IВM SIEM та SOAR в сучасному кіберпросторі. Практичний досвід.

Про IВM SIEM та IВM SOAR написано безліч матеріалів. Нещодавно ми також розповідали про IBM QRadar SIEM у нашій статті, адже SIEM-системи стали запорукою ефективного кіберзахисту підприємств, що працюють в умовах війни. Проте, завжди цікаво дізнатись думку спеціалістів, які володіють не лише теоретичними знаннями, а й великим практичним досвідом, займаючись безпосередньо впровадженням таких потужних рішень. 

– Яка ж ключова цінність IBM SIEM, SOAR?

Загальна цінність рішень SIEM та SOAR полягає в допомозі автоматизації виявлення інцидентів та відхилень в роботі систем, які зараз існують у сучасних замовників класу Enterprise. Жодна велика компанія не може існувати сама по собі, вона обов’язково комунікує із зовнішнім світом, і комунікацій таких вона має дуже багато. А ці комунікації, в свою чергу, відбуваються, в основному, електронним шляхом. Тобто – це пошта, якісь додатки, різноманітні сервіси і тп. І загальна складність і кількість таких комунікацій є непідйомною для аналізу спеціалістами, що мають відповідати за захист цих сервісів та їх доступність. Саме в цьому випадку, для таких спеціалістів, і стають у нагоді рішення SIEM та SOAR, що допомагають швидко реагувати на відхилення в роботі інфраструктури та сервісів – це SIEM, а також проактивно реагувати в автоматизованому режимі на ці події – це SOAR. Одним з лідерів сучасного ринку таких рішень є компанія ІВМ. Вона була першим, хто замислився над необхідність створення цих рішень, можна сказати – була засновником. На нашому ринку по цих рішеннях ІВМ має більше 30 років досвіду роботи – з дистриб’юторами та замовниками саме в нашому регіоні, в Україні в тому числі.

Незалежно від того скільки фахівців є в штаті у замовника, що виконують обов’язки інженерів з інформаційної безпеки – спеціалістів, які безпосередньо захищають компанію від сучасних кіберзагроз – саме людський фактор є слабким місцем такого захисту. Бо людина не є автоматом, не є роботом, що може в режимі 24/7 пильно відстежувати і реагувати на потенційні кіберзагрози, що виникають у крупних замовників в сучасному світі. Навіть коли замовники побудували свій Security operations center (SOC), він повинен базуватись не лише на професіоналах, що в ньому працюють, але й на системах класу SIEM та SOAR. Ці системи, в свою чергу, наповнюють цей SOC подіями, і в автоматизованому режимі проводять їх кореляцію, та формують по раніше заданим правилам певні кореляційні дії та аллєрти, на які реагує SOC. Тому, саме велика кількість систем та велика кількість сервісів та подій, що відбуваються всередині цих систем і сервісів у сучасного замовника – генерують велику кількість потенційних загроз, на які має реагувати SOC і саме тут інженерам допомагають системи SIEM та SOAR.

По-перше, основною перевагою платного (вендорського рішення) – є наявність потужного відділу Research and development всередині вендора. По-друге, практично всі користувачі такого класу рішень постійно генерують до вендора велику кількість запитань і побажань щодо вдосконалення системи. А базуються ці пропозиції саме на реальних кейсах, фактах чи подіях, з якими стикаються замовники. Враховуючи, що це платне рішення, у вендора, завдяки цьому, є можливість у відділі Research and development залучати кращих спеціалістів, а  процес вдосконалення систем йде значно швидше, ніж Open Source, що зазвичай підтримуются ком’юніті, або ліченими ентузіастами. Компанія ІВМ має один з найбільших Research and development відділів і найкоротший термін впровадження Feature request від замовників, що є величезною перевагою не лише платного (вендорського рішення), а й безпосередньо SIEM та SOAR від ІВМ.

Може моя відповідь буде трохи тривіальною… 

Але, не дивлячись на те, що компанія ІВМ існує дуже давно на світовому ринку, і на те, що починала вона з прикладних речей (серверів, комп’ютерів), компанія ІВМ змогла дуже швидко та в короткі строки досягти рівня до однієї з провідних в галузі ІТ та ІБ. Не секрет, що у ІВМ продовжує існувати напрям заліза (сервери), якийсь час тому існував і напрям ПК, від якого ІВМ відмовилась. А також є, і потужно розвивається, останнім часом приносячи компанії більше доходів – напрям сервісів та софтових рішень, одними з яких є QRadar SIEM та QRadar SOAR, які, до речі, входять до ІВМ QRadar Security Suite. На нашому ринку Компанія ІВМ присутня вже більше 30 років, і ця присутність досить успішна. Пов’язана вона не лише з тим, що ІВМ зробила ставку на регіон СНД і продовжує нині робити цю ставку безпосередньо в Україні. Компанія має дуже розвинутий україномовний відділ в Україні, що представлений локально. В українському офісі ІВМ працюють дуже високопрофесійні спеціалісти, які ніколи не займались лише маркетингом, що не підкріплений чимось наявним, потужним та конкурентним у портфелі вендора. Саме тому, компанією INTRASYSTEMS було прийняте рішення додати до свого портфелю ІВМ QRadar Security Suite, до якого в тому числі входять SIEM та SOAR. Вендор ІВМ – потужний, сучасний та затребуваний в світі. В Україні він має потужну присутність та має локальний офіс, що дуже оперативно допомагає вирішувати питання будь-якої складності, які виникають у партнерів або у замовників.

Як таких особливостей по впровадженню – немає. Впроваджень SIEM та SOAR тільки на українському ринку за кілька останніх десятиріч було кілька десятків. Тому схема впровадження рішень класу SIEM та SOAR не є унікальною у порівнянні з конкурентами, але вона є вдосконаленою та відточеною. Схема ця побудована по класиці – виконуються пререквізити, тобто підготовчі роботи, щоб надалі впровадження та розгортання базових компонентів системи проходило за лічені робочі дні, і можна було зосередитись саме на підключенні джерел до системи SIEM та SOAR, для того щоб якомога швидше забезпечити у замовника 100% функціонування системи. Тому, до особливостей я б відніс відточеність впровадження, зрозумілість ресурсів, які потрібні для розгортання компонентів, а також величезну кількість можливостей з коробки по підключенню найбільш поширених систем кіберзахисту і не тільки, які можуть існувати у широченного спектру замовників з будь-якого напряму – чи то, фінансовий, чи то державний, чи то енергетичний сектор.

В штаті компанії INTRASYSTEMS є сертифіковані спеціалісти, що не лише мають теоретичні знання, а й мають достатній практичний досвід впровадження як SIEM так і SOAR від ІВМ у дуже великих замовників. Можу сказати, не називаючи імен, що наразі впровадження завершилось і зараз продовжується комунікація з одним із найбільших замовників з енергосектору яке перейшло до стадії супроводження і доопрацювання та розвитку цієї системи у клієнта. І ще, хочу додати, що завдяки спеціалістам компанії INTRASYSTEMS, впровадження було здійснено у встановлені строки у повному обсязі. Тому, підтверджую, что інженери INTRASYSTEMS можуть виконувати навіть дуже вибагливі впровадження у замовників, як з точки зору кількості об’єму впровадження, так і якості.

Перша, і сама основна рекомендація – це потрібне в сучасному світі рішення класу SIEM/SOAR від компанії ІВМ, яка має великий практичний світовий та український досвід. Таке рішення сьогодні Must Have, і потреба в ньому диктується не лише досладіми лабораторій Gartner, Forester та іншими, це потреба продиктована сучасним світом і кожен CISO в великих компаніях не уявляє собі побудови автоматизації роботи по кіберзахисту без SIEM та SOAR. Друге – чисто життєва рекомендація – багато спеціалістів CISO бояться, що таке впровадження буде довгим та складним, а систему потрібно підтримувати та супроводжувати, бо це живий організм, що постійно потребує уваги. SIEM / SOAR не лише допомагають боротися з кібератаками, або їх передбаченням, але й потребує зворотного зв’язку, постійного вдосконалення. Не потрібно боятись! Третє, і основне, вибір вендора, конкурентного рішення. Так історично склалось, що на ринку зараз присутні три основні гравці. З мого досвіду та досвіду спілкування з замовниками, впровадження та розгортання одного з них є дуже складним, що потребує багато компонентів, серверів, налаштування взаємодії між ними, щоб просто розгорнути основу. Це навіть для Enterprise замовників є складним викликом, саме ця ресурсність, що потрібна для розгортання. Що стосується SIEM від другого гравця, воно трохи простіше у впроваджені, але варто зазначити, навіть кілька років тому це був класичний SIEM  і компонент Enterprise Security у них з’явився відносно нещодавно. А от що стосується ІВМ, то він має переваги над конкурентами як у умовній простоті розгортання, так і в тому, что компонент SOAR існує у ІВМ давно і має внутрішню нативну інтеграцію, що звісно спрощує і розгортання системи, і налаштування, і підтримку цієї зв’язки SIEM/SOAR. Тому моя третя рекомендація – обирайте перевірених вендорів, що мають певні переваги, а це саме ІВМ.

Зараз Ви маєте можливість отримати високопрофесійну консульацію за участі Директора з інформаційної безпеки INTRASYSTEMS Сергія Ганночки, для цього потрібно лише заповнити коротку контактну форму і ми призначимо зустріч у зручний для Вас час!

Компанія INTRASYSTEMS – чинний IBM Silver Partner.