САВРУС — среда анализа и визуализации рисков в управленческих системах. Решение предназначено для централизованного сбора, обработки, хранения и анализа событий информационной безопасности, выявления инцидентов и поддержки их расследования.
Назначение системы
- Сбор событий из информационных и управленческих систем организации.
- Централизованное хранение событий в базе данных.
- Выявление инцидентов и рисков ИБ в режиме реального времени и при ретроспективном анализе.
- Корреляция событий и оповещение специалистов о выявленных инцидентах.
- Визуализация данных и подготовка информационных панелей для ИТ- и ИБ-подразделений.
- Поддержка расследования инцидентов и оперативного реагирования.
Сбор и обработка событий
САВРУС собирает события из журналов Windows, баз данных, текстовых файлов, а также по протоколам и форматам Syslog, SNMP, NetFlow и Kafka. В базовой поставке поддерживается более 500 источников событий.
- Нормализация, фильтрация и категоризация событий.
- Маршрутизация и кэширование данных.
- Подключение новых источников событий через настроечные файлы.
- Обогащение событий на агентах.
- Поддержка внешних источников данных об угрозах и сервиса геолокации событий.
Выявление и расследование инцидентов
Система выявляет инциденты информационной безопасности на основе корреляции событий в реальном времени и при анализе накопленных данных. В поставку входят более 200 предустановленных правил корреляции и пакет правил Sigma Rules.
- Корреляция событий в реальном времени и в ретроспективе.
- Конструктор правил корреляции.
- Поддержка pre-persistence rules.
- Автоматический импорт правил из других SIEM-систем.
- Оповещения при выявлении инцидентов ИБ.
- Активные каналы для контекстного поиска и расследования инцидентов.
- Активные листы, фильтрация и группировка событий.
- Сетевая модель и ролевая модель разграничения прав доступа.
Визуализация и отчётность
САВРУС предоставляет инструменты для мониторинга состояния системы и представления данных в удобном для разных подразделений формате. Пользователи могут настраивать панели, отчёты и способы отображения событий и инцидентов.
- Стартовые дашборды для мониторинга состояния системы.
- Визуализация событий и инцидентов в различных форматах.
- Фильтрация и группировка данных.
- Формирование кастомизированных отчётов.
- Автоматическая рассылка отчётов по расписанию.
Производительность и хранение данных
САВРУС рассчитана на обработку потока более 100 000 событий в секунду и быстрый поиск по большим объёмам данных, накопленным за длительный период. Для хранения событий используется колоночная СУБД ClickHouse.
- Обработка потока событий более 100 000 EPS.
- Поиск по событиям, собранным за квартал, год и более длительные периоды.
- Обработка сложных поисковых запросов в реальном времени.
- Хранение событий в течение заданного срока.
- Сжатие хранимых данных о событиях до 70 раз.
- Управление партициями базы данных.
- Резервное копирование.
- Поддержка режима высокой доступности.
Масштабирование и интеграции
Система поддерживает распределённую и отказоустойчивую архитектуру, а также иерархическое развёртывание для организаций с филиальной структурой. Открытая архитектура и API позволяют интегрировать САВРУС со смежными системами и другими SIEM-решениями.
- Распределённая и отказоустойчивая архитектура.
- Иерархические инсталляции для филиальных структур.
- Удалённое управление компонентами системы.
- Открытая архитектура и собственный API.
- Интеграция с другими SIEM-системами и смежными решениями.
- Возможность использования в режиме MSSP для оказания услуг SOC.
Российское решение
САВРУС — отечественное SIEM-решение, разработанное российской компанией. Система включена в реестр российского программного обеспечения и имеет сертификат соответствия ФСТЭК России по 4-му уровню доверия.
- Российская разработка без зарубежных компонентов.
- Поддержка российских платформ.
- Включение в реестр отечественного ПО.
- Сертификат соответствия ФСТЭК России по 4-му уровню доверия.
- Возможность миграции с зарубежных SIEM-систем.