Интеграция SECURITM с MaxPatrol EDR

MaxPatrol EDR работает на конечных точках и реагирует на атаки. Но его эффективность зависит от простых вещей: стоит ли агент на всех нужных хостах, выходит ли он на связь, не отключена ли самозащита. Эти вопросы задают на каждом аудите, а ответ обычно собирают из консоли вручную.

Интеграция SECURITM с MaxPatrol EDR поддерживает в реестре активов актуальный список защищаемых хостов и показывает состояние агентов на каждом из них.

Агент в карточке актива

В карточке хоста видно, подключен ли агент и когда последний раз был в сети, авторизован ли он, какая у него версия и когда он зарегистрирован. Отдельно отражаются состояние самозащиты агента и статус изоляции узла. Если включен импорт модулей, в карточке появляется список установленных модулей EDR.

Хост с отключенной самозащитой или агентом, который давно не выходил на связь, легко найти фильтром и передать ответственному.

Реестр без дубликатов

Хосты создаются в SECURITM как активы с типом ОС Windows, ОС Linux или общим типом операционной системы. При повторной синхронизации актив сопоставляется по идентификатору агента, поэтому дубликаты не появляются. Вместе с хостом приходят группа, метки, пользователи и сетевые имена. Если сведения о хосте перестали поступать, его можно автоматически архивировать.

Покрытие EDR и общая картина ИБ

В модуле метрик появляется показатель по активам из MaxPatrol EDR. Когда в реестре есть данные из других источников, например из Active Directory или MaxPatrol VM, видно, на каких серверах и рабочих местах агента нет. Такие пробелы становятся задачами, учитываются в оценке рисков и служат фактическим подтверждением для требований к защите конечных точек.

Как начать

Для подключения нужны адрес управляющего сервера MaxPatrol EDR и API-токен, созданный на нем с правами для интеграции. Инструкция по настройке есть в справке, а работу реестра активов можно посмотреть на демонстрации системы.