Интеграция SECURITM с Ideco NGFW

Межсетевой экран Ideco NGFW видит, что происходит на границе сети: атаки, срабатывания правил, подозрительные подключения. Но эти данные остаются в консоли экрана. Руководитель ИБ не видит их рядом с рисками и активами, а перед проверкой сведения о самом средстве защиты, его сертификате и лицензии собирают вручную.

Интеграция SECURITM с Ideco выводит сетевые инциденты и сведения о межсетевом экране в общую систему управления ИБ.

Сетевые инциденты в реестре

SECURITM забирает из Ideco сетевые инциденты по расписанию. Для каждого сохраняются источник и получатель с IP-адресом, портом, страной и учетной записью, сработавшее правило и его группа, время первого и последнего события, количество повторов. Повторяющиеся инциденты группируются, поэтому видно, как долго длится активность и насколько она интенсивна.

Чтобы не утонуть в шуме, можно забирать только инциденты от заданного приоритета и только за последние дни.

Метрики сетевой безопасности

После подключения в модуле метрик появляются два показателя: новые сетевые инциденты и непрерывные сетевые инциденты. Первый показывает, сколько нового происходит на периметре. Второй показывает, какая активность повторяется и не прекращается. Оба показателя можно вывести на дашборд руководителя и смотреть в динамике.

Межсетевой экран как средство защиты

Ideco учитывается в реестре как средство защиты информации. В его карточке появляются номер сертификата из государственного реестра, тип и срок лицензии, IP-адрес. Там же в таблицах данных отображаются пользователи Ideco с группами и статусом и время их последнего входа. Когда проверяющий спросит о сертификате средства защиты или о том, у кого есть доступ к межсетевому экрану, ответ уже лежит в SECURITM.

Сеть в общей картине рисков

Сетевые инциденты становятся объектами SECURITM. Их можно связать с затронутыми активами, учитывать при оценке рисков и ставить по ним задачи. Сведения о сертификате и лицензии помогают подтвердить выполнение требований к применению сертифицированных средств защиты. Разрозненные инструменты складываются в одну модель, где сетевая защита встроена в процессы ИБ.

Как начать

Для подключения нужны веб-адрес устройства Ideco и учетная запись с правами на чтение. Настройка выполняется в профиле команды SECURITM. Инструкция по настройке есть в справке. Как это выглядит на живых данных, можно посмотреть на демонстрации системы.