Интеграция SECURITM с MaxPatrol SIEM

MaxPatrol SIEM коррелирует события и выдает инциденты. Дальше начинается работа, которая к SIEM уже не относится. Кто разбирает инцидент и в какой срок, что затронуто, какие меры приняты, повторяется ли это на одних и тех же системах. Если ответы живут в почте и таблицах, руководитель ИБ не видит, как на самом деле идет реагирование.

Интеграция SECURITM с MaxPatrol SIEM переносит инциденты и хосты в единый реестр. Инцидент связывается с активом, у актива есть владелец и критичность, а работа по инциденту идет в процессах SECURITM.

Инцидент как рабочий объект

Каждый инцидент становится карточкой со статусом, типом, категорией и критичностью. В ней видны даты регистрации и обнаружения, канал обнаружения, правило корреляции, число событий, признак подтверждения и принятые меры. Если затронутый хост есть в реестре, SECURITM связывает с ним инцидент, и по серверу сразу видно, какие инциденты его касались.

Реагирование по сценариям

Появление или изменение карточки инцидента может запускать сценарий RPA, например поставить задачу ответственному или выполнить типовые шаги реагирования. Задачи на расследование получают исполнителя и срок. Обработка инцидентов становится процессом с понятными этапами, и его можно измерить.

Покрытие мониторингом

SECURITM не дублирует поток событий из SIEM. По каждому хосту приходят сводные сведения: есть ли события, сколько их и когда было последнее. Этого достаточно, чтобы найти слепые зоны. Серверы, от которых SIEM ничего не получает, и источники, которые давно замолчали, видны в метриках и становятся задачами для ИТ.

Инциденты в картине рисков и соответствия

Инциденты можно связывать с рисками, защитными мерами и требованиями. Повторяющиеся инциденты на одном активе становятся поводом пересмотреть оценку риска. Метрики по количеству и критичности инцидентов показывают руководству динамику, а реестр инцидентов с историей обработки помогает на проверках, где нужно подтвердить, что компания реагирует на инциденты.

Как начать

Для подключения нужны адрес сервера MaxPatrol SIEM и персональный токен учетной записи с правами на чтение активов и инцидентов. Инструкция по настройке есть в справке, а процессы работы с инцидентами можно посмотреть на демонстрации системы.