Технологические решенияМониторинг
Мониторинг
Стремительное развитие современных информационных технологий влечет за собой рост и развитие корпоративных информационных систем и автоматизированных систем компаний. Инфраструктура современного предприятия имеет разнородную, разнообразную, распределенную структуру. Тысячи, и даже десятки тысяч пользователей, десятки и сотни серверов, огромное количество сетевого оборудования, систем безопасности, различных общих, прикладных, специализированных систем требуют круглосуточного управления, мониторинга и контроля состояния, реакции на события. В таких условиях наиболее важным и критичным для обеспечения безопасности является своевременное обнаружение и реакция на события и инциденты информационной безопасности корпоративной информационной системы. ЦЗИ ООО «Конфидент» предлагает компаниям услуги по построению систем мониторинга и управления событиями информационной безопасности (Security Information and Event Management-SIEM). В качестве технологической основы такой системы предлагается использовать решение Symanteс Security Information Manager (SIM). Symantec SIM представляет собой программно-аппаратный комплекс, позволяющий в режиме реального времени собирать, структурировать, приоритезировать и анализировать все события, имеющие значения с точки зрения информационной безопасности в корпоративной информационной системе. Основные функции, реализуемы Symantec SIM:
- Централизованный сбор, анализ и хранение событий безопасности.
- Обнаружение инцидентов в режиме реального времени;
- Определение приоритетов событий и инцидентов;
- Автоматизация процесса реакции на инциденты;
- Создание различных видов отчетов о сетевой и пользовательской активности, инцидентах, соблюдении нормативных требований информационной безопасности в компании.
Symantес SIM состоит из следующих компонентов:
- Сервер Symentec SIM. Основной сервер, осуществляет управление системой
- Агент сбора. Собирает события с объектов (syslog, файлы, журналы и др.) и передает их на анализатор.
- Анализатор. Производит обработку, корреляцию событий, обнаружение инцидентов по заданным правилам и политикам.
Компоненты могут быть установлены как на одном сервера, так и разнесены на разные платформы.
Внедрение SIEM позволяет компании получить следующие преимущества:
- Обеспечение контроля состояния корпоративной информационной системы в реальном времени;
- Снижение затрат на ИТ-штат, за счет централизованного мониторинга и управления событиями;
- Уменьшение влияния «человеческого фактора» при обнаружении инцидентов безопасности;
- Уменьшение времени реагирования и автоматизация процесса реагирования на инциденты за счет подсказок системы и применения лучших практик;
- Получение инструмента для расследования и доказательств инцидентов ИБ;
- Соответствие требованиям регламентов и стандартов ИБ (PCI DSS и др.).
Symantec SIM является одним из лидеров рынка SIEM, однако для построения систем мониторинга и управления событиями информационной безопасности могут быть применены также такие решения, как ArcSight ESM и IBM Tivoli Security Operations Manager.