R‑Vision User and Entity Behavior Analytics (UEBA) – программный продукт, который осуществляет непрерывный мониторинг событий безопасности, анализируя данные из источников, включая системы Log Management, SIEM и конечные устройства.
Аналитические инструменты R‑Vision UEBA позволяют своевременно выявить признаки атаки, приоритизировать угрозы и анализировать всю последовательность аномальных событий.
События с большего количества источников информации, в том числе с Linux-систем
Информацию о поведении пользователей и АРМ
Широкий перечень телеметрии с конечных устройств
R‑Vision User and Entity Behavior Analytics (UEBA) - отечественное программное решение, официально внесённое в реестр российского ПО (запись в реестре ПО Минцифры №19431 от 04.10.2023).
Какие задачи решает R‑Vision UEBA
Выявление аномалий, которые неочевидны для классических правил детектирования SIEM-систем
Применение встроенных в UEBA алгоритмов, которые используют методы статистического анализа и машинного обучения (ML), помогает в выявлении аномалий и угроз в потоке событий.
Анализ нелегитимных действий, связанных с конкретным объектом
Инструменты анализа, заложенные в продукт, изучают поведение объектов (пользователь, учетная запись, оборудование), формируют профили нормального поведения и фиксируют любую подозрительную активность, связанную с объектом.
Получение полного контекста по объекту при расследовании инцидента
Средства визуализации отображают всю активность по объекту и связанные с ним сущности, помогают провести детальный анализ событий и понять причины возникновения аномалии.
Интерфейс системы
Получение полного контекста по объекту
Анализ нелегитимных действий
Выявление неочевидных аномалий
Получение полного контекста по объекту
Анализ нелегитимных действий
Выявление неочевидных аномалий
Как работает?
R‑Vision UEBA осуществляет агрегацию событий информационной безопасности из различных источников. Далее проводит комплексный анализ собранных событий, изучая поведение объектов и схожих групп, формирует профили нормального поведения и фиксирует подозрительную активность при его отклонении. Подробная информация об угрозах и инцидентах сохраняется в виде временной шкалы, на которой отмечаются аномалии. В дальнейшем сформированный алерт передается в систему R‑Vision SOAR для реагирования на инцидент и предотвращения угрозы.
Функциональные возможности R‑Vision UEBA
Контроль состояния безопасности объектов
Инструменты анализа
Технология адаптивной корреляции событий
Динамическая оценка угроз и аномалий
Визуализация последовательности событий в таймлайне
Контроль состояния безопасности объектов
Работа R-Vision UEBA основана на объектно-центричном подходе, по которому все события анализируются в отношении конкретных объектов: пользователей, рабочих
станций, файлов, учетных записей, сервисов и т.д. Изучая поведение объектов, R-Vision UEBA формирует профили нормального поведения и фиксирует подозрительную активность в случае отклонений.
Инструменты анализа
Простые правила – базовый инструмент анализа событий ИБ. Аналитику информационных систем достаточно задать набор критериев для отбора события, после чего события, удовлетворяющие указанным критериям, будут маркироваться как подозрительные. Программные эксперты - алгоритмы, которые используют методы статистического анализа и машинного обучения для выявления аномалий и угроз в потоке событий. Это дает возможность в автоматическом режиме детектировать:
запуск процессов и приложений
события авторизации
доступ к файлам
определение DGA и look-a-like доменов
почтовый трафик
смену учетной записи
подключения VPN
действия пользователей и групп безопасности
Технология адаптивной корреляции событий
R-Vision UEBA автоматически совершенствует встроенную аналитику по выявлению
аномалий. При появлении новых источников и моделей данных инструменты анализа
адаптируются в автоматическом режиме и не требуют донастройки.
R-Vision UEBA использует универсальный формат данных для анализа, что обеспечивает
гибкость в работе аналитических инструментов.
Динамическая оценка угроз и аномалий
Система динамической оценки угроз и аномалий рассчитывает рейтинг опасности
контролируемых объектов. При обнаружении подозрительной активности рейтинг
объекта увеличивается, и в случае превышения допустимого уровня аналитик получит
оповещение. Это позволяет приоритизировать угрозы и своевременно реагировать
на значимые отклонения.
Визуализация последовательности событий в таймлайне
Подробная информация о подозрительной активности объектов сохраняется в виде
таймлайна – временной шкалы, на которой отмечаются аномалии, выстраивается
последовательность событий и контекст. Таймлайн значительно упрощает анализ
инцидентов и выявление проблем в защите для устранения.
Хотите посмотреть систему в действии, узнать стоимость и получить коммерческое предложение? Отправьте запрос и мы свяжемся с вами.
