Бизнес активно переходит в «цифру»: внедрение IT-решений ускоряет работу и сокращает издержки. В результате неизбежно растет объем данных, которые превращаются в ценный актив — их нужно сохранять, защищать и контролировать.

Для этих задач существуют разные классы продуктов. Внешним угрозам противостоят антивирусы, фаерволы, прокси и т.д. Внутренним (инсайдерской активности, шпионажу, корпоративному мошенничеству) — DLP-системы. Наконец, есть базовые меры безопасности: разграничение прав доступа, файловый, системный, программный и аппаратный аудит. В компаниях, которые серьезно относятся к защите информации, появляется целый парк соответствующего программного обеспечения. Его обслуживание требует ресурсов, часто — специальных компетенций.

Российская компания SearchInform придерживается правила, что задачи безопасности в бизнесе должны решаться комплексно, но без перегрузки инфраструктуры. Вендор создал линейку интегрируемых продуктов, которые обеспечивают специалистов по информационной безопасности всеми необходимыми инструментами.

Вначале SearchInform специализировалась на технологиях поиска, хранения и обработки неструктурируемых данных. В 2004 году компания начала разрабатывать решения для защиты информации, а с 2006 года укрепилась на рынке DLP-систем и вошла в тройку ведущих разработчиков DLP в России. Сегодня вендор работает в 6 странах мира, а его заказчиками стали более 2500 компаний из 17 стран.

Флагманский продукт компании — SearchInform DLP, система, которая защищает бизнес от угроз, исходящих от человека (собственного сотрудника):

• утечек информации (слива в личных целях, в пользу конкурентов, по глупости и ошибке, из мести);
• корпоративного мошенничества (создания боковых схем, взяточничества, кумовства);
• непродуктивного использования рабочего времени и ресурсов компании.

Программа отслеживает активность человека за компьютером и по алгоритмам выявляет эти факты. Систему можно дополнить нетипичными для классической DLP инструментами. Интеграция с SearchInform FileAuditor позволит автоматизировать распознавание документов, наиболее критичных к утечкам, и следить за их сохранностью: где, у кого хранятся, как редактируются, кто имеет к ним доступ. В SearchInform Database Monitor можно будет проводить продвинутый аудит и мониторинг операций с базами данных и бизнес-приложениями. В результате одна система объединяет функционал нескольких классов продуктов.

В 2016 году состоялся релиз SearchInform SIEM — решения для мониторинга IT-инфраструктуры. Эта система считывает и анализирует события из всех корпоративных систем и оборудования, уведомляет об угрозах. В режиме реального времени SearchInform SIEM выявляет аномалии в данных и вычисляет инцидент по сумме событий, каждое из которых в отдельности может выглядеть безобидным.

Главное преимущество SearchInform SIEM — возможность полноценного использования системы «из коробки». После установки служба информационной безопасности получает доступ к более чем 300 готовым политикам безопасности — правилам корреляции, по которым SIEM определяет взаимосвязь между событиями в IT-инфраструктуре и выделяет инциденты. Пользователи могут редактировать и настраивать уже существующие правила, создавать собственные политики в два клика. Для этого не нужны специальные навыки программирования. При этом программное обеспечение легко внедряется (ввод в эксплуатацию возможен за один день) и отличается невысокими системными требованиями.

Для работы система формирует базу данных, в которой аккумулирует события из всех элементов IT-инфраструктуры. Сервер SIEM собирает данные из неограниченного числа источников с помощью коннекторов, которые мониторят:

• системные и сетевые логи (Windows Event Log, Linux);
• почтовые, FTP- и web-серверы (Exchange, IBM Domino, Postfix, Very Secure FTP Daemon, Apache);
• базы данных (Oracle, 1C, MS SQL, PostgreSQL);
• виртуальные среды (VMware);
• межсетевые экраны и системы комплексной сетевой безопасности (Palo Alto, CISCO, Check Point, FortiGate);
• журналы антивирусного программного обеспечения (Kaspersky, Symantec, McAfee, ESET);
• события SearchInform DLP (подключение устройств, запуск программ, копирование, передача, изменение, удаление файлов);
• Syslog-источники.

Количество коннекторов постоянно растет, при этом вендор ориентируется на потребности заказчиков: функционал расширяется в соответствии с актуальными практическими задачами. Интеграция с SearchInform DLP — отдельный плюс. Сопоставление данных из DLP с событиями других систем позволяет с точностью выявлять детали подозрительных событий:

• Кто первым открыл письмо со вложенным вирусом и как он распространялся?
• Как сотрудник вразрез с регламентом получил доступ к критически важной информации?
• Почему и с какого момента не работает база данных бухгалтерии, склада или отдела кадров? И т.д.

Кроме того, SearchInform SIEM позволяет предупреждать о выходе из строя элементов IT-парка, показывает реальную картину их функционирования и указывает на слабые места, которые следует оптимизировать. Интерфейс простой: отслеживать состояние сотен программ и устройств можно с минимальным штатом IT- и ИБ-специалистов. При обнаружении инцидентов SearchInform SIEM оповещает службу безопасности по электронной почте или в консоли. Сами же отчеты можно экспортировать в удобный формат.

Хотя у DLP и SIEM разный принцип работы (первые анализируют контент, вторые контекст), в связке они многократно повышают уровень информационной безопасности. Инструменты дополняют друг друга, так что работа службы безопасности становится проще и эффективнее. Продукты SearchInform становятся «замком» на инфраструктуре компании, главной ценностью которой является информация.

Компания Fominov Consulting — официальный бизнес-партнер SearchInform в Азербайджане. [email protected] | www.fcc.az. Tel: +99412 565 57 86/88