SIEM

SOT

Security Orchestration Tools

SIEM

Превратите потоки событий в точное обнаружение угроз

Платформа для сбора, корреляции и анализа событий безопасности, которая видит атаку на ранних стадиях и дает аналитикам полный контекст для расследования.

Запросить демо-доступ

Ваши средства защиты генерируют сотни событий в секунду, но разобраться в них, найти реальную атаку и не утонуть в ложных срабатываниях становится невозможно? Ваша команда реагирования перегружена, а инциденты остаются незамеченными? Решение есть: Security Vision SIEM (Security Information and Event Management).

Это система мониторинга событий информационной безопасности, которая собирает данные из любых источников (150+ интеграций «из коробки» и маркетплейс с дополнительными коннекторами к другим системам), нормализует и обогащает их, а затем применяет мощный корреляционный движок с 1000+ правилами «из коробки», покрывающими 73% техник MITRE ATT&CK. Результат — точные алерты, которые превращаются в инциденты с полным контекстом: затронутые активы, свойства атакованных устройств и учетных записей, артефакты, графы связей и рекомендации по реагированию.

Как это работает

Security Vision SIEM агрегирует события от всех значимых источников: хостов, серверов, средств защиты (AV/EDR, NGFW, WAF и т.д.), служб каталогов облачных сред и любых других систем. Встроенный No-code / Low-Code конструктор корреляции позволяет создавать сложные правила (с условиями, фильтрами и учётом веса каждого события) без навыков программирования. При поступлении событий от разных источников в разрозненном порядке система синхронизирует время, восстанавливает цепочки событий ИБ (даже при задержках данных) и применяет ML-модели для выявления ложных срабатываний, скоринга и оценки критичности инцидентов. Аналитик получает не просто «сырые» события, а готовую карточку инцидента со всей необходимой информацией, отображение графа атаки и маршрутов достижимости между активами, с возможностью запускать различные команды реагирования на инцидент прямо из интерфейса.

Ключевые возможности
и их ценность для бизнеса

Сбор и агрегация данных из любых источников

150+ интеграций «из коробки» дополнены маркетплейсом и No-Code конструктором коннекторов для любых источников. Поддержка различных способов передачи: Syslog, Event log, WMI, JDBC/ODBC, HTTP, DNS, Docker/Kubernetes и другие.

Ценность для бизнеса

Единая точка сбора событий вместо «зоопарка» консолей. Вы получаете полную картину состояния инфраструктуры, независимо от вендоров и типов устройств. Конструктор коннекторов позволяет адаптироваться к любым, даже самым специфичным источникам, без привлечения разработчиков.

Нормализация, корреляция и продвинутый анализ

Встроенный No-code конструктор правил и движок корреляции с 1000+ правилами «из коробки», охватывающими 73% техник MITRE ATT&CK. Возможность создавать собственные правила с условиями, фильтрами и учётом веса каждого события без ограничений. Редактирование схем нормализации в коннекторах и создание новых в режиме No-Code.

Ценность для бизнеса

Вы видите атаки на ранних стадиях, а не разбираетесь с инцидентами постфактум. Мощный движок корреляции позволяет выявлять сложные многоэтапные атаки, которые пропускают отдельные средства защиты. No-code подход дает возможность вашей команде реагирования быстро адаптировать правила, коннекторы и новые источники событий без привлечения разработчиков.

ML-модели и ИИ

Встроенные модели выполняют скоринг False Positive (оценка вероятности ложного срабатывания), поиск похожих инцидентов, оценка критичности на основе массовости и значимости затронутых активов. Интеграция с внешними LLM (YandexGPT, ChatGPT, DeepSeek и др.) для помощи в расследовании.

Ценность для бизнеса

Снижение усталости аналитиков от ложных срабатываний — система подсказывает, какие алерты скорее всего ложные, и позволяет сосредоточиться на реальных угрозах. Поиск похожих инцидентов ускоряет расследование: аналитик видит, как похожие кейсы обрабатывались в прошлом. ИИ-ассистент ответит на вопросы по конкретному инциденту и подскажет оптимальный порядок реагирования.

Управление активами и инвентаризация

Сканирование и идентификация активов, формирование единой витрины IT-активов с категорированием по критичности, ролям и бизнес-значению. Построение ресурсно-сервисной модели.

Ценность для бизнеса

Аналитик при расследовании получает полный контекст: какой актив затронут, к какому сегменту относится, какой бизнес-процесс поддерживает. Вы перестаете «ловить угрозы вслепую» и можете оценивать реальный риск инцидента для бизнеса. Модель данных едина для всех модулей платформы Security Vision, что позволяет использовать ее для стратегической безопасности, аудита и комплаенса.

Визуализация и встроенное реагирование

Графы связей атаки, карточки инцидентов с возможностью запуска команд реагирования (блокировка IP, изоляция хоста, отключение сеанса, завершение процессов и др.). Экспертные рекомендации по шагам реагирования. Чат для взаимодействия с коллегами и командой реагирования.

Ценность для бизнеса

Скорость расследования и реагирования возрастает в разы. Вместо переключения между десятками систем аналитик получает все необходимое в одной карточке: контекст инцидента, рекомендации по реагированию, инструменты активного противодействия и возможность коммуникации. Графы связей помогают понять масштаб атаки и оценить, какие системы могут быть затронуты.

Управление белыми/черными списками и маршрутами достижимости

Построение маршрутов достижимости между активами на основе таблиц маршрутизации и ACL-листов. Оценка того, как инцидент на одном узле может повлиять на другие системы, и какие точки сетевой изоляции будут наиболее эффективными.

Ценность для бизнеса

Вы видите не только отдельную кибератаку, но и ее потенциальный «радиус поражения». Это позволяет принимать обоснованные решения об изоляции наиболее уязвимых узлов сети, не нарушая работу критических сервисов, и выстраивать эффективную стратегию защиты.

Гибкая отчетность и дашборды

Формирование отчетов по собственным шаблонам с настройкой шрифтов, цветов, диаграмм в форматах PDF, DOCX, XLSX, CSV и др. Удобный графический интерфейс и No-Code конструктор, предоставляющий ИБ-специалистам визуальную информацию через настраиваемые карточки, списки, интерактивные виджеты, графы связей и дашборды (включая дашборд состояния самой SIEM). Настройка карточек и таблиц без лицензионных ограничений.

Ценность для бизнеса

Вы не зависите от разработчиков для адаптации системы под свои процессы. Любые изменения в инфраструктуре или требованиях к отчетности вносятся силами внутренней команды реагирования. Готовность к проверкам и аудитам — различные отчёты формируются за секунды. ИБ-специалисты и руководители видят состояние киберзащищенности всей компании на интерактивных виджетах, графах связей и дашбордах.

Результаты

Своевременное обнаружение атак

Мощная корреляция и охват 73% техник MITRE ATT&CK позволяют выявлять атаки на ранних стадиях — до того, как злоумышленник достигнет критических активов или нанесет ущерб.

Снижение нагрузки на команду реагирования

ML-модели фильтруют ложные срабатывания, поиск похожих инцидентов и единая карточка с графами и рекомендациями ускоряют анализ атаки и выбор шагов реагирования. Привязка активов к бизнес-процессам и учёт критичности устройств дают прозрачную оценку реального риска, помогая выбирать оптимальные меры для устойчивости и непрерывности бизнеса.

Соответствие требованиям регуляторов

Сертифицированное решение (ФСТЭК России, ФСБ РФ, МО РФ) с готовыми интеграциями с ГосСОПКА и ФинЦЕРТ входит в Реестр отечественного ПО и закрывает требования 152-ФЗ,
161-ФЗ и 187-ФЗ, приказов ФСТЭК России №117, 21, 31, положений и стандартов ЦБ РФ, ГОСТ 57580 и стандарта PCI DSS. Выполнение обязанности по мониторингу и реагированию на киберинциденты фиксируется и доказывается.

Хотите перестать тонуть в потоках событий и начать видеть реальные атаки на ранних стадиях? Security Vision SIEM — ваша надежная платформа для мониторинга и обнаружения угроз.

Техническая информация

Обзор продукта

Security Vision SIEM автоматизирует поиск и анализ «сырых» событий для своевременного обнаружения угроз и инцидентов с применением корреляционного No-code движка и 1200+ правил «из коробки».

Решение агрегирует все события для обработки в едином интерфейсе, предоставляя специалистам полную картину: карточки, списки, интерактивные виджеты, дашборды, графы связей и другие компоненты конструктора аналитики для изучения, применения гипотез и формирования отчётности.

Применение продукта

Сбор и агрегация данных из любых источников

Реализация ключевых процессов мониторинга и реагирования для компаний любого масштаба: 150+ интеграций «из коробки» дополнены маркетплейсом для поиска и импорта, а также конструктором коннекторов для любых источников вне зависимости от вендора (конкурентные лицензии) и способа передачи (полный набор транспортов).

Корреляция и продвинутый анализ

Обработка событий и выявление алертов, указывающих на попытки реализации угроз ИБ с покрытием более 75% техник MITRE ATT&CK. Встроенный движок корреляции с масштабным набором правил «из коробки» и возможностью создавать собственные с условиями, фильтрами, последовательностями и учётом веса каждого события (без ограничений по количеству и составу).

Синхронизация, очистка и нормализация данных

При поступлении событий от разных источников в разрозненном порядке система выполняет синхронизацию времени и поддерживает ретроспективное восстановление цепочек для корректной отработки, в т.ч. когда отсутствие ожидаемого события является сигналом, или когда обработка большого количества EPS требует минимального «железа».

Примеры и интеграции

Управление активами и инвентаризацией

Сканирование, идентификация и инвентаризация формирует единую актуальную витрину IT-активов. Модуль собирает информацию о хостах, серверах, ИТ-системах, СЗИ и сервисах, выполняет их категорирование по критичности и ролям с построением полноценной ресурсно-сервисной моделью.

Аналитик при расследовании инцидентов получает полный контекст того, какой именно актив затронут, к какому сегменту он относится и какое бизнес-значение имеет. Единая модель данный во всех модулях платформы Security Vision позволяет применять собранные данные не только в практических целях реагирования, но и стратегической безопасности, аудита и комплаенса, риск-ориентированных SOC или центров обработки больших данных.

Система способна проводить сканирование активов без прямого соединения с их сетевыми сегментами: для этих целей устанавливается отдельная выделенная компонента сервиса коннекторов, через которую (или через цепочку подобных сервисов) происходит обнаружение и сбор данных по активам с удаленных сегментов сети.

Сбор событий из множества источников данных

Система выполняет сбор событий от источников через удаленное подключение или с помощью агентов, в т.ч. автономных, которые получают задания по сбору данных и досылают все накопленные события, как только появилось соединение с корпоративной сетью. Удаленный сбор данных может осуществляться без прямого доступа к конечным устройствам с центрального сервера – через цепочку отдельных сервисов коннекторов, распределенных по отдельным сегментам корпоративной сети.

В продукт заложены готовые профили для различных методов сбора для всех популярных источников журналов:

1) Syslog;
2) Event log;
3) WMI;
3) JDBC/ODBC, SQL БД;
4) HTTP и DNS;
5) Docker и Kubernetes;
и др. сервисы, ИТ-системы и СЗИ.

Полная управляемость и прозрачность

Для не типовых сценариев схемы нормализации в коннекторах можно редактировать и создавать новые в режиме No-Code.

Дополнительное обогащение и вычисление итоговых значений в переменных в реальном времени позволяют легко адаптироваться под любую инфраструктуру и обладает низким порогом вхождения для специалистов (не требует писать скрипты или использовать сложные языки команд).

Функционал управления белыми и чёрными списками программного обеспечения и построения маршрутов достижимости между активами на основе таблиц маршрутизации и ACL-листов позволяет оценивать:

• состав стратегических систем;
• то, как инцидент на одном узле может повлиять на другие системы;
• насколько велика вероятность достижения критических активов;
• какие точки изоляции будут наиболее эффективными.

Встроенное реагирование

Для проведения расследования инцидентов, в продукте предусмотрена карточка инцидента, в которой аналитику доступны:

• Информация о связанных активах с возможностью выполнять действия по реагированию прямо из карточки инцидента;
• сведения о выявленных артефактах (например: процесс, внешний IP, URL и др.);
• экспертные рекомендации по шагам реагирования на данный инцидент;
• чат для взаимодействия с коллегами и группой реагирования;
• данные об исходных алертах и событиях;
• управление задачами (в т.ч. во внешних ITSM с двусторонней интеграцией);
• возможность отправки и получения электронных писем, отправка сообщений в мессенджеры.

Искусственный интеллект

В составе продукта предусмотрен ряд встроенных ML-моделей:

• скоринг False Positive, с обучением на данных по закрытым инцидентам: при поступлении нового инцидента система оценивает, насколько он схож с ранее закрытыми с вердиктом False Positive и выдает результат в виде процентного соответствия;
• поиск похожих: модель анализирует контекст инцидента ищет и показывает похожие кейсы, что позволяет аналитику как увидеть подобные инциденты, которые сейчас в работе, так и посмотреть, как обрабатывались схожие ситуации в прошлом;
• оценка критичности, с оценкой на основе признаков, отражающих массовость и значимость затронутых активов с учетом контекста, связанных с инцидентом алертов.

Поддерживаются и интеграции со сторонними ИИ:

• Yandex GPT;
• ChatGPT (OpenAI);
• DeepSeek;
и любые другие внешние LLM-модели с доступом к ним из единого чата для коммуникации в карточках объектов.

Результаты работы всех ML моделей доступны в карточке инцидента для удобного расследования и реагирования.

Визуализация и реагирование

Атаки и входящие в них инциденты при помощи графов связей указывают на вовлечённые объекты и включают рекомендации экспертов для интерактивного реагирования. Графы и табличные представления позволяют запускать различные команды реагирования во время работы аналитика, например:

• отправка и вывод объекта из карантина;
• блокирование трафика для IP-адреса;
• добавление URL в политику Web-control
• завершение процессов и служб на хосте;
• завершение сеанса пользователя или смена пароля;
и др. действия, которые могут быть отменены, что дополнительно отображается в интерфейсе.

Карточки и табличные представления для любых типов объектов можно адаптировать, добавляя новые свойства, колонки, кнопки без каких-либо лицензионных ограничений.

Продукт соответствует требованиям регуляторов

Федеральным законам № 152-ФЗ, 161-ФЗ, приказам ФСТЭК № 17, 21 и 31, СТО БР ИББС и РС БР ИББС-2.5—2014, а также международному стандарту PCI DSS. Продукт сертифицирован ФСТЭК и Минобороны России и входит в реестр отечественного ПО.