SOAR

SOT

Security Orchestration Tools

SOAR

Управление инцидентами

Автоматизация реагирования на инциденты информационной безопасности при помощи динамических плейбуков, ИИ-помощников и построения цепочки атаки для реагирования на группы инцидентов с объектно-ориентированным подходом.

Запросить демо-доступ

Ваши ИБ-специалисты перегружены, а инциденты множатся? Ручное реагирование занимает слишком много времени, а каждое промедление грозит утечкой данных и финансовыми потерями? Решение есть:
Security Vision SOAR (Security Orchestration, Automation, and Response).

Как это работает

Платформа собирает события из инфраструктуры и любых средств защиты (SIEM, EDR, NGFW, WAF), выстраивает полную картину атаки (Kill Chain) и запускает динамические сценарии реагирования, автоматически адаптирующиеся под каждый конкретный инцидент.

Ключевые возможности
и их ценность для бизнеса

Мгновенный ответ

Вместо ручных действий - автоматическое выполнение команд на сетевом оборудовании, блокировка угроз и изоляция хостов.

Ценность для бизнеса

Снижение ущерба (простой ИТ-сервисов, шифрование и утечки данных, хищение денег) за счет реакции за секунды, а не за часы.

ИИ на страже

ИИ-ассистент подскажет следующий шаг на каждом этапе - от первичного анализа до пост-инцидентной деятельности, а скоринговая ML-модель помогает определять критичность инцидентов и обеспечивает их быструю приоритизацию.

Ценность для бизнеса

Снижение требований к квалификации линейных сотрудников и ускорение онбординга новых специалистов.

Умные плейбуки

Динамические сценарии реагирования для 200+ типов инцидентов с привязкой к тактикам и техникам атакующих по базе знаний MITRE ATT&CK.

Ценность для бизнеса

Минимизация ущерба от типовых атак (вирусы, фишинг, DDoS) за счет готовых «рецептов» реагирования.

Встроенные рекомендации

Экспертные рекомендации по реагированию на различных этапах инцидента — от базовых действий до продвинутой аналитики.

Ценность для бизнеса

Снижение зависимости от «звездных» сотрудников — знания лучших экспертов становятся доступны всей команде.

Результаты

Скорость и эффективность реагирования

Динамические плейбуки для 200+ типов инцидентов, объектно- ориентированное реагирование и построение цепочки атаки (Kill Chain) останавливают угрозы за секунды, сводя к минимуму возможный ущерб и помогая не допустить повторения инцидента.

Снижение нагрузки на персонал

Встроенные ИИ-помощники выявляют ложные срабатывания, а интеграция с LLM (YandexGPT, ChatGPT) помогает анализировать инциденты. Это сокращает число рутинных задач и позволяет ИБ- команде сосредоточиться на реальных угрозах.

Повышение зрелости процессов ИБ

Работа по методологии NIST на всех этапах — от обнаружения до пост-инцидентного разбора — обеспечивает прозрачность и контролируемость. Экспертные рекомендации и графы связей помогают принимать обоснованные решения даже при нехватке опыта у сотрудников.

Готовность к проверкам и соответствие требованиям регуляторов

Сертифицированное решение (ФСТЭК России, ФСБ РФ, Минобороны РФ) с двусторонней интеграцией с ГосСОПКА и ФинЦЕРТ закрывает требования 152-ФЗ, 161-ФЗ и 187-ФЗ, приказов ФСТЭК России №17, 21, 31 и стандарта PCI DSS.

Защита от человеческого фактора

Автоматическое выполнение команд на сетевом оборудовании, СЗИ и ИТ-системах исключает ошибки, связанные с усталостью или невнимательностью аналитиков, а также ускоряет онбординг новых специалистов.

Хотите превратить разрозненные события в управляемый процесс реагирования, оркестрировать всеми средствами защиты из единого окна, снизить нагрузку на ИБ-специалистов и быть уверенным в прохождении любой проверки? Security Vision SOAR — ваш надежный партнер.

Техническая информация

Обзор продукта

Security Vision SOAR снижает влияние человеческого фактора, повышает скорость реакции на инциденты, выстраивает проактивную защиту в соответствии с международными стандартами информационной безопасности.

Решение агрегирует события и инциденты, осуществляет автоматическое выполнение команд на различных внешних системах для оперативного сдерживания и устранения негативных последствий согласно методологии NIST с предоставлением экспертных рекомендаций на различных этапах управления инцидентами.

Применение продукта

Динамические плейбуки и база MITRE

Плейбуки, автоматически выстраиваемые для 200+ типов инцидентов в зависимости от подключённых СЗИ (SIEM, UEBA, AV/EDR, NGFW, WAF, Proxy и др.) и ИТ-систем, 100+ техник и тактик MITRE ATT&K, а также встроенные рекомендации экспертов на разных этапах работы с инцидентами

Построение Kill Chain и адаптивное реагирование

Автоматическое построение цепочки атаки и объектно-ориентированно реагирование, подбирающее действия в зависимости от типов объектов (внутренний/внешний хост, учётная запись, адрес электронной почты, URL-адрес, ВПО, процесс, уязвимость)

Методология NIST и встроенные рекомендации

В зависимости от типов инцидентов и атак в карточках и графах связей доступны рекомендации экспертов на различных этапах: первичный анализ, расширенное сдерживание, первичное реагирование и пост-инцидент

Примеры и интеграции

ИИ-помощники

Встроенные модели машинного обучения для анализа вердиктов инцидентов и помощи в управлении новыми задачами: система анализирует все инциденты и состояния их жизненного цикла для определения возможных ложно-положительных срабатываний (False Positive) и снижения нагрузки на персонал.

Интеграция с внешними LLM-моделями (например, YandexGPT и ChatGPT) позволяет в рамках обработки инцидентов и работы в команде обращаться к чат-ботам для анализа индикаторов компрометации и помощи в решении задач.

Жизненный цикл инцидента по NIST

1) Подготовка описания сервисов, СЗИ, списков исключений, состава команд SOC и др. инструментов и процессов;
2) Обогащение данными в окрестностях инцидента;
3) Анализ и классификация, сбор цифровых свидетельств;
4) Сдерживание и изоляция учётных записей, хостов, URL/Email/доменов;
5) Реагирование на основе ключевых объектов: 70+ преднастроенных действий для хостов, 20+ для УЗ, и другие типы объектов;
6) Восстановление скомпрометированных объектов из бэкапа, разблокировка;
7) Пост-инцидент, недопущения повторения аналогичных инцидентов.

Часто встречаемые источники данных

Сведения о событиях и инцидентах собираются, например, из:
• SIEM (в т.ч. с подключёнными логами аудита)
• NGFW (сетевая телеметрия, управление хостами)
• WAF (логи)
• Proxy-серверов (логи)
• Email-серверов (антиспам списки, блокировка)
• Конечных узлов (слепок узла, установленное ПО)
• Сканеров уязвимостей (технические уязвимости, критичность)
• Средств обогащения IoC (хэш, IP, email, домен)
• аналитических сервисов (MITRE, VirusTotal, LOLBAS, URLScan, WhoisXML и др.)
• LDAP (OpenLDAP, MS AD)
• Антивирусных решений (AV, EPP, EDR)
и др. ИБ/ИТ систем

Внешние сервисы обогащения

Дополнительные сведения об индикаторах пополняются, например, из:
• VirusTotal
• WhoIsXMLAPI
• URLScan
• IPInfo.io
• IPgeolocation.io
• AbuseIPDB
• LOLBAS
• Kali tools
• Shodan
• ChatGPT
и др.

Формирование отчётности

Для каждого инцидента или статистики за выбранный период можно сформировать отчёт по собственному шаблону и дальнейшей выгрузки в виде файла или отправки по почте в различных форматах:
• pdf;
• txt;
• docx;
• xlsx;
• ods;
• odt;
• csv.

Отчёты могут содержать любые свойства, полученные в ходе сбора, анализа и обработки событий ИБ.

Внешний вид можно настроить гранулярно с выбором шрифтов, цветов, картинок и логотипов, диаграмм, отступов, нумерации, колонтитулов и др. характеристик.

Визуализация и реагирование

Атаки и входящие в них инциденты при помощи графов связей указывают на вовлечённые объекты и включают рекомендации экспертов для интерактивного реагирования. Графы и табличные представления позволяют запускать различные команды реагирования во время работы аналитика, например:
• отправка и вывод объекта из карантина;
• блокирование трафика для IP-адреса;
• добавление URL в политику Web-control
• завершение процессов и служб на хосте;
• завершение сеанса пользователя или смена пароля;
и др. действия, которые могут быть отменены, что дополнительно отображается в интерфейсе.

Карточки и табличные представления для любых типов объектов можно адаптировать, добавляя новые свойства, колонки, кнопки без каких-либо лицензионных ограничений.

Схема работы и взаимодействия с инфраструктурой

Продукт соответствует требованиям регуляторов

Федеральным законам № 152-ФЗ, 161-ФЗ, приказам ФСТЭК № 17, 21 и 31, СТО БР ИББС и РС БР ИББС-2.5—2014, а также международному стандарту PCI DSS. Продукт сертифицирован ФСТЭК и Минобороны России и входит в реестр отечественного ПО.