СЕТЕВОЙ  КОМБАЙН

Нечасто производители продуктов в области информационной безопасности радуют нас появлением принципиально новых разработок. В этом смысле систему мониторинга безопасности сети NetWitness, представленную в 2012 году компанией RSA, The Security Division of EMC, можно назвать настоящей инновацией на рынке ИБ. Действительно, как иначе можно охарактеризовать продукт, выявляющий в режиме online угрозы безопасности на основе анализа сетевого трафика и совмещающий в себе одновременно технологии IDS/IPS, интеллектуальных анализаторов пакетов, DLP-систем, антивирусов, генераторов отчетов, средств сетевого мониторинга?

ДОРОГА ЛОЖКА К ОБЕДУ

Появление такого продукта, как Net-Witness, именно сейчас - неслучайно. Угрозы безопасности информации постоянно усложняются. Профессионализм злоумышленников повышается. Угрозы APT (Advanced Persistent Threats) - теперь обычное явление. Противодействие новым вызовам в корпоративных сетях требует применения самых разнообразных технических средств и методик, является затратной задачей с точки зрения ресурсов и не отличается высокой оперативностью. Слишком много данных необходимо обработать. Слишком мало времени для этого отводится. Слишком разные технологические аспекты необходимо проанализировать.

ЧТО В АРСЕНАЛЕ?

RSA NetWitness - мощное оружие в руках специалиста. Его задача - сбор, хранение и обработка всех проходящих по сети пакетов. Его способности - быстрый анализ гигантских (терабайты!) объемов данных. Его польза в передовых функциональных возможностях:
• восстановление, визуализация и интерактивный анализ сетевых сессий с интуитивно понятным представлением данных (голос, файлы, почтовые сообщения, диалоги IM, web-страницы);
• выделение и анализ метаданных сетевых сессий, контекстный поиск по их содержимому;
• автоматизированное бессигнатурное обнаружение вредоносного ПО;
• предоставление исчерпывающей информации для расследования инцидентов;
• автоматизированное оповещение об угрозах и формирование отчетности;
• оперативное ситуационное информирование с помощью интегрированных консолей.
За всем перечисленным (и тем, что осталось за кадром) - не только эффективность и улучшения, но и своего рода технологическое изящество и красота в решении сложнейших задач ИБ.

АРХИТЕКТУРА МАКСИМАЛИЗМА

NetWitness - модульное решение, состоящее из аппаратной платформы NetWitness NextGen и набора приложений NetWitness AppSuite. Платформа NextGen - это программно-аппаратные компоненты Decoder, Concentrator и Broker. Декодер является сниффером, собирающим сетевые пакеты для передачи концентраторам, которые в режиме реального времени объединяют метаданные для анализа и направляют их в брокер. Задача брокера - обработка запросов к собранным данным.

В состав пакета аналитики AppSuite входят: Informer (приложение для формирования отчетности и оповещений об угрозах, а также для интерактивной визуализации сессий с поддержкой multi-touch и drill-down), Investigator (приложение для работы с метаданными и анализа сетевых сессий), Spectrum (средство безсигнатурного обнаружения вредоносного ПО в трафике), NetWitness for Logs (средство совместного анализа данных из «логов» и данных о сетевой активности), SIEMLink (средство для интеграции с SIEM-системами).

НОВЫЕ ЦЕННОСТИ

Ключевой результат применения системы RSA NetWitness - повышение оперативности и полноты реакции службы ИБ на сетевые угрозы, понимание того, чем «дышит» сетевая инфраструктура. В распоряжении специалистов быстрая, полезная и достоверная аналитика сетевых сессий, качественная и интерактивная визуализация оперативной информации о сетевой активности, статистические данные для анализа рисков ИБ, материалы для расследования инцидентов. Все это способствует уменьшению времени реакции на нарушения и оказывает реальную поддержку в противодействии целенаправленным атакам.