Интеграция SECURITM с R-Vision

R-Vision часто используют для управления событиями и инцидентами ИБ. Если в компании работают обе системы, данные об инцидентах, индикаторах компрометации, оборудовании и задачах оказываются отдельно от рисков, требований и реестра активов в SECURITM. Картина распадается на две. Инцидент в одной системе, риски и требования в другой, а связь между ними держится в голове у аналитика.

Интеграция SECURITM с R-Vision переносит эти данные в единую модель SECURITM. Объекты из R-Vision становятся активами, уязвимостями и задачами, связанными с инфраструктурой, владельцами и процессами.

Что переносится

Из R-Vision импортируются компании, подразделения, оборудование, группы ИТ-активов, бизнес-процессы, документы по ИБ с вложениями, инциденты с файлами-свидетельствами, индикаторы компрометации, технические уязвимости и рабочие задачи. Каждый объект попадает на свое место. Оборудование становится активами подходящего типа, группы ИТ-активов становятся системами, уязвимости идут в модуль технических уязвимостей, задачи идут в модуль задач.

Связи сохраняются

Ценность этих данных в связях. Оборудование привязывается к подразделениям, компаниям и инцидентам. Инцидент связывается с индикаторами компрометации. Бизнес-процесс размещается внутри системы, с которой связан. Владельцы и администраторы назначаются из уже существующих карточек сотрудников, найденных по учетной записи, поэтому люди не дублируются. Все это видно в карточках активов и на графе связей.

Инциденты рядом с рисками

Когда инцидент живет в той же модели, что и активы, по нему видно, какая инфраструктура затронута, кто за нее отвечает и какие процессы от нее зависят. Импорт можно ограничить незакрытыми инцидентами и свежим периодом, чтобы в SECURITM попадало только актуальное. Технические уязвимости приходят с оценками CVSS и рекомендациями по устранению и дальше участвуют в приоритизации и работе с рисками. Уязвимости, которые перестали приходить из R-Vision, закрываются автоматически.

Бережно к существующим данным

Повторный импорт находит уже загруженные объекты по идентификатору R-Vision, а оборудование также по FQDN, имени хоста и IP-адресу. Можно запретить создание новых активов и только обогащать существующие, защитить от перезаписи названия, приведенные к стандарту компании, и настроить архивирование активов, которые давно не обновлялись. Обмен идет в одну сторону, из R-Vision в SECURITM, и данные в R-Vision не меняются.

Как начать

Интеграция доступна в редакции SECURITM Enterprise. Для подключения нужны адрес сервера R-Vision и API-токен с доступом на чтение к нужным разделам, состав данных зависит от поставки R-Vision. Инструкция по настройке есть в справке.