В PT ISIM появилась техника безагентного сбора событий безопасности в технологическом сегменте

Positive Technologies, одна из лидирующих компаний в области результативной кибербезопасности, представила PT ISIM 6 — новое поколение системы обеспечения киберустойчивости промышленных инфраструктур. Продукт получил встроенные возможности систем класса SIEM, в том числе безагентный сбор и аналитика событий безопасности. Теперь в одном решении объединены различные инструменты для полного обеспечения ИБ технологического сегмента: контекст по активам, уязвимостям, сетевым взаимодействиям и событиям безопасности. Это позволяет быстрее обнаруживать угрозы и снижать риск критического для производственного процесса ущерба.

Сбор данных с узлов при помощи агентов не всегда позволяет получить полное представление о возможных инцидентах безопасности в ОТ-инфраструктуре. Этому могут препятствовать устаревшее оборудование, несовместимые c агентами ОС и внутренние ограничения на установку программных компонентов. В то же время, согласно приказу ФСТЭК № 239, регистрация событий обязательна для объектов КИИ всех категорий значимости.

В шестой версии PT ISIM расширены возможности для сбора и анализа всего диапазона сведений о технологической сети за счёт интеграции технологий, которые результативно проявили себя в системах класса SIEM. Так, была добавлена опция безагентного сбора данных из журналов событий Windows (Windows Event Log) и по протоколу syslog. В дальнейшем список источников событий будет расширяться. Это позволило осуществлять мониторинг всех видов узлов, включая конечных устройств, промышленного и сетевого оборудования. Дополнительную эффективность обнаружения инцидентов обеспечивает встроенная база правил и индикаторов угроз промышленной кибербезопасности PT ISTI, поставляемая центром промышленной экспертизы Positive Technologies.

В обновленном PT ISIM модуль сбора и анализа событий равным образом включен в состав PT ISIM Collector, следовательно теперь можно отслеживать любую активность в распределенных системах управления и изолированных сегментах инфраструктуры. Улучшился интерфейс поиска событий: для их фильтрации добавлен текстовый язык запросов, а равным образом появилась опция группировки. Это помогает быстрее выявлять подозрительные действия или признаки атаки в большом потоке разрозненных данных. Помимо этого, для регулярного мониторинга событий настроенные параметры можно сохранять в виде готовых шаблонов — пользовательских представлений.

PT ISIM защищает промышленные сети, вместе с этим шестое поколение продукта становится полноценным источником информации для централизованных систем хранения больших данных (озер данных, data lakes) и решений класса SIEM, установленных в корпоративной инфраструктуре. В них поступают сведения о событиях безопасности, активах и технологических процессах, что даёт возможность специалистам по ИБ централизованно контролировать защищенность промышленного объекта.

Обеспечить полную киберустойчивость АСУ ТП невозможно, пока данные в технологической сети разрознены. Именно поэтому внедрение безагентного сбора событий стало важным шагом для полной видимости промышленной инфраструктуры. Такой решение даёт возможность точнее расставлять приоритеты при реагировании на инциденты, поскольку открывает доступ к данным даже из тех сегментов, где установить стороннее программное обеспечение затруднительно или вовсе невозможно. Мы будем и дальше наполнять продукт экспертизой, внедрять новые функции и совершенствовать возможности интеграции с различными промышленными системами».

Илья Косынкин, руководитель разработки продуктов для безопасности промышленных систем в Positive Technologies