторами компрометации.

R‑Vision TIP обеспечивает сбор данных Threat Intelligence в автоматическом режиме, поиск и обнаружение индикаторов в инфраструктуре организации, а также передачу обработанных данных напрямую на внутренние средства защиты.

— Отчётность и визуализация

В R‑Vision SIEM имеются преднастроенные графики, дашборды и отчёты для отслеживания метрик ИБ и предоставления топ-менеджменту или регуляторам. Доступна возможность конструирования своих собственных отчётов и графиков для выгрузки данных в любых разрезах в автоматическом режиме.

— Полный цикл обработки событий в отдалённом сегменте

Сателлиты выполняют полный цикл обработки событий в выделенных сегментах инфраструктуры и управляются из единого окна, где настраиваются конвейеры и ведётся мониторинг состояния площадок. При разрыве связи с центром сателлит продолжает автономную работу, а гибкое распределение функций между сателлитом и центральным узлом обеспечивает оптимальную балансировку нагрузки и адаптацию под задачи конкретного сегмента.

Сертификация и соответствие требованиям

• Сертификат ФСТЭК России № 4888 от 10.12.2024, срок действия — 10.12.2029. Требования доверия (4), ТУ
• Использование R-Vision SIEM помогает обеспечить соответствие требованиям: Федеральных законов №152‑ФЗ, 187‑ФЗ, Приказов № 17, 21, 31, 235 ФСТЭК России, Указу Президента №250, Стандартам ГОСТ Р 57580.1-2017 и PCI DSS.