R-Vision представил версии R-Vision SIEM 2.8 и 2.9 с расширенными возможностями для аналитиков SOC

Разработчик систем цифровизации и кибербезопасности R-Vision представил версии R-Vision SIEM 2.8 и 2.9. Обновления расширяют возможности поиска и расследований, упрощают контроль за сбором и обработкой событий, а также добавляют новые инструменты для управления агентами, мониторинга производительности и настройки хранения данных.

Значительная часть изменений появилась благодаря обратной связи специалистов, которые ежедневно работают с R-Vision SIEM. Новые возможности затронули весь цикл работы с событиями — от подключения источника и контроля поступления данных до поиска, корреляции, расследования и визуализации результатов.

Расширены возможности поиска и расследований

В R-Vision SIEM 2.9 расширились возможности работы с данными в поисковых запросах. Теперь можно одновременно использовать несколько активных списков, а оператор JOIN в языке RQL поддерживает не только активные списки, но и хранилища событий. При этом в одном запросе можно использовать несколько JOIN, сопоставляя данные из разных источников.

Использование нескольких JOIN для объединения данных из разных источников в одном RQL-запросе

Изменения также затронули работу с результатами поиска. Для панели группировки появился табличный режим, возможность изменять ее ширину и просматривать статистику по выбранной группе. В карточке найденной записи теперь отображается, из какого хранилища или активного списка она была получена.

Упростилась работа аналитиков во время расследования. Из карточки оповещения теперь можно перейти к связанным с ним событиям в разделе «Поиск», а исключение для правила корреляции — создать непосредственно из корреляционного события, без необходимости отдельно искать правило и вручную переносить условия.

Кроме того, в версии 2.9 оптимизировано выполнение поисковых запросов, что позволяет снизить задержки и вероятность ошибок.

Добавлены инструменты для контроля источников и работы с конвейерами

Одним из изменений для инженеров стало появление графиков входящего EPS в разделе «Аудит источников». Теперь в интерфейсе SIEM можно отслеживать интенсивность потока событий как от отдельных источников, так и через точки входа. Это помогает быстрее замечать изменения в потоке и диагностировать проблемы со сбором данных.

В версии 2.9 также появилась новая точка входа WMI (WinRM) с оптимизированной производительностью, возможностью выбирать журналы Windows и меньшими требованиями к правам учетной записи. Добавлена поддержка WebSocket, а для SMB появилась возможность указать дату, начиная с которой необходимо собирать файлы.

Серьезно доработан и интерфейс конвейеров. Перейти к нужному конвейеру теперь можно непосредственно из таблицы или карточки коллектора. Новые элементы можно создавать прямо из связи, копировать, выделять группой и удалять одновременно. Для ряда точек входа также появился сброс позиции чтения.

Для диагностики специалисты теперь могут открывать логи конкретного конвейера, не просматривая журналы всего коллектора.

Просмотр логов конвейера в R-Vision SIEM

Управление агентами перенесено в интерфейс SIEM

В версии 2.8 появилась возможность централизованно обновлять R-Vision Endpoint через веб-интерфейс SIEM. Администратор может загрузить необходимые установочные файлы в систему и централизованно обновить версию агента на конечных узлах.

Из интерфейса также можно управлять удалением агентов: полностью удалить агент с конечного устройства или удалить сведения о нем из R-Vision SIEM.

Это сокращает количество операций, которые необходимо выполнять непосредственно на конечных узлах, и упрощает управление агентской инфраструктурой.

Усилен контроль производительности и обработки событий

В версиях 2.8–2.9 появились новые инструменты для контроля работы SIEM под нагрузкой.

Для корреляторов и правил корреляции добавлен отдельный Grafana-дашборд. Он позволяет отслеживать ключевые показатели работы корреляции и быстрее выявлять причины проблем с производительностью.

Для правил корреляции теперь можно устанавливать лимиты на потребление CPU и оперативной памяти, количество корреляционных окон и число генерируемых событий. Если конкретное правило превышает установленный лимит, система отключает его только на том корреляторе, где возникла проблема. Остальные правила и другие экземпляры этого же правила продолжают работать.

Изменения затронули и прием событий по UDP. Для Syslog, NetFlow и Socket появился дополнительный локальный буфер. Разделение приема и дальнейшей обработки событий снижает риск их потери при интенсивном потоке.

Для мониторинга SIEM также добавлены новые варианты виджетов метрик и возможность создавать собственные виджеты с помощью запросов PromQL.

Расширены возможности работы с хранилищами и визуализацией данных

В версии 2.9 появился конструктор хранилищ событий. При их создании можно выбрать движок таблицы ClickHouse, задать PRIMARY KEY и ORDER BY, а при использовании Replacing Merge Tree — настроить удаление дублирующихся записей.

Настройка структуры хранилища событий в R-Vision SIEM

Также появился минимальный суммарный срок хранения данных по всем томам, который помогает защититься от преждевременного удаления событий, необходимых для расследования.

Обновления получили и дашборды. Виджеты событий и активных списков теперь могут одновременно использовать несколько источников данных. Для круговых диаграмм можно выбирать отображение абсолютных значений или процентов, а работа со столбчатыми диаграммами стала удобнее при большом количестве значений.

«Для нас развитие R-Vision SIEM начинается с того, как специалисты работают с системой каждый день. Именно обратная связь пользователей показывает, где аналитик тратит время на лишние действия, какой информации не хватает инженеру для диагностики и что мешает команде решать реальные задачи SOC.

В версиях 2.8 и 2.9 мы отвечали на такие запросы: упростили поиск и расследования, добавили больше инструментов для контроля источников и конвейеров, перенесли управление агентами в интерфейс SIEM. Параллельно продолжили работать над производительностью и устойчивостью системы.

Нам важно, чтобы результат этих изменений был заметен не только в Release Notes, но и в повседневной работе — когда привычные задачи решаются быстрее и требуют меньше усилий», — Денис Матюхин, руководитель продукта R-Vision SIEM.