R-Vision SIEM 2.8 и 2.9: расширенные возможности аналитики

В R-Vision SIEM 2.9 расширена работа с данными в поисковых запросах. Теперь можно задействовать сразу несколько активных списков, а оператор JOIN в языке RQL поддерживает не только активные списки, но и хранилища событий. В одном запросе допускается несколько JOIN, что позволяет сопоставлять данные из разных источников.

Изменения коснулись и работы с результатами поиска. У панели группировки появился табличный режим, возможность менять её ширину и смотреть статистику по выбранной группе. В карточке найденной записи теперь указывается, из какого хранилища или активного списка она получена.

Аналитикам стало проще работать в ходе расследования. Из карточки оповещения можно перейти к связанным событиям в разделе «Поиск», а исключение для правила корреляции — создать прямо из корреляционного события, без отдельного поиска правила и ручного переноса условий.

Кроме того, в версии 2.9 оптимизировано выполнение поисковых запросов: это снижает задержки и уменьшает вероятность ошибок.

Для инженеров одним из важных изменений стало появление графиков входящего EPS в разделе «Аудит источников». Теперь в интерфейсе SIEM можно отслеживать интенсивность потока событий как от отдельных источников, так и через точки входа. Это помогает быстрее замечать изменения в потоке и выявлять проблемы со сбором данных.

В версии 2.9 добавлена новая точка входа WMI (WinRM) с оптимизированной производительностью, возможностью выбирать журналы Windows и сниженными требованиями к правам учётной записи. Появилась поддержка WebSocket, а для SMB стала доступна настройка даты, с которой нужно собирать файлы.

Доработан интерфейс конвейеров. Перейти к нужному конвейеру теперь можно прямо из таблицы или карточки коллектора. Новые элементы можно создавать непосредственно из связи, копировать, выделять группой и удалять одновременно. Для ряда точек входа добавлен сброс позиции чтения.

Для диагностики специалисты теперь могут открывать логи конкретного конвейера, не просматривая журналы всего коллектора.

В версии 2.8 появилась возможность централизованно обновлять R-Vision Endpoint через веб-интерфейс SIEM. Администратор может загрузить установочные файлы в систему и обновить версию агента на конечных узлах сразу из общего интерфейса.

Там же можно управлять удалением агентов: либо полностью удалить агент с конечного устройства, либо убрать сведения о нём из R-Vision SIEM.

Это уменьшает число операций, которые нужно выполнять непосредственно на конечных узлах, и упрощает управление агентской инфраструктурой.

В версиях 2.8–2.9 появились новые инструменты контроля работы SIEM под нагрузкой. Для корреляторов и правил корреляции добавлен отдельный Grafana-дашборд — он помогает отслеживать ключевые показатели корреляции и быстрее находить причины проблем с производительностью.

Для правил корреляции теперь можно задавать лимиты на потребление CPU и оперативной памяти, количество корреляционных окон и число генерируемых событий. Если правило превышает установленный лимит, система отключает его только на том корреляторе, где возникла проблема. Остальные правила и другие экземпляры этого же правила продолжают работать.

Изменения затронули и приём событий по UDP. Для Syslog, NetFlow и Socket добавлен дополнительный локальный буфер. Разделение приёма и последующей обработки событий снижает риск их потери при интенсивном потоке.

Для мониторинга SIEM добавлены новые варианты виджетов метрик и возможность создавать собственные виджеты с помощью запросов PromQL.

В версии 2.9 появился конструктор хранилищ событий. При их создании можно выбрать движок таблицы ClickHouse, задать PRIMARY KEY и ORDER BY, а при использовании ReplacingMergeTree — настроить удаление дублирующихся записей.

Также появился минимальный суммарный срок хранения данных по всем томам. Он помогает не допустить преждевременного удаления событий, которые могут понадобиться для расследования.

Обновления получили и дашборды. Виджеты событий и активных списков теперь могут одновременно использовать несколько источников данных. Для круговых диаграмм можно выбирать отображение абсолютных значений или процентов, а работа со столбчатыми диаграммами стала удобнее при большом количестве значений.