Kaspersky Unified Monitoring and Analysis Platform

SIEM-система  потенциально  работает  с огромным  количеством  событий, поэтому очень важно, чтобы  она могла  это делать  эффективно. Важным параметром  является  пропускная способность - она считается в EPS (Events  Per Second)  или количество событий в секунду, которые  SIEM может  обрабатывать  — нормализовывать,  обогащать,  кореллировать, записывать  в хранилище. 
 
Второй важный параметр — это  требования  к ресурсам. Понятно, что, если мы достигаем  необходимой пропускной способности за счет каких-то высоких требований к оборудованию,  это плохо. Обычно люди не готовы платить большие деньги за супероборудование. Они ожидают хорошей производительности на разумных ресурсах.

Также система должна поддерживать  масштабирование в широких пределах,  т.е. не иметь  потолка  по объему обрабатываемой  информации.

Важная вещь — это функционал  из коробки.  Настраивать  SIEM с нуля — довольно сложное занятие:  надо смотреть  на форматы  всевозможных  логов, которые нужно собирать. События  от операционной  системы  Windows — это XML, события с сетевого оборудования  — это нечто  другое, Netflow  или  syslog, события  от средств защиты — это нечто третье,  например,  json, и таких форматов  множество.  Чем больше  нужно собирать  данных из разных источников,  тем  больше нужно проделать подготовительной  работы  в части изучения формата  данных каждого из источников. Изучать все эти форматы самостоятельно  и прописывать сначала правила нормализации, а потом и корреляции... Удобно, когда базовые вещи уже преднастроены и написаны!

То же самое касается  правил  обогащения. Если есть типичные  ситуации,  когда уместно обогащение,  например,  добавлять  имена  компьютеров  по IP-адресам  или выполнять  запросы во внешние Treat Intelligence  системы, для выяснения  являются  ли определенные  хеши, URLs и IP-адреса из поступающих событий,  известными индикаторами компрометации, то и их можно заранее добавлять, как правила  обогащения  из коробки.

И, наконец, правила  корреляции.  Есть много ситуаций, которые  известны,  которые  полезно обнаруживать  автоматически, такие как подбор пароля, сканирование  сети, различные техники из матрицы  MITRE  ATT&CK  и так далее.  И для таких ситуаций тоже разумно  иметь  правила из коробки.

Обычно все требования организации закрыть стандартными  правилами  невозможно. У каждой компании будут свои особенности, либо  связанные с их топологией сети, либо связанные  с их специфическими  требованиями  безопасности, когда они хотят обнаруживать какие-то нестандартные  вещи. Желательно, чтобы система могла давать возможность дописать какие-то правила корреляции или правила  нормализации исходных событий.

Kaspersky Unified  Monitoring  and Analysis Platform  имеет  все характеристики  хорошего  SIEM:

—  Микросервисная  архитектура  обеспечивает  плавное  масштабирование  без узких мест, полнофункциональную  систему для демонстрации  можно развернуть  на обычном офисном  компьютере,  но при необходимости  решение можно развернуть  в отказоустойчивой  и распределенной  архитектуре  с пропускной  способностью  500 000 событий  в секунду и выше

—  KUMA включает  предустановленные  настройки  для получения  событий  в стандартных форматах  и для нормализации  их в единый  формат  (CEF), а также  включает  примеры корреляционных  правил.  Список поддерживаемых  протоколов  и форматов  входящих данных, как и список готовых к использованию  из коробки  ресурсов постоянно пополняется 

—  Настройка  всех компонентов  KUMA выполняется  в простом  графическом  интерфейсе  и не требует  знания  никаких специальных  языков разметки  или  программирования.  Ресурсы KUMA можно комбинировать  множеством  разных способов  для решения  разных практических  задач 

Отличительными  особенностями  Kaspersky Unified  Monitoring  and Analysis Platform  являются широкие возможности  по обогащению событий  из внешних источников  и тесная  (но опциональная) интеграция  с экосистемой  продуктов и сервисов Лаборатории  Касперского: 

  —  Интеграция  с Kaspersky Security Center  позволяет  использовать  в анализе  расширенную информацию  об активах, включая сведения об уязвимостях, а также позволяет использовать  возможности  Kaspersky Security Center  для автоматического  реагирования на инциденты 

—  Интеграция  с Kaspersky Threat  Lookup позволяет  выполнять  запросы  в облачную  базу данных киберразведки  Лаборатории  Касперского для получения  контекста  и обнаружения индикаторов  компрометации 

  —  Интеграция  с Kaspersky CyberTrace  позволяет  автоматизировать  обнаружение индикаторов  компрометации  за счет запросов  в локальную  платформу  разведданных  об угрозах (Threat  Intelligence  Platform),  а также позволяет  аналитику  в один клик пополнять локальную  базу индикаторов  компрометации  данными  из событий