Подсистема поиска по индикаторам компрометации (IOC Watcher)

Компонент предназначен для поиска в потоке поступающих событий и ранее проиндексированных событиях индикаторов компрометации, вводимых вручную, загружаемых из файлов, а также поступающих в потоках от поставщиков соответствующих данных. Компонент представляет собой самостоятельный модуль, включающий следующие сервисы:

  • сервис загрузки и нормализации индикаторов компрометации собственной разработки;

  • сервис автоматизированного поиска в поступающем потоке событий с учетом показателя достоверности индикаторов собственной разработки;

  • сервис ретроспективного поиска по хранимым событиям на основе заданий пользователей собственной разработки.

Выполняет следующие функции:

  • загрузка индикаторов компрометации из потоков данных поставщиков (фидов);

  • загрузка индикаторов компрометации из файлов;

  • ручной ввод индикаторов компрометации;

  • автоматический поиск в индексируемом потоке событий по индикаторам компрометации (каждые 20 минут);

  • поиск по отдельным индикаторам компрометации по событиям, поступившим в прошлом (ретроспективный поиск);

  • запись в подсистему хранения и поиска выявленных совпадений, для проведения последующего расследования, и уведомления;

  • запись результатов работы сервиса автоматического и ретроспективного поиска в сервис управления жизненным циклом инцидентов ИБ в качестве фактов.