Задача
События безопасности лежали в разных системах, и инциденты замечали поздно. Для проверок регулятора нужны были описанные процедуры мониторинга и реагирования.
Что сделали
- Развернули R-Vision SIEM на инфраструктуре заказчика
- Подключили более 40 источников: контроллеры домена, межсетевые экраны, почту, СУБД, прикладные системы
- Разработали базовый набор правил корреляции для типовых угроз
- Настроили передачу срабатываний в SOAR, назначение ответственных и запуск согласованных сценариев реагирования
- Обучили дежурную смену SOC и подготовили регламенты
Результат
Мониторинг круглосуточно ведёт смена заказчика. По согласованным сценариям карточка инцидента появляется не позже чем через 5 минут после срабатывания правила. Заказчик получил регламент реагирования, журнал испытаний и протокол приёмки.