Быстрое внедрение

Оперативное развертывание и запуск мониторинга инфраструктуры благодаря поддержке порядка 350 источников данных и более 1300 готовых экспертных правил корреляции.

Актуальная экспертиза

Ежемесячное автоматическое обновление новыми пакетами экспертизы: правила корреляции, механизмы обогащения, табличные списки. Постоянное улучшение и доработка ранее загруженных правил.

Адаптивность к изменениям

Быстрая адаптация к изменениям в инфраструктуре и точная идентификация ИТ-активов. Классификация активов по группам упрощает настройку правил корреляции.

Помощь в принятии решений

Встроенный ML-помощник BAD (Behavioral Anomaly Detection) — система second opinion, повышающая эффективность обнаружения атак за счет альтернативной оценки событий.

Высокая производительность

Обработка более 540 тысяч событий в секунду на одном ядре с полной экспертизой. Использование СУБД LogSpace, которая потребляет в два раза меньше ресурсов, чем аналогичные open source решения.

Удобство для аналитика

Удобная карточка события позволяет просматривать связанные события, проверять потенциально опасные файлы и реагировать на инциденты в едином интерфейсе.

Сбор данных об инфраструктуре и отслеживание изменений в реальном времени

Специалисты по ИБ часто не имеют полной и актуальной информации об ИТ-инфраструктуре компании, что затрудняет выявление уязвимостей и оперативное реагирование. Инфраструктура динамична: системы добавляются, меняются конфигурации, что требует постоянного обновления данных для эффективного мониторинга.

Технология детальной инвентаризации MaxPatrol SIEM обеспечивает контроль изменений инфраструктуры в реальном времени:

• Автоматически создает карточку актива с журналом его состояния.
• Избегает дублирования активов при смене IP- или MAC-адресов благодаря идентификации по дополнительным параметрам (тип ОС, имя узла, признак виртуальности).
• Позволяет собирать активы в динамические группы, которые автоматически адаптируются к изменениям. Это упрощает настройку правил корреляции и отслеживание систем с устаревшим ПО, одинаковыми уязвимостями или открытыми портами.

Контроль полноты и качества сбора событий ИБ

Эффективный мониторинг начинается с подключения источников. Чем больше систем интегрировано, тем полнее картина происходящего и выше уверенность, что инцидент не будет пропущен. MaxPatrol SIEM поддерживает более 310 различных источников и включает свыше 8000 правил нормализации "из коробки".

Технология детальной инвентаризации помогает контролировать полноту подключения активов. Мониторинг источников с учетом типичной активности (например, снижение событий ночью) позволяет оценить качество сбора данных.

Система выявляет:

• Недоступность источника событий.
• Аномалии в распределении потока событий.
• Задержки в получении событий от источника.

Встроенный чек-лист помогает самостоятельно оценить корректность настройки системы.

Обнаружение сложных атак с помощью встроенной экспертизы и машинного обучения

Сбор данных — лишь первый шаг. Основная ценность SIEM — в экспертном контенте, выявляющем инциденты. MaxPatrol SIEM содержит около 900 правил корреляции, покрывающих 70% техник из матрицы MITRE ATT&CK, и обнаруживает попытки нарушить киберустойчивость компании.

ML-технологии позволяют выявлять сложные целевые атаки, направленные на обход стандартных правил.

Возможности системы:

• Создание правил корреляции, в том числе с помощью визуального конструктора.
• Гибкая настройка правил под особенности конкретной инфраструктуры.
• Автоматическая фильтрация по белым спискам (whitelisting) для минимизации ложных срабатываний.

Валидация инцидентов ИБ с помощью ML-помощника

Использование белых списков для снижения ложных срабатываний может увеличить риск пропуска реальных угроз. ML-помощник BAD (Behavioral Anomaly Detection) в MaxPatrol SIEM выступает как система second opinion, помогая валидировать решения оператора.

BAD повышает эффективность обнаружения атак за счет альтернативного анализа событий и оценки достоверности каждой сработки по 100-балльной шкале. Система включает около 30 моделей машинного обучения для выявления подозрительной активности, а экспертные правила снижают риск некорректных результатов.

Ускоренное расследование инцидента и реагирование из единого окна

В критических ситуациях, таких как распространение шифровальщика, требуется немедленное реагирование. MaxPatrol SIEM в связке с MaxPatrol EDR позволяет быстро провести расследование и отреагировать на инцидент.

Правила обогащения позволяют аналитику SOC подтверждать большинство инцидентов без запроса дополнительных данных и получать динамические сведения, формирующиеся в ходе развития атаки.

Возможности для пользователя:

• Обращение к сторонним системам и сервисам прямо из карточки события: проверка трафика в PT NAD, анализ файлов в PT Sandbox, реагирование через MaxPatrol EDR.
• Использование расширений, предложенных сообществом.
• Кастомизация карточки события: настройка удобного набора визуализируемых полей с детализацией PDQL-фильтра.
• Проверка гипотез путем просмотра связанных корреляционных событий.