Поиск Use Case'ов для SIEM

[opanas]

Спасибо, что дочитали до конца. Надеюсь на плодотворный диалог в комментариях. Об очепятках просьба писать в личку.

[Hamakev]

В «импортозамещение» (в первом разделе) я бы еще упомянул про проект RU-SIEM Олеси Шелестовой. Он довольно быстро развивается, кроме того, есть хорошие шансы договориться с разрабами и оперативно «допилить» под себя. Правда, я не выяснял ситуацию с Use-Cases применительно к этому продукту; возможно, подойдут от сторонних продуктов.
Вообще, из предыдущего опыта, готовые кейсы сильно облегчают на определенном этапе внедрение, но их все равно надо адаптировать под конкретного заказчика — поэтому от грамотного инженера в штате, знающего продукт, вы не уйдете. Что на стороне интегратора, что на стороне заказчика — для поддержания всей системы в актуальном состоянии.

Статью с интересом прочитал, спасибо!

[opanas]

О, отличная находка — добавил его в конец первого раздела. Спасибо!

Вообще, из предыдущего опыта, готовые кейсы сильно облегчают на определенном этапе внедрение, но их все равно надо адаптировать под конкретного заказчика — поэтому от грамотного инженера в штате, знающего продукт, вы не уйдете.

Согласен на 100%

[AlexGryn]

IBM Security App Exchange exchange.xforce.ibmcloud.com/hub
Скачивание бесплатно. Если отфильтровать только для продукта QRadar, то всего доступно 69 Use Case’ов.

Не корректно говорить, что только 69 дополнений для QRadar.
В AppExchange все для QRadar. Просто некоторые дополнения и расширения написаны IBM. Другие от сторонних вендоров — для интеграции с другими продуктами. Есть даже от партнеров (ScienceSoft из Беларуси).
Все что есть в магазине IBM Security App Exchange — разработано для QRadar.

[opanas]

Спасибо за уточнение, статью обновил. А также включил ваши контакты в последний раздел, так что те, кому нужна специфическая информация по IBM security, смогут обращаться напрямую (но лучше публично в комментариях).

[alekbr]

Добрый день. Cпасибо, что включили в обзор UCL. Мы действительно активно развиваемся и постоянно пополняем базу востребованными в мире ИБ кейсами. Если у читателей будут вопросы, обращайтесь, буду рад помочь
Александр,
Технический директор SOC Prime

[IgorBelyakov]

Коллеги, у кого есть опыт интеграции СИЕМки со сканерами уязвимостей, подскажите какую систему лучше применить, если в компании одновременно используется несколько сканеров уязвимостей?

[opanas]

Уточните, пожалуйста, какой SIEM используете (планируете)? Какие сканера уязвимостей используете?

[IgorBelyakov]

Сканеры: nessus, languard, maxpatrol, openvas

Для анализа событий с этих сканеров рассматриваю такие системы как ossim и faraday.

Задача: Необходимо на одном экране видеть общую картину по уязвимостям

[sergey_yaskovich]

Тут SIEM не очень подходит. Я бы посмотрел в сторону систем управления уязвимостями. Последнее, с чем я сталкивался — R-Vision.

[IgorBelyakov]

RVIsion тестировал, но его стоимость завышена. Хотя он и позволяет сводить воедино данные с разных сканеров.
Поэтому изучаю, какие есть аналоги

[rdolgiy]

Ну, R-Vision не есть система управления уязвимостями. Это 1/10 его функционала, в лучшем случае. Там гораздо больше источников, взаимосвязей и правил анализа.

[d_gazura]

Благодарим за упоминание в обзоре СёрчИнформ SIEM. Действительно у наших российских заказчиков курс на импортозамещение сохраняется. Мы делаем простой, понятный и главное доступный продукт, без лишних «заморочек». Готовы ответить на любые вопросы о нашей системе, обращайтесь.
Иван Мершков, технический директор «СёрчИнформ».