Что нового в версии KOMRAD ENTERPRISE SIEM 4.5

05.03.2025

Система KOMRAD ENTERPRISE SIEM используется в критически значимых объектах информационной инфраструктуры. Это государственные учреждения 1 класса защищенности, производства с автоматизированным технологически сложным управлением, в информационных системах с базой персональных данных. Разработчик SIEM ГК «Эшелон» улучшает качество систем, выпуская обновления продуктов, которые максимально соответствуют современным требованиям защиты информации. Новая версия может устанавливаться на RedOS версии 8 и AltLinux версии 10, а также Astra Linux Special Edition 1.8.

Новые возможности с версией 4.5.

Поиск по событиям с использованием различных производных.
Сбор информации о событиях, связанных с функционированием ядра Linux.
Сбор информации о событиях сетевого взаимодействия.
Добавлена имитация Elasticsearch API коллектором HTTP, чтобы собирать логи без перенастройки инфраструктуры.
Специальный модуль управления экспертизами.
Автоматическая установка коллекторов на удаленном хостинге.
Настройка иерархической системы для подачи информации об инциденте на внешние ресурсы.
Агрегация уведомлений.
Агрегация в корреляции.
Инциденты могут импортироваться в систему из файла CSV.
Модуль Grafana со встроенными плагинами.
Обновление СУБД.
Собственный форк ClickHouse 24.8 LTS.
Матрицы атак перенесены в раздел «Справочники» с открытым доступом для пользователей.
Отправка уведомлений в мессенджер Telegram.

Новые плагины с функцией эвристического анализа

eBPF parsing – плагин нормализации событий eBPF коллектора.
eBPF policies – набор политик сбора событий eBPF коллектора.
http-scraping – плагин активного сбора HTTP-событий.
deny – плагин не пропускает события, подходящие под условия поиска.
if – создает ветвление в правилах нормализации и обрабатывает правилами нормализации события, подходящие под условие if в виде regex RE2, grok или CEL.
assign – выполнение произвольной трансформации над текстовыми полями, полями в виде JSON строк, множественными конкатенациями и обработками строк и массивов среди нескольких полей одного события.

Новый уровень проверок и нормализации событий

Проверка на соответствие события правилам Sigma.
Нормализация событий логов Zeek в формате json.
Нормализация событий ecs к внутренним событиям Komrad.
XML события Windows event log.
Установка подписки в ядре Linux для получения событий аудита по мере их возникновения.
Извлечение моделей событий syslog в различных форматах.
Разбиение события на многие.
Добавление произвольных API в HTTP коллектор.