Чем крупнее SOC, тем сложнее поддерживать единый подход к обнаружению атак. Правила и контекст дорабатываются локально, в отдельных контурах появляются собственные версии, а изменения приходится распространять и контролировать в каждом из них.
На вебинаре эксперты Positive Technologies и ГК «Солар» разберут, как выстроить управление детектирующей экспертизой в распределенной инфраструктуре: сохранить единые стандарты, учесть локальную специфику и контролировать весь жизненный цикл — от разработки правила до оценки результатов его применения.
О чем поговорим
Разберемся, что именно нужно централизовать
Покажем, из чего складывается детектирующая экспертиза и почему недостаточно просто собрать правила в одном каталоге. Обсудим, как управлять не только логикой обнаружения, но и связанным с ней контекстом: IOC, вайтлистами, списками и локальными исключениями.
Сравним модели управления экспертизой
Разберем локальный, централизованный и федеративный подходы. Обсудим, где необходим единообразный контент, а где стоит сохранить возможность локальной адаптации.
Выстроим жизненный цикл экспертизы
Пройдем путь от разработки и проверки до внедрения экспертизы, ее распространения и обратной связи. Покажем, почему централизованное управление требует непрерывного процесса — с версиями, ответственными и контролем результата.
Покажем роль MaxPatrol 360
Расскажем, как MaxPatrol 360 помогает централизованно управлять экспертизой: распространять правила и контекст в целевые тенанты, отслеживать связь правил с инцидентами и оценивать, как изменения влияют на работу SOC.
Посчитаем эффект на практическом сценарии
На примере обновления корреляционного правила сразу в нескольких тенантах покажем разницу между ручным и централизованным подходом — от подготовки изменений до проверки и аудита.
Спикеры
Иван Прохоров
Руководитель продукта MaxPatrol 360 в Positive Technologies
Владислав Костюнин
Руководитель группы разработки контента отдела аналитики инцидентов JSOC ГК «Солар»
Кому будет полезно
Руководителям SOC
Чтобы выстроить единые процессы работы с экспертизой, контролировать ее качество во всех контурах и сократить повторяющуюся работу команд.
Руководителям и экспертам центров компетенций
Чтобы организовать разработку, проверку, версионирование и распространение правил и связанного с ними контекста между площадками.
MSSP и другим сервис-провайдерам
Чтобы масштабировать экспертизу на сотни клиентских контуров с учетом их особенностей.
Аналитикам и инженерам SOC
Чтобы работать с актуальной версией экспертизы, оперативно получать изменения и сообщать о качестве обнаружения.
Зарегистрироваться на вебинар