Интеграция SECURITM со Staffcop

Staffcop собирает данные о действиях пользователей и помогает расследовать инциденты внутренней безопасности. Работает это, пока агент стоит на хосте и отчитывается серверу. Агент может замолчать после переустановки системы или сбоя, и в самом Staffcop это заметит только тот, кто смотрит на конкретную машину. Службе ИБ нужна общая картина: насколько полно DLP покрывает инфраструктуру прямо сейчас.

Интеграция SECURITM со Staffcop дает эту картину и связывает ее с остальными процессами ИБ.

Состояние агентов и покрытие

В карточке хоста видны статус работы агента Staffcop, дата последнего поступления данных и версия. В модуле метрик появляется группа показателей: на скольких хостах Staffcop активен и какая доля Windows и Linux хостов им покрыта. Если часть инфраструктуры выпала из-под контроля, это видно сразу, и служба ИБ успевает отреагировать.

Staffcop лучше подключать как дополнительный источник к уже работающим интеграциям, например с Active Directory или антивирусом. Тогда метрики покрытия считаются от полного списка хостов и показывают реальную картину, включая машины, о которых сама DLP не знает.

Программы и оборудование

Вместе с состоянием агента приходят списки установленного ПО и оборудования хостов. По ним удобно вести белые и черные списки программ и находить нарушения в составе ПО. Если серверов Staffcop несколько, каждый подключается отдельно, а данные собираются в один реестр.

Автоматизация и соответствие требованиям

Данные о покрытии DLP подходят для автоматической оценки соответствия, например для меры ЗИС.17 Приказа ФСТЭК № 239 или требования PR.DS-5 из NIST CSF. Их можно учитывать в оценке рисков и автоматически корректировать статусы защитных мер. Если метрика покрытия ухудшилась, SECURITM может сам создать задачу на устранение неисправности.

Как начать

Для подключения нужны адрес сервера Staffcop и ключ API, который создается в параметрах сервера вместе с разрешением доступа к API. Инструкция по настройке есть в справке, а сценарии автоматизации можно посмотреть на демонстрации системы.