Интеграция SECURITM с F6 EDR

EDR собирает телеметрию с конечных точек и превращает подозрительное поведение в инциденты. Для службы ИБ это только начало работы. Нужно понять, какой актив затронут и насколько он важен, кто за него отвечает и что делать дальше. При этом EDR видит только устройства со своим агентом, а про остальные молчит.

Интеграция SECURITM с F6 EDR забирает хосты и инциденты и объединяет их с данными других источников. Получается цельная картина угроз и состояния инфраструктуры.

Агенты под контролем

Для каждого хоста в SECURITM видны статус агента EDR, его версия, ошибки, дата последней активности, последние IP-адреса и учетная запись последнего входа. Там же число алертов по хосту. Устройства с неработающим или давно молчащим агентом находятся фильтром, а метрика по активам из F6 EDR показывает масштаб покрытия.

Инциденты рядом с активами

Инциденты F6 EDR попадают в SECURITM вместе с уровнем критичности и статусом и привязываются к уже известным хостам. В карточке компьютера видно, что с ним происходило. В карточке инцидента видно, насколько важен затронутый актив. По инциденту можно поставить задачу, учесть его при оценке рисков и показать в отчетности.

Одна картина из нескольких источников

Если в компании есть Active Directory, антивирус или сканер уязвимостей, SECURITM сводит их данные с F6 EDR в одну карточку актива. Хост, который есть в домене, но не виден в EDR, становится заметен, и его можно передать ответственному на установку агента.

Как начать

Для подключения нужны адрес сервера F6 EDR и персональный токен, который создается в профиле пользователя F6. Инструкция по настройке есть в справке.