Интеграция SECURITM с BI.ZONE SOC

Когда мониторинг отдан внешнему SOC, служба ИБ получает поток карточек инцидентов. Разбирать их все равно нужно внутри компании: понять, какой актив затронут, кому поручить, что это значит для рисков. Портал провайдера показывает инцидент, но о внутренних активах, их владельцах и критичности ничего не знает. Связь приходится восстанавливать вручную.

Интеграция SECURITM с BI.ZONE SOC забирает инциденты и сведения о хостах и связывает их между собой. Инцидент от провайдера становится объектом в SECURITM, с которым работают процессы компании.

Инцидент со всем контекстом

В карточке инцидента видны номер, тип, категория, приоритет, описание и рекомендации SOC. Там же правило, по которому инцидент обнаружен, техники и тактики MITRE ATT&CK, вердикт аналитиков, описание решения и действия персонала SOC. Отдельно фиксируется SLA, время, до которого провайдер должен прислать первое уведомление.

Инцидент автоматически связывается с затронутым хостом по IP-адресу, имени или FQDN. Сразу видно, что за система пострадала и кто за нее отвечает.

Хосты и их ценность

Вместе с инцидентами приходят хосты: адреса, MAC, установленное ПО и оценка влияния на доступность, конфиденциальность и целостность. Реестр активов пополняется, а к карточке хоста привязаны инциденты, которые его затронули.

Инциденты в процессах SECURITM

Можно выбрать, инциденты с какими статусами загружать и за какой период. Дальше инцидент обрабатывается по правилам компании. По нему ставится задача с ответственным и сроком, а повторяющиеся инциденты на одних и тех же активах становятся поводом пересмотреть риски и меры защиты. По вердиктам можно построить метрики и оценить, какая доля срабатываний оказалась настоящими атаками.

Как начать

Для подключения нужны адрес сервера и токен с правами на чтение инцидентов, который выдает поддержка BI.ZONE. Инструкция по настройке есть в справке.