Описание
Модуль Inventory позволяет сформировать единую базу активов (серверы, рабочие станции, сетевые устройства, информационные системы, объекты кластерной инфраструктуры) и пользователей, а также обеспечить поддержку данной базы в актуальном состоянии.
Соотнесение различных представлений учётных записей пользователя, доменных имён и IP-адресов активов критично важно при построении аналитики на основе событий от различных источников и при работе корреляционных правил.
Для кого: SOC-аналитики и команды реагирования, ИТ-эксплуатация, администраторы платформы Smart Monitor.
Возможности
Шесть сценариев работы с активами — от сбора данных из внешних источников до контекста в карточке инцидента.
Единая база активов и пользователей
Серверы, рабочие станции, сетевые устройства, информационные системы и объекты кластерной инфраструктуры — вместе с пользователями в одной базе, поддерживаемой в актуальном состоянии.
- Активы хранятся списками; каждый список настраивается своей конфигурацией
- История изменений по каждому активу
- Навигация по активам и контроль своевременности обновления данных
Сбор данных из внешних источников
Автоматизированный сбор и обновление базы активов на основе данных из различных источников: Active Directory, CMDB, IPAM, Kaspersky Security Center, SCCM, SCOM, Tufin, FireEye, Qualys и др.
- Разрешение конфликтов и приоритизация значений от разных источников
- Фильтры источников: условные выражения оставляют только нужные для инвентаризации события
- Расчёты обновления — отдельные задачи с собственным расписанием и статистикой запусков
Карточка актива
Актуальная информация об объекте на основе данных от всех источников: в справочниках сохраняются значения всех важных полей актива или пользователя.
- Базовые поля идентифицируют актив, дополнительные хранят его атрибуты
- Уровень доверия источника: карточка строится на достоверных мастер-данных
- Соотнесение учётных записей, доменных имён и IP-адресов — для аналитики и корреляционных правил
Связи между активами
Правила автоматического связывания конфигураций активов и визуализация полученных связей.
- «Список связей» с фильтрацией и настройкой полей связи
- «Карта связей»: конфигурации — узлы, связи — стрелки
- Импорт и экспорт связей, связывание актива с самим собой
Цифровые отпечатки активов
Для активов на основании математических моделей создаются цифровые отпечатки (fingerprint).
- Автоматическое отслеживание состояния активов
- Анализ изменений
- Дедупликация — устранение задвоения активов
Контекст в расследовании инцидентов
Вместе с Incident Manager: подробная и актуальная информация обо всех объектах и пользователях, вовлечённых в инцидент, — в едином интерфейсе.
- Блок «Инвентаризация» прямо в карточке инцидента
- Полная картина по инциденту без лишних действий и кликов
- Выявление и предотвращение причин возникновения инцидента
