О Kaspersky CyberTrace

Добро пожаловать в документацию Kaspersky CyberTrace.

Что такое Kaspersky CyberTrace

Kaspersky CyberTrace — это платформа анализа киберугроз (Threat Intelligence Platform), обеспечивающая агрегацию индикаторов компрометации из различных источников, в том числе из потоков данных об угрозах Лаборатории Касперского, и интеграцию с решениями класса SIEM (Security Information and Event Management) для автоматического поиска индикаторов компрометации (IoC) в журналах событий безопасности и формирования уведомлений об инцидентах в рамках существующих процессов центра информационной безопасности организации.

Kaspersky CyberTrace использует регулярно обновляемые потоки данных об угрозах для актуализации используемой базы индикаторов компрометации с целью обнаружения угроз в журналах событий безопасности и информирования специалистов безопасности о рисках, связанных с той или иной угрозой.

Kaspersky CyberTrace поддерживает интеграцию с источниками данных об угрозах (потоки данных об угрозах от Kaspersky и других поставщиков, OSINT или пользовательские источники), решениями SIEM и источниками журналов событий безопасности. В случае обнаружения IoC в журналах событий безопасности Kaspersky CyberTrace автоматически отправляет в SIEM сообщение об обнаруженном индикаторе, вместе с дополнительной контекстной информацией. Платформа Kaspersky CyberTrace предоставляет аналитикам набор инструментов для классификации информационных сообщений и приоритезации реагирования на них посредством категоризации и дедупликации.

Kaspersky CyberTrace внутри корпоративной сети

Функциональные возможности Kaspersky CyberTrace:

• Автоматическое высокопроизводительное сопоставление входящих журналов и событий безопасности с потоками данных об угрозах Kaspersky Threat Data Feeds, потоками данных OSINT feed или любыми другими пользовательскими потоками данных об угрозах в наиболее популярных форматах (JSON, STIX, XML, CSV, MISP). Демонстрационные потоки данных об угрозах от Kaspersky и OSINT доступны по умолчанию.
• Внутренний процесс парсинга и сопоставления входящих событий с IoC на стороне Kaspersky CyberTrace значительно снижает нагрузку на SIEM-решение. Kaspersky CyberTrace выполняет парсинг входящих журналов и событий, сопоставляет полученные данные с потоками данных об угрозах и генерирует информационные сообщения при обнаружении киберугроз. Таким образом, на стороне SIEM-решения осуществляется обработка существенно меньшего объема данных.
• Генерируется статистика использования потоков данных об угрозах, что позволяет измерять их эффективность.
• Исследование угроз с помощью поиска конкретных индикаторов (хешей, IP-адресов, доменов, URL) по требованию, а также возможность ручной загрузки журнала событий безопасности с целью генерации отчета об обнаруженных IoC.
• Универсальный подход к интеграции возможностей сопоставления угроз с решениями SIEM и другими средствами контроля безопасности. Коннекторы SIEM для широкого спектра SIEM-решений позволяют визуализировать данные об обнаруженных киберугрозах и эффективно управлять ими.
• Данные об IoC вместе с контекстной информацией хранятся в оперативной памяти для быстрого доступа и фильтрации.
• Веб-интерфейс Kaspersky CyberTrace обеспечивает визуализацию данных, возможности поиска IoC по требованию и доступ к настройке Kaspersky CyberTrace. Веб-интерфейс Kaspersky CyberTrace также поддерживает управление потоками данных об угрозах, правилами парсинга журналов, пользовательскими данными о киберугрозах и списками ложных срабатываний, а также источниками событий.
• Интерфейс командной строки для платформ Windows и Linux.
• Расширенные возможности фильтрации потоков данных об угрозах и событий журнала. Потоки данных об угрозах можно конвертировать и фильтровать на основе широкого набора критериев, таких как время, популярность, географическое положение и тип угрозы. События журнала можно фильтровать на основе пользовательских условий.
• Поддержка частичного развертывания в демилитаризованной зоне (DMZ). Сервер, на котором выполняется сопоставление данных о событиях с потоками данных об угрозах, может быть изолирован от сети Интернет и получать обновления потоков данных об угрозах от компонента, установленного в DMZ.
• В автономном режиме, когда Kaspersky CyberTrace не интегрируется с SIEM-решениями, Kaspersky CyberTrace получает журналы из различных источников, таких как сетевые устройства, обрабатывает эти журналы в соответствии с заданными правилами нормализации и выполняет парсинг журналов в соответствии с заданными регулярными выражениями.
• Результаты поиска, успешно сопоставленные с потоками данных об угрозах, можно экспортировать в формате CSV для интеграции с другими системами (сетевыми экранами, системами обнаружения и предотвращения вторжений (IDS/IPS), пользовательскими инструментами.
• Деобфускация для обнаружения угроз, использующих техники сокрытия вредоносных действий в журналах безопасности.

Основными компонентами Kaspersky CyberTrace являются Kaspersky CyberTrace Service, Feed Utility, Log Scanner и веб-интерфейс Kaspersky CyberTrace.

Основные компоненты Kaspersky CyberTrace

Подробнее о том, как работает Kaspersky CyberTrace , смотрите в видео ниже:

Содержание документации

Эта документация разделена на несколько глав:

• Руководства по установке и интеграции

  В этой главе представлены руководства по установке Kaspersky CyberTrace, интеграции с SIEM-решениями и источниками событий, а также по настройке Kaspersky CyberTrace после завершения интеграции.

  Отправной точкой для процесса установки и интеграции служит раздел Начало работы.

• Руководства пользователя

  В этой главе представлена информация о веб-интерфейсе Kaspersky CyberTrace, а также о приложениях и информационных панелях, обеспечивающих доступ к Kaspersky CyberTrace из SIEM-решения.

• Руководства администратора

  В этой главе представлена информация об управлении Kaspersky CyberTrace, а также рассматриваются расширенные возможности Kaspersky. В этой главе также приводится описание компонентов Kaspersky CyberTrace и рабочих процессов для этих компонентов.

• Устранение неполадок

  В этом разделе представлены решения типичных проблем, которые могут возникать при использовании Kaspersky CyberTrace.

• Рекомендации по снижению рисков безопасности

  В этом разделе приведены рекомендации по снижению потенциальных рисков безопасности при работе с Kaspersky CyberTrace.