KOMRAD Enterprise SIEM Функциональные возможности
- высокопроизводительный сбор событий ИБ в инфраструктуре масштаба предприятия
- нормализация — приведение событий к внутренней структуре события
- автоматическая индексация событий
- визуальный конструктор правил фильтрации событий
- возможность разработки кастомизированных правил фильтрации на языке Lua
- визуальный конструктор директив корреляции
- агрегация инцидентов
- уведомление о факте регистрации инцидента как в интерфейсе пользователя, так и по электронной почте
- выполнение пользовательских сценариев реагирования (Python, Bash) на инциденты
- история генерации инцидента показывает всю последовательность действий коррелятора и сопутствующую информацию, что значительно упрощает расследование
- назначение ответственного
- горизонтальное: установка на отдельные узлы в сети следующих компонентов системы – коллектор (сбор, фильтрация и нормализация событий), процессор (обработка и регистрация событий), хранилище (хранение событий), коррелятор (корреляция событий), главный узел (управления системой)
- вертикальное: возможна передача инцидентов из KOMRAD нижнего уровня в KOMRAD верхнего уровня
Средства аналитики и визуализации, отчеты
- отображение данных событий в виде графиков и диаграмм: линейные, столбчатые, круговые, радиальные и др.
- создание дашбордов для управления активами
- формирование отчётов
Возможности KOMRAD Enterprise SIEM
Продукт обладает следующими техническими характеристиками:
- сбор событий Syslog, SNMP, SQL, FTP, WMI, SFTP, SSH, xFlow, HTTP, eBPF
- удаленная установка коллекторов в графическом интерфейсе
- возможность создания иерархии из 2-x KOMRAD
- автоматическая нормализация событий в форматах CEF, RFC 5424, RFC 3164, EVTX
- возможность разбора событий в произвольном формате с помощью регулярных выражений (RE2) для подключения нестандартных источников событий информационной безопасности
- поддержка
Elastic Common Schemа - широкий спектр поддерживаемых отечественных СЗИ
- предустановленные виджеты для визуального анализа данных
- хранилище событий на основе
ClickHouse - визуальный конструктор правил фильтрации и корреляции событий
- возможность создания произвольных правил фильтрации событий на языке Lua
- возможность распределенной установки компонентов системы и масштабирования решения
- предустановленные правила корреляции
- агрегация в корреляции
- управление инцидентами ИБ
- справочники матриц атак для анализа и классификации инцидентов
- уведомления об инцидентах по почте, с помощью
webhook - возможность интеграции с внешними системами: поддержка API ГосСОПКА, передача карточки инцидентов в CEF, отправка сообщений в
JetSignal, отправка вApache Kafka - импорт и экспорт пакетов экспертиз для выявления актуальных инцидентов информационной безопасности
- поддерживаются следующие среды функционирования: Ubuntu, Astra Linux SE 1.7-1.8, ОС “ОСнова”, РедОС, Альт СП
