Компоненты Платформы on Alertix

Подсистема приема и обработки входящих событий (Receivers)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент предназначен для приема и обработки событий, передаваемых с использованием определенного протокола и транспорта (syslog (TCP\UDP), NetFlow, SNMP, JDBC), от источников агентского типа (например, Beats) и источников, не поддерживающих стандартный транспорт, требующих использования специфических технологий сбора (SOAP, ODATA).

Компонент включает в себя следующие модули (приемники / сборщики данных от источников):

ресивер Syslog с использованием Logstash;
ресивер Beats с использованием Logstash;
ресивер JDBC с использованием Logstash;
ресивер NetFlow с использованием Logstash;
ресивер SNMP с использованием Logstash;
ресивер Wec с использованием Logstash;

Подсистема хранения и выполнения запросов поиска событий ИБ на основе нереляционной СУБД (Data-cluster и Coordinator)

Mon, 01 Jan 0001 00:00:00 +0000

Компоненты осуществляют хранение и поиск (полнотекстовый и по отдельным атрибутам) в сохраненных данных. Модуль Coordinator является обязательным и устанавливается в единственном экземпляре при установке Платформы.

Компоненты выполняют следующие функции:

аутентификация и авторизация пользователя при доступе к данным;
обработка поступающих событий для создания поисковых индексов по заданным наборам полей;
хранение проиндексированных событий в индексах;
выполнение поисковых запросов в сохраненных и проиндексированных событиях в т.ч. с использованием кросс-кластерного взаимодействия;
резервирование хранимых событий;
обеспечение собственной отказоустойчивости в кластеризованном исполнении;
хранение правил Signal, индикаторов компрометации, обнаружений компонентов Signal и IOC Watcher;
хранение системных настроек, дашбордов компонента OpenSearch Dashboards.

Подсистема визуального отображения событий и формирования поисковых запросов (OpenSearch Dashboards)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент осуществляет передачу поисковых запросов в Opensearch и визуализацию полученных результатов с помощью сервиса OpenSearch Dashboards.

Выполняет следующие функции:

аутентификация и авторизация пользователя при доступе к данным;
возможность аутентификации с использованием внешнего сервиса LDAP;
возможность формирования различных поисковых запросов;
возможность отображения результатов поисковых запросов;
возможность отображения агрегированных и отфильтрованных данных в событиях посредством поставляемых панелей визуализации;
возможность создания собственных панелей визуализации на основе набора стандартных элементов.

Включает в себя следующие модули:

Подсистема автоматизированного ранжирования событий и обнаружения признаков инцидентов ИБ (Signal)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент осуществляет выявление в наборах поступающих событий тех из них, на которые требуется обратить внимание (признаков инцидентов) в соответствии с заданными правилами. Компонент производит запись сведений о выявленных событиях, обогащая дополнительной информацией, необходимой для приоритизации работы над выявленными признаками.

Выполняет следующие функции:

загрузка правил обнаружения событий;
выгрузка правил обнаружения событий;
поиск событий на основе загруженных правил обнаружения;
расчет комплексного показателя опасности на основе количественных коэффициентов и присвоенных тегов;
запись в подсистему хранения и поиска выявленных признаков, для проведения последующего расследования и уведомления.

Подсистема управления (Console)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент предоставляет графический интерфейс пользователя (консоль управления), осуществляет первоначальную установку, настройку и отображение текущего состояния работы комплекса, предоставляет инструментарий учета инвентаризационной информации, поддержку цикла расследования, формирования уведомлений и управления правилами Signal.

Выполняет следующие функции:

аутентификация и авторизация пользователя при доступе к подсистеме;
разграничение доступа пользователям на основе ролевой модели доступа;
возможность аутентификации с использованием внешнего сервиса LDAP;
журналирование действий пользователей подсистемы;
изменение ранее введенных настроек Платформы и отдельных ее компонентов;
отображение (мониторинг) текущих параметров работоспособности Платформы и отдельных ее компонентов;
резервное копирование и восстановление компонентов и настроек Платформы;
контроль глубины хранения доступных для поиска событий и автоматизированные операции с устаревшими данными;
поддержка данных инвентаризации;
формирование отчетов о событиях и инцидентах ИБ;
управление правилами подсистемы автоматизированного обнаружения признаков инцидентов;
обеспечение возможностей эффективного ручного поиска и проверки гипотез среди подозрительных событий, процессов, действий пользователей и именованных каналов;
поддержка проведения полного цикла расследования инцидентов, включая их учет, изменение статуса, сбор и хранение технической информации;
обеспечение возможности отбора инцидентов для подготовки и отправки уведомлений в НКЦКИ (ГосСОПКА);
уведомление о событиях и отправку отчетов посредством внешних систем;
автоматическая регистрация подозрений на инцидент в модуле поддержки проведения полного цикла расследования инцидентов при превышении заданного порога показателя опасности.

Подсистема поиска по индикаторам компрометации (IOC Watcher)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент предназначен для поиска в потоке поступающих событий и ранее проиндексированных событиях индикаторов компрометации, вводимых вручную, загружаемых из файлов, а также поступающих в потоках от поставщиков соответствующих данных. Компонент представляет собой самостоятельный модуль, включающий следующие сервисы:

сервис загрузки и нормализации индикаторов компрометации собственной разработки;
сервис автоматизированного поиска в поступающем потоке событий с учетом показателя достоверности индикаторов собственной разработки;
сервис ретроспективного поиска по хранимым событиям на основе заданий пользователей собственной разработки.

Подсистема обнаружения хостов в событиях ИБ (Census)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент осуществляет поиск в поступающих событиях ИБ сетевых адресов и имен хостов и последующее сопоставление найденной информации с хранимой инвентаризационной информацией. Обеспечивает инструментарий выявления хостов ранее не появлявшихся (новых), контроля наличия установленных Агентов конечных узлов и контроля поступления событий ИБ подключенных источников.

Выполняет следующие функции:

выявление в поступающем потоке событий ИБ и netflow сетевых адресов и имен хостов, принадлежащих задаваемым в настройках подсетям;
выделение из событий ИБ сведений о фактах функционирования Агентов конечных узлов;
выделение из событий ИБ сведений о фактах функционирования источников событий, задаваемых в настройках;
сохранение найденных сведений о хостах в модуль хранения на базе PosgreSQL (Config);
удаление записей по истечению времени в соответствии с заданными настройками;
преобразование адресов и имен посредством внешнего сервиса доменных имен (DNS);
сравнение результатов преобразования прямой и обратных зон DNS;
сопоставление сведений о найденных хостах со сведениями, хранимыми в инвентаризационной информации;
представление сводных данных о найденных хостах для возможности контроля поступления событий, выявления новых хостов в сети в т. ч. на основе хранимой инвентаризационной информации;
автоматическое пополнение инвентаризационной информации сведениями об обнаруженных именах хостов в соответствии с заданными настройками;
загрузка данных о пользователях и компьютерах из внешнего каталога LDAP для дальнейшего использования при расследовании и сохранение информации в подсистеме хранения и выполнения запросов поиска.

Подсистема поведенческого анализа пользователей и процессов (Anomaly Detection)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент поведенческого анализа пользователей и процессов осуществляет формирование и модификацию в режиме реального времени профилей поведения пользователей и процессов ОС (сущностей) на основе анализа действий в операционной системе (аутентификаций, запускаемых процессов, устанавливаемых сетевых соединений, и пр.), а также выявление аномального поведения отдельных пользователей и процессов (в результате сравнения с сформированными профилями) на основе методов математической статистики и машинного обучения, которое может свидетельствовать о вероятном инциденте ИБ. Методы машинного обучения, которые используются в подсистеме, включают в себя, как методы без учителя (различные типы кластеризации и иерархической группировки), так и методы с учителем (на основе имеющегося обширного опыта в ИБ, будут размечены типичные для ИБ аномальные события, что позволит произвести более точную настройку компонента анализа данных и сформировать Базу знаний инцидентов ИБ). Компонент в настоящей версии платформы является экспериментальным, его функциональность будет существенно расширена в будущих версиях.

Сервис управления инвентаризационной информацией

Mon, 01 Jan 0001 00:00:00 +0000

Часть компонента "Подсистема управления", осуществляет учет узлов, объектов, контактов и другой информации о сети и обогащение данных тегами и сведениями о критичности ИТ активов, формирует данные технической инвентаризации.

Выполняет следующие функции:

импорт и хранение информации об объектах из текстовых файлов;
хранение вводимой вручную информации;
организация иерархической взаимосвязи между объектами;
формирование и проверка корректности словарей для осуществления тегирования поступающих событий;
представление данных сервису управления жизненным циклом инцидентов ИБ;
загрузка (синхронизация) данных инвентаризации из НКЦКИ (ГосСОПКА).

Сервис управления жизненным циклом инцидентов ИБ

Mon, 01 Jan 0001 00:00:00 +0000

Часть компонента "Подсистема управления", обеспечивает возможность учета подозрений на инцидент ИБ, их приоритезации, сбора технической информации в процессе расследования, управления жизненным циклом и подготовки инцидента к отправке в НКЦКИ (ГосСОПКА).

Выполняет следующие функции:

регистрация подозрений на инцидент ИБ вручную или как результат работы подсистемы автоматизированного обнаружения признаков инцидентов;
изменение статуса подозрения и инцидента и расчет длительности интервалов времени между изменениями статуса (расчет временных метрик);
классификация и приоритизация подозрений и инцидентов;
учет компьютерных атак, как отдельного класса;
учет предпринятых действий, результатов расследования;
учет собранных фактов, подтверждающих инцидент и технической информации об инциденте или атаке;
учет собранных сведений о источнике инцидента и целях (области) атаки;
назначение ответственных за расследование инцидента;
выстраивание цепочек зависимостей инцидентов (указание последствий или источников);
учет сведений, необходимых для регистрации инцидента в ЛК ГосСОПКА;
использование инвентаризационной информации для обогащения сведений о подозрении, инциденте или атаке;
уведомление ответственных о результатах предварительного расследования (подтверждении инцидента или атаки), и отправка отчетов о расследовании;
сохранение истории изменений подозрений и инцидентов.

Сервис взаимодействия с НКЦКИ (ГосСОПКА)

Mon, 01 Jan 0001 00:00:00 +0000

Часть компонента "Подсистема управления", осуществляет подключение к ЛК ГосСОПКА с использованием API и регистрацию новых инцидентов в ЛК ГосСОПКА.

Выполняет следующие функции:

отображение перечня инцидентов, зарегистрированных в сервисе управления жизненным циклом инцидентов, отмеченных к отправке в ЛК ГосСОПКА;
обеспечение возможности отклонения отправки;
подключение к ЛК ГосСОПКА с использованием API;
регистрация инцидента в ЛК ГосСОПКА в необходимом формате;
вывод на экран ошибок, возвращаемых API ЛК ГосСОПКА.

Сервис поддержки ручной аналитики

Mon, 01 Jan 0001 00:00:00 +0000

Часть компонента "Подсистема управления", обеспечивает возможность проведения оперативной аналитики по поступающим событиям в разрезах: события, процессы, пользователи и именованные каналы. Компонент в настоящей версии платформы является экспериментальным, его функциональность будет существенно расширена в будущих версиях.

Выполняет следующие функции:

отображение и поиск по значимым полям событий с использованием быстрой фильтрации по времени и уровню расчетного показателя опасности;
визуализация динамики поступления событий по примененным фильтрам;
расчет общего количества событий и событий с превышением заданного значения опасности за указанный интервал времени;
отображение и вывод перечня зарегистрированных процессов (если сведения присутствуют в поступающих событиях) с использованием быстрой фильтрации по имени или адресу хоста, на котором произошло событие;
вывод и визуализация в виде графа цепочки запуска процесса любой вложенности с указанием родительского и дочернего процесса;
быстрая разметка процессов по степени подозрительности и сохранение информации о присвоенных метках в БД инвентаризационной информации;
возможность фильтрации и поиска только размеченных событий;
вывод основной технической информации о процессах: имя, GUID, путь к файлу процесса, хост, хеш-сумма файла процесса, ключи команды запуска;
фильтрация событий на основе любого атрибута с возможностью сохранения
запись любого выбранного события в сервис управления жизненным циклом инцидентов ИБ в качестве фактов.

Сервис управления правилами автоматизированного обнаружения признаков инцидентов

Mon, 01 Jan 0001 00:00:00 +0000

Часть компонента "Подсистема управления", обеспечивает возможность управления правилами автоматизированного обнаружения признаков инцидентов и их изменения.

Выполняет следующие функции:

отображение текущего списка установленных в Платформе правил и списков;
полнотекстовый поиск по всем атрибутам правил и списков;
отключение и включение отдельных правил;
удаление созданных пользователями правил и списков;
создание новых правил и списков в т.ч. с использованием клонирования существующих;
изменение существующих правил и списков;
проверка поискового запроса к данным, используемого в правилах;
проверка синтаксиса создаваемого правила.

Подсистема мониторинга параметров функционирования компонентов платформы (Watchdog)

Mon, 01 Jan 0001 00:00:00 +0000

Компонент осуществляет сбор параметров (метрик) функционирования компонентов и окружения платформы, формирования профилей метрик функционирования компонентов платформы Alertix, поддержание работоспособности за счет аварийных действий по заданным в конфигурации порогам, а также выявление аномального отклонения в профилях метрик отдельных компонентов (в результате сравнения с сформированными профилями) на основе методов математической статистики и машинного обучения, которое может свидетельствовать о неэффективных настроях и вероятных сбоях. Методы машинного обучения, которые используются в модуле, включают в себя методы без учителя с предварительным накоплением профилей метрик при нормальной работе компонентов.