TDIR – одна из новых аббревиатур на рынке ИБ. Пару лет назад компания Gartner предсказала слияние нескольких реше: ний в единый класс, заточенный под обнаружение и реагирование на инциденты: Threat Detection and Incident Response. Однако, еще в 2020 г. компания UserGate начала разработку собственной SIEM-системы и в целом движение в сторону раннего обнаружения угроз и оперативного ответа на них. Поэтому сейчас функциональность экосистемы UserGate SUMMA, которая логически и технологически объединяет в себе все продукты и услуги компании, соответствует концепции TDIR. Рассмотрим, как и за счет каких компонентов это происходит.
Автор: Дмитрий Чеботарев, менеджер по развитию UserGate SIEM
Вопрос обнаружения и реагирования на киберугрозы в условиях постоянно меняющегося ландшафта атак остается актуальной. Одна из ключевых проблем – недостаточная скорость реакции на инциденты. Учитывая, что атаки могут разворачиваться за считанные минуты, промедление даже на несколько часов может привести к значительным последствиям. Исторически для выявления инцидентов используются системы SIEM, но у этого класса есть свои ограничения.
С одной стороны, по мере увеличения объема как угроз, так и данных решениям SIEM все сложнее справляться с масштабами агрегации, анализа, хранения и выдачи данных.
С другой стороны, системы SIEM только выявляют инцидент, ориентируясь на поток событий от источников, но вопросы реагирования приходится решать интеграцией с продуктами других классов.
Эти предпосылки естественным образом подталкивают развитие SIEM в сторону более комплексного решения. Для него Gartner и придумала аббревиатуру TDIR.
Что такое TDIR?
Концептуально TDIR – это процесс выявления, оценки угроз и реагирования на них. Платформы TDIR, которые реализуют эту концепцию, могут использоваться для выявления действий злоумышленников и, главное, оперативно принимать решения о мерах реагирования до того, как инцидент затронул критические части инфраструктуры.
TDIR объединяет в единую систему широкий спектр технологий, процессов и классов решений, включая SIEM, TIP, IRP/SOAR и EDR, обеспечивая комплексный подход к управлению угрозами и инцидентами безопасности.
Создание платформ TDIR с нуля маловероятно из-за сложности разработки и огромных ресурсов, которые требуются для этого. Более вероятен сценарий, когда такие решения будут формироваться через интеграцию отдельных ИБ-продуктов со своей функциональностью в единую экосистему.
По такому пути пошла экосистема UserGate SUMMA. Она как раз и реализует подход к платформам TDIR за счет априорной интегрированности отдельных продуктов UserGate
SIEM – основа решения
Двигатель под капотом TDIR – это, безусловно, SIEM. Вопрос анализа событий и выявления инцидентов попрежнему остается ключевым.
В 2024 г. была представлена система UserGate SIEM, которая реализует классический функционал агрегации, нормализации, обогащения, корреляции событий и выявления инцидентов.
Система предлагает более 300 правил корреляции, разработанных экспертами UserGate и упорядоченных по матрице MITRE ATT&CK, что значительно облегчает их использование и повышает эффективность работы пользователей.
Важным аспектом является возможность отправки инцидентов в ГосСОПКА как в ручном, так и в автоматическом режиме для выполнения требований законодательства.
В том же 2024 г. компанией был запущен собственный SOC на базе продуктов UserGate SUMMA, включая SIEM.
Важно отметить, что SIEM-система является полностью самостоятельной и может эффективно работать даже в тех инфраструктурах, где отсутствуют другие продукты экосистемы UserGate SUMMA.
EDR – контроль рабочих станций
Рабочие станции – один из наиболее уязвимых компонентов инфраструктуры. В том числе и потому, что именно здесь реализуются векторы атак, связанные с фишингом, да и вообще с человеческим фактором.
Важную роль в защите рабочих станций играет EDR. В экосистеме SUMMA эта функциональность реализована в продукте UserGate Client, который собирает и предоставляет детализированные данные о конечных устройствах, таких как компьютеры, ноутбуки и мобильные устройства. Данные включают информацию об их состоянии, конфигурации, установленных приложениях и активности пользователей. Таким образом строится полная картина информационной безопасности на конечных точках инфраструктуры: с помощью UserGate Client можно отслеживать устройства как внутри корпоративной сети, так и за ее пределами, учитывая современные гибридные и удаленные рабочие среды, где сотрудники могут использовать личные устройства или работать дистанционно. Контроль со стороны UserGate Client помогает убедиться, что устройства соответствуют корпоративным политикам безопасности, независимо от их местоположения.
В рамках концепции XDR (Extended Detection and Response) UserGate Client предоставляет возможности для обнаружения и реагирования на угрозы. Причем угрозы выявляются на самых ранних стадиях, что помогает предотвратить их распространение и минимизировать потенциальный ущерб.
UserGate Client нативно включен в экосистему SUMMA, то есть обеспечена интеграция с другими компонентами безопасности, что позволяет централизованно координировать действия по защите.
TI – управление данными киберразведки
Эффективность TDIR повышается благодаря использованию данных киберразведки. Важным инструментом для этого является функциональность для управления угрозами TI (Threat Intelligence), которая интегрирует информацию о киберугрозах. У UserGate она входит в состав SIEM.
TI играет важную роль в проактивном подходе к кибербезопасности. В отличие от традиционных методов, которые часто фокусируются на реагировании на уже произошедшие атаки, TI позволяет предвосхищать угрозы и принимать меры до того, как они станут трендовыми.
С другой стороны, обогащение данных о инцидентах с помощью TI снижает количество ложных срабатываний и повышает точность детектирования.
Компания UserGate опирается на собственную экспертизу, разработанную на базе Центра мониторинга и реагирования (MRC UG). С самого старта развития экосистемы, начиная еще с NGFW, накопился обширный опыт, который теперь активно используется для совершенствования всей экосистемы и особенно SIEM-системы.
IRP/SOAR для управления инцидентами и автоматизации реагирования
IRP/SOAR является неотъемлемой частью комплексного подхода к кибербезопасности, который предлагает TDIR. В то время как другие компоненты системы, такие как SIEM и TI, фокусируются на обнаружении угроз и управлении данными, IRP/SOAR обеспечивает четкий и скоординированный ответ на инциденты.
Предназначение IRP/SOAR – автоматизация процессов реагирования на ранее выявленные инциденты, а также для оркестрация действий различных систем. Основная цель состоит в том, чтобы упростить и ускорить реагирование на инциденты, минимизируя человеческое вмешательство.
Помимо этого, важной частью IRP/SOAR является создание и использование плейбуков – заранее определенных сценариев действий при различных типах инцидентов, что ускоряет реагирование и снижает риск ошибок.
UserGate SIEM включает в себя функциональность IRP/SOAR и таким образом обеспечивает полное управление жизненным циклом инцидентов – от их обнаружения и классификации до завершения и ретроспективного анализа.
В UserGate SIEM реализован широкий спектр возможностей для реагирования на инциденты прямо из интерфейса. Это можно делать как в автоматическом, так и в ручном режиме, не переключаясь между различными продуктами. Все управление инцидентами происходит в едином окне.
И не только! NGFW – контроль периметра
NGFW выполняет важнейшую функцию защиты периметра сети. Он служит первой линией обороны, фильтруя входящий и исходящий трафик и обеспечивая защиту от широкого спектра угроз.
Но в интеграции с другими компонентами TDIR образуются дополнительные преимущества – защита периметра становится проактивной. По данным, полученным от IRP/SOAR, NGFW может незамедлительно заблокировать выявленный подозрительный трафик до того, как он сможет причинить более ощутимый вред, а также автоматически обновить правила, чтобы исключить новый вектор атаки в будущем.
В качестве сенсора NGFW и сам передает события с подозрительной активностью в SIEM для дальнейшего анализа и выявления инцидентов на основе корреляции событий от других источников. А в самой SIEM можно долгосрочно хранить логи, передаваемые от NGFW.
Заключение
Атаки становятся все более массовыми, а риски для компаний – все более ощутимыми. В качестве решения UserGate предлагает комплексную экосистему SUMMA, которая не просто соответствует стандартам TDIR, но и задает новый уровень в области кибербезопасности.
UserGate SUMMA работает не просто как набор отдельных инструментов – это единая, слаженная система, где NGFW контролирует периметр, IRP/SOAR автоматизирует реагирование, SIEM собирает и анализирует данные, Threat Intelligence поставляет данные киберразведки, а EDR защищает конечные точки.
Каждое из этих решений работает как часть единого механизма, обеспечивая непрерывную защиту от самых сложных угроз и реализуя сценарии оперативного реагирования на инциденты.
Благодаря интеграции экосистемных решений в инфраструктуру облегчается и администрирование – больше не нужно поддерживать зоопарк из решений различных вендоров. Использование продуктов, входящих в экосистему, обеспечивает заказчику единую точку входа для решения любых вопросов клиентской и технической поддержки.
Простота управления и использования системы – еще одно важное преимущество. Сотрудники подразделений информационной безопасности быстро освоят ее, особенно если у них уже есть опыт работы с продуктами UserGate, например NGFW.