R-Vision обновила SIEM до версий 2.8 и 2.9 с новыми инструментами для поиска и мониторинга производительности
Компания R-Vision представила версии платформы R-Vision SIEM 2.8 и 2.9. Обновления затронули инструменты поиска и расследований, управление агентами, контроль производительности и настройку хранения данных. Об этом SecPost сообщили в компании.
В версии 2.9 в поисковых запросах RQL появилась возможность использовать несколько операторов JOIN, сопоставляя данные из нескольких активных списков и хранилищ событий. В карточке найденной записи теперь отображается источник получения данных (хранилище или активный список). Для оповещений реализован переход к связанным событиям в разделе «Поиск», а исключение для правила корреляции можно создать непосредственно из корреляционного события.
Для инженеров в разделе «Аудит источников» появились графики входящего EPS для отслеживания интенсивности потока событий, а также новая точка входа WMI (WinRM) с оптимизированной производительностью и поддержка WebSocket. Для SMB добавлена возможность указать дату начала сбора файлов. В интерфейсе конвейеров реализован переход к нужному конвейеру из таблицы или карточки коллектора, а также добавлена функция просмотра логов конкретного конвейера без обращения к журналам всего коллектора.
Начиная с версии 2.8, управление агентами R-Vision Endpoint перенесено в веб-интерфейс SIEM. Администраторы получили возможность централизованно обновлять агенты, загружая установочные файлы в систему, а также управлять их удалением с конечных устройств или из базы SIEM.
Для контроля производительности в версиях 2.8–2.9 добавлен отдельный Grafana-дашборд для корреляторов и правил корреляции. Для правил корреляции можно устанавливать лимиты на потребление CPU, оперативной памяти и количество генерируемых событий; при превышении лимита система отключает правило только на проблемном корреляторе. Для приема событий по UDP (Syslog, NetFlow, Socket) добавлен локальный буфер, разделяющий прием и обработку данных для снижения риска потерь.
В версии 2.9 появился конструктор хранилищ событий с возможностью выбора движка ClickHouse и настройки PRIMARY KEY и ORDER BY, а также минимальный суммарный срок хранения данных по всем томам. Дашборды получили поддержку нескольких источников данных для виджетов событий и активных списков, а для круговых диаграмм добавлена опция отображения абсолютных значений или процентов.
Читайте также
