PT Platform 187 (Система безопасности КИИ)

Продукты в составе PT Platform 187 выполняют следующие задачи:

• PT NAD анализирует сетевой трафик и выявляет атаки, сетевые аномалии, скрытое присутствие и активность вредоносного ПО.
• PT MS проводит многопоточную проверку входящих файлов и предотвращает распространение вредоносного ПО.
• MaxPatrol 8 проводит непрерывную инвентаризацию информационных ресурсов, анализирует их защищенность, выявляет уязвимости и автоматизирует процесс управления ими, поддерживает в актуальном состоянии сведения об ИТ-инфраструктуре.
• PT MaxPatrol SIEM анализирует события безопасности из различных источников и выявляет инциденты.
• «ПТ ВЦ» обеспечивает управление процессом реагирования на инциденты и проведение расследования.
• PT ISIM осуществляет мониторинг технологической сети, выявляет и отправляет данные об инцидентах, которые в ней произошли, в MaxPatrol SIEM.

Алгоритм взаимодействия:

1. MaxPatrol 8 сканирует IT-инфраструктуру предприятия, получает сведения о найденных активах, анализирует их защищенность и выявляет уязвимости. Сведения об обнаруженных активах и их уязвимостях MaxPatrol 8передает в PT MaxPatrol SIEM.
2. PT NAD захватывает и анализирует сетевой трафик для выявления аномальной сетевой активности и сложных целенаправленных атак. Сведения об обнаруженных атаках PT NAD передает в PT MaxPatrol SIEM. Файлы, пересылаемые по протоколам прикладного уровня, PT NAD извлекает из трафика и передает для анализа в PT MS.
3. PT MS в рамках защиты почтового трафика, веб-трафика, файловых хранилищ и веб-порталов выявляет зараженные объекты в различных потоках данных и агрегирует однотипные элементы атаки в одну угрозу. Сведения о просканированных и зараженных файлах PT MS передает в PT MaxPatrol SIEM.
4. PT MaxPatrol SIEM собирает события из различных источников, в том числе из PT NAD и PT MS, и по правилам корреляции выявляет инциденты. Сведения об инцидентах PT MaxPatrol SIEM передает в «ПТ ВЦ». Также PT MaxPatrol SIEM передает в PT NAD данные об уязвимостях для расчета результативности сетевых атак.
5. Пользователь «ПТ ВЦ» регистрирует инцидент и проводит расследование.
6. PT ISIM получает данные из копии технологического трафика, на основании экспертных баз правил выявляет события и инциденты сетевого уровня, взаимодействует с агентом MaxPatrol SIEM.

Антивирусную защиту и предотвращение атак в объектах информационной инфраструктуры обеспечивают продукты PT MS и PT NAD.

PT NAD — это программно-аппаратный комплекс, который захватывает и анализирует сетевой трафик, чтобы выявить аномальную сетевую активность и сложные целенаправленные атаки в сетевых взаимодействиях и заблокировать такие взаимодействия.

PT NAD извлекает из сетевого трафика все файлы и передает на антивирусную проверку в PT MS.

PT MS — это программный комплекс, предназначенный для проверки файлов и электронных писем на предмет угрозы информационной безопасности. С помощью PT MS пользователи и операторы безопасности могут получить оценку опасности, исходящей от файлов, получаемых извне информационной системы либо уже находящихся внутри нее.

Передача в PT MS файлов, извлеченных из сетевого трафика с помощью PT NAD, настроена по умолчанию. Подробнее о настройке передачи файлов из сетевого трафика в PT MS читайте в разделе про добавление источников для сканирования в Руководстве администратора PT MS.

Инвентаризация — сбор сведений об активах с целью получить представление об ИТ-инфраструктуре объекта информационной инфраструктуры. Анализ данных об активах и связях между ними помогает принимать решения по управлению ИТ-инфраструктурой.

Актив — базовая единица, которая представляет собой сканируемый сетевой узел.

После инвентаризации активов требуется анализ их уязвимости с целью предупредить нежелательные воздействия на активы.

Инвентаризацию активов и анализ их уязвимости обеспечивают продукты PT MaxPatrol SIEM и MaxPatrol 8.

Для сбора информации об активах ИТ-инфраструктуры средствами PT MaxPatrol SIEM, необходимо создать задачу для инвентаризации активов и настроить расписание ее запуска. Используется тип задачи Сбор данных с предварительно созданным и настроенным профилем для сбора данных об активах.

Для сбора информации об активах ИТ-инфраструктуры средствами MaxPatrol 8, необходимо создать задачу инвентаризации и настроить расписание ее запуска. В качестве примера параметров задачи используется предустановленный профиль сканирования (Pentest) Inventory.

Сбор с помощью MaxPatrol 8 данных об уязвимостях активов и соответствии активов требованиям политик и стандартов безопасности состоит из этапов:

• Создание задачи поиска уязвимостей и настройка расписания ее запуска. В качестве примера параметров задачи используются предустановленные профили сканирования на уязвимости, в названии которых присутствует слово scan. Рекомендуется запускать задачу с периодичностью раз в месяц.
• Создание задачи для контроля соблюдения требований политик и стандартов безопасности, предъявленных к объекту инфраструктуры. В качестве примера параметров задачи используется предустановленный профиль сканирования (Pentest) PCI DSS ASV. Рекомендуется запускать задачу с периодичностью раз в квартал.